博客

构建 agent 系统的笔记

评估工具、编排模式、记忆设计及其背后的失败案例——在细节仍然新鲜时记录下来。

意图不是范围：为什么代理的访问控制不能从提示中推断

基于意图的访问控制很有前景，但前提是在运行前将意图编译成有界、可审计的能力集——而不是在调用时根据代理自身的描述进行评估。

Walmart 和 Amazon 争论的不是机器人。它们对购物者的授权如何在结账时被表达、限定和证明，给出了不同的答案。

一个停止运行但仍持有凭据的 agent 就是一个无人值守的主体。集群卫生必须安排凭据过期，而不是把它当作退役时的附带事项。

阻止购物 agent 并非对自动化的敌意。这是对一种在没有可验证同意记录的情况下到达的支付凭证的理性反应。

浏览器 Agent 可以驱动结账流程，但购买是一种同意事件。本文主张采用限定范围的消费凭证，以及面向 Agent 的结账契约。

Agent 越权通常是模型上游缺少授权决策。安全应属于请求路径，而不仅仅属于对齐训练。

据报道，澳大利亚某健康门户遭到入侵，这表明智能体需要的是对公共服务有范围限定、可审计的访问权限——而不只是速率限制。

存储卡授予无限制、可重复使用的权限。限定范围的支出令牌绑定金额、商户、有效期和任务，使代理支付可撤销且可审计。

没有范围限定的权限，会让每一次提示词注入都变成权限提升。要设计能力授予，而不是指令文本。