博客

构建 agent 系统的笔记

评估工具、编排模式、记忆设计及其背后的失败案例——在细节仍然新鲜时记录下来。

意图不是范围：为什么代理的访问控制不能从提示中推断

基于意图的访问控制很有前景，但前提是在运行前将意图编译成有界、可审计的能力集——而不是在调用时根据代理自身的描述进行评估。

当 Agent 能够重新配置观察它的系统时，可观测性就变成了它掌握的一种能力，而不是对它的控制。监控需要自己的主体和凭证。

一个停止运行但仍持有凭据的 agent 就是一个无人值守的主体。集群卫生必须安排凭据过期，而不是把它当作退役时的附带事项。

Agent 间协议继承了其所扩展的工具调用层的信任假设，因此消息真实性和能力范围必须在传输层中设计，而不是事后附加到 agent 上。

文件系统权限无法表达 agent 打算对数据做什么。读取范围应按数据类别和查询意图授予，而不是按文件系统根目录。

macOS 的完全磁盘访问权限是对所有用户文件的一个布尔开关。持久的解决方案是按数据类别授予读取权限，并在每次读取时记录来源。

对抗扰动可以跨模型迁移，因此逐模型加固会让 agent 栈暴露在外。持久的控制点是带类型的工具边界。

事件报告会点名模型，但真正可据以行动的产物是授权该次运行的委托链。大多数技术栈无法重建它。

自主智能体事件暴露了一个缺口：应急手册预设了单一的责任操作者，但责任实际上分散在供应商、框架、集成商和用户之间。