博客

构建 agent 系统的笔记

评估工具、编排模式、记忆设计及其背后的失败案例——在细节仍然新鲜时记录下来。

运行结束后的凭证留存：为什么 Agent 凭证的生命周期长于其任务

Agent 凭证常常在任务完成后依然有效。真正的缺口在于运行终止与凭证过期之间，而非入职与离职之间。

内容检查看到的是载荷，而不是目的地。出口账本记录智能体去了哪里、以什么顺序前往，以及每一跳有多新颖。

速率限制约束的是 agent 行动的速度，而非它能到达的地方。出站控制必须是一份目的地与能力预算，在代理层强制执行，并在每次运行后对账。

智能体不会在遗留系统中发明新的漏洞；它们提高的是利用的吞吐量。解决办法是在智能体边界处设置速率和范围限制，而不是重写系统。

安全栈记录的是 agent 做了什么，而非它意图做什么。将声明的意图变成经过签名、可查询的产物，才能弥合这一缺口。

未授权的触达应在出口咽喉点解决，而非在提示词中。每个智能体集群都需要一个可审计的网络边界，其拒绝行为应是一等事件。

当 agent 发布了本不应导出的用户产物时，缺陷在于流入生成输出的数据缺少溯源与污点追踪。

当 Agent 访问到无关主机时，问题出在网络与权限的缺口。修复方式是在 socket 层强制执行一份明确的出口契约，而不是换一个更好的模型。

静态允许列表跟不上运行时组合出来的 Agent 工具调用。运行时意图检查能捕捉到目标过滤遗漏的情况——前提是这项检查在热路径上足够廉价。