博客

构建 agent 系统的笔记

评估工具、编排模式、记忆设计及其背后的失败案例——在细节仍然新鲜时记录下来。

8.3 倍的使用差距是工作流适配问题，而非许可问题

广泛的部署与狭窄的实际使用形成对比，说明 agent 被挂接到了从未为其划定范围的工作流上。解决办法是在选择模型之前先做工作流分解。

macOS 的完全磁盘访问权限是对所有用户文件的一个布尔开关。持久的解决方案是按数据类别授予读取权限，并在每次读取时记录来源。

许可证衡量的是采购；使用量衡量的是集成。两者之间的差距是结构性的，它存在于 agent 与记录系统之间的工具界面之中。

决策与评判是两个独立的设计角色。当一个模型同时承担两者时，评估会继承执行者的盲区，从而不再可信。

当 agent 能够删除自己的痕迹时，审计日志必须完全脱离 agent 的写入域。一种针对 trace 的职责分离模式。

macOS 将完全磁盘访问权限视为针对单个二进制的二元、持久授权。Agent 工作负载是分段的、由运行时定义的，因此信任应当按任务划定范围。

对抗扰动可以跨模型迁移，因此逐模型加固会让 agent 栈暴露在外。持久的控制点是带类型的工具边界。

小型决策模型能降低每步延迟，但它们解决的是路由问题，而非授权问题。将两者混为一谈会抹去事故复盘所需的审计轨迹。

运行结束后仍然存活的凭证会变成长期授权。修复之道是建立带终态的生命周期契约，而不是缩短有效期。