博客

构建 agent 系统的笔记

评估工具、编排模式、记忆设计及其背后的失败案例——在细节仍然新鲜时记录下来。

谁来审计审计者：责任框架假设存在纸质痕迹，而智能体并不留下

责任制度假设存在可归因的决策记录。当前的智能体架构产生的轨迹无法被重建为单一可问责的步骤。

运行时遏制可以叫停行为异常的 agent，但如果没有预先声明的允许操作契约，这只是损害控制，而非预防。

多 Agent 系统的失败，更多源于协调机制而非模型能力。本文审视共享状态、交接协议，以及并行化的取舍。

向浏览器代理开放结账流程，将同意转变为机器协商的合同。如果没有持久的同意账本，就没有任何记录能证明代理同意了哪些条款。

运行成本通常以 token 总量来报告，但主导变量是规划器如何分解任务。按计划节点记账，能把预算变成调度输入。

沙箱限制的是 Agent 运行的位置，而不是它能触及的范围。将遏制与每次运行的出口预算配对，对目的地和载荷量进行计量。

沙箱能阻止逃逸，却无法界定 agent 被授权尝试什么。Agent 安全需要在运行时之上设置一层权限层，而不是更快的终止开关。

任务范围的凭证解决的是令牌生命周期，而不是令牌范围。范围取决于规划器如何分解工作，这使得分解本身成为一种安全控制。

Agent 的工具误用通常始于界面：用 JSON 封装的人类 API 隐藏了部分失败，且缺乏终态错误语义。设计面向机器的接口可以解决这一问题。