博客

构建 agent 系统的笔记

评估工具、编排模式、记忆设计及其背后的失败案例——在细节仍然新鲜时记录下来。

行动前验证：自主智能体的顺序控制

只有当执行验证位于计划与副作用之间，作为工具调用的同步依赖而非异步审计流时，它才真正有价值。

在框架内部定义的 Agent 权限对访问审查不可见，在退役后依然存续，并不断蔓延。目录原生身份可修复这一生命周期问题。

事后记录 agent 行为的治理方式无法约束它。真正有用的层是一组同步执行点，在工具调用执行之前将其阻断或重塑。

干净的 trace 只能证明 agent 处理了你运行过的用例。就绪意味着注入生产环境将会产生的故障，并观察恢复路径。

未授权的触达应在出口咽喉点解决，而非在提示词中。每个智能体集群都需要一个可审计的网络边界，其拒绝行为应是一等事件。

当 agent 发布了本不应导出的用户产物时，缺陷在于流入生成输出的数据缺少溯源与污点追踪。

隔离的重点不在于隔离技术本身，而在于枚举、限定并撤销 agent 在一次运行中每一步所持有的能力。

静态允许列表跟不上运行时组合出来的 Agent 工具调用。运行时意图检查能捕捉到目标过滤遗漏的情况——前提是这项检查在热路径上足够廉价。

智能体系统中的隔离失效，是能力授予定价错误，而非越狱缺失。控制面是针对可触达系统的单次运行预算。