什么是代理式 AI？系统如何规划、使用工具并完成任务

代理式 AI 是一种能够通过决定下一步行动、使用工具、观察结果并调整方法来追求目标的人工智能。 与仅生成一次回复后停止不同，代理会在一个控制循环中运行，直至完成任务、达到限制或将工作交回给人类。

这一区别很重要，因为最具影响力的 AI 系统正超越对话范畴。它们能够跨源搜索、查询数据库、运行代码、操作软件、更新业务系统，并协调其他代理。更高的自主性可以释放更多有价值的工作，但也使可靠性、权限、监控以及人工控制变得更加关键。

是什么让 AI 系统具备代理性？

没有单一的阈值可以把模型转变为代理。代理性是一个光谱。光谱一端，语言模型仅回答提示；另一端，系统接收宏观目标，将其拆解为步骤，选择工具，对新信息作出反应，并在较长时间内持续执行。

自主性也是多维的。某些代理可以自行选择研究查询，但无法发布任何内容；另一些则遵循固定计划，却拥有更改生产系统的权限。因此，评估系统的“代理程度”需要分别考察规划自由度、工具访问、运行时长、可逆性以及错误的后果。

一个实用的测试是询问谁决定路径。在传统工作流中，开发者会预先定义顺序:执行步骤 A、然后 B、再 C。 在代理式系统中，模型对哪些步骤是必要的以及顺序拥有一定的自主权。Anthropic 的构建高效代理指南对预定义代码路径的工作流与动态引导自身流程和工具使用的代理之间的实际区别作了相同的阐述。

大多数生产代理结合了五个要素:

• A model: 解释目标并选择行动的推理与语言引擎。
• Instructions: 系统规则、任务描述、策略以及成功的定义。
• Tools: 让代理能够搜索、计算、检索数据、写文件、调用 API 或操作界面的功能。
• State or memory: 在步骤之间（有时跨会话）传递的信息。
• A control loop: 将结果返回给模型并决定是否继续、重试、请求帮助或停止的运行时机制。

代理循环: 计划、行动、观察与适应

尽管实现方式各异，代理通常遵循一个循环的四阶段模式。

1. 解释目标

代理识别期望的结果、相关约束以及缺失信息。完善的任务定义不仅说明要做什么，还要说明何为完成。“研究这家公司”含糊不清；而“生成对其最近三份年度报告的带引用比较并标记重大变化”则构成可检验的目标。

2. 选择行动

模型可能直接给出答案、制定计划、调用工具、委派子任务或请求澄清。行动通常以结构化格式表达，以便软件在执行前进行验证。这正是代理设计将概率模型输出转化为受控系统操作的环节。

3. 观察结果

运行时返回工具输出、错误、界面变更或其他环境反馈。代理将该观察加入其工作上下文。如果搜索得到的证据薄弱或 API 拒绝了参数，则下一步决策应反映这一新状态。

4. 调整或停止

代理评估进度并选择下一行动。它可能修订计划、尝试不同工具、验证结果，或认定目标已完成。OpenAI 在讨论从模型到代理的转变时，将此类交互描述为模型、工具与环境之间的循环。

该模式与 ReAct 方法相关，后者交叉进行推理与行动，使外部观察能够更新后续推理。原始的ReAct 论文帮助确立了该设计，作为在缺乏环境反馈时生成完整计划的替代方案。

代理式 AI 与生成式 AI 的对比

生成式 AI 指能够创造新内容的系统，例如文本、图像、音频、视频或代码。代理式 AI 则描述系统如何追求目标。两者有交叉但不可互换。

生成模型可以起草电子邮件而不具备代理性。代理可以使用生成模型起草邮件、查找正确收件人、检查政策、创建附件，并将消息放入审查队列。模型提供智能；而周边的代理系统提供工具、状态、编排和控制。

代理系统的适用场景

当通往目标的路径无法事先完全指定，但进展仍可观察和检查时，代理最具价值。常见示例包括:

• Research: 在多个来源搜索、弥补空白、比较证据并汇编带引用的报告。
• Software engineering: 浏览代码库、编辑代码、运行测试、解释失败并迭代。
• Customer operations: 收集账户上下文、应用政策、提出解决方案并升级异常。
• Data analysis: 选择数据集、编写查询、检查异常、生成可视化并解释发现。
• IT operations: 调查警报、收集诊断信息、推荐修复措施并执行已批准的运行手册。
• Administrative work: 协调日历、文档、表单、审批以及跨系统的更新。

当流程稳定且每一步都已明确时，固定工作流往往更佳。在普通自动化已足够的情况下加入代理，可能会提升成本和变动性，却未带来实际价值。

何时应使用代理而非自动化？

最佳架构取决于两个问题:路径的可预测性如何，错误行动的代价有多高？系统并不会因为赋予模型更多自由度而变得更先进。在许多高风险场景中，最稳健的设计刻意将确定性软件与狭窄的代理组件相结合。

一种实用的折中方案是 受限代理。代理可以决定如何收集信息、调用哪个已批准的工具或如何修订草稿，而确定性代码则强制执行模式、访问规则、预算和最终批准。这在不要求概率模型自行监管其权限的情况下保留了适应性。

为何代理式 AI 难以实现

代理可能做出在局部看似合理的决定，却将整体任务引向错误方向。小错误在长路径上会累积，而看似可信的最终答案可能掩盖不正确或不安全的过程。

这种累积效应是代理评估与普通答案评估不同的原因之一。任务失败可能源于模型的计划、误导性的工具结果、错误的状态更新、过早的停止决定或不安全的权限边界。相反，正确的最终答案可能是脆弱路径的产物，下一次运行可能会失败。因此，团队需要同时关注结果指标和轨迹层面的证据。

主要挑战包括:

• Reliability: 同一任务在多次重复中可能产生不同的路径和结果。
• Grounding: 模型可能误解工具输出、界面状态或用户的真实意图。
• Permissions: 有用的代理可能需要重要访问权限，但广泛的访问会放大错误的后果。
• Prompt injection: 不可信的内容可能包含旨在重定向代理或泄露数据的指令。
• Cost and latency: 每一次额外的模型调用、工具调用、验证步骤或子代理都会消耗资源和时间。
• Evaluation: 仅评估最终结果可能遗漏脆弱的推理、政策违规或偶然的成功。

如何让 AI 代理保持受控

安全的自主性是通过设计实现的，而非假设存在。代理应仅获得完成任务所需的最少工具和数据。高影响力的操作——如发送信息、转移资金、删除数据或更改生产系统——应要求明确批准或严格受限的策略。

成熟的系统还会将规划与执行分离。工具参数可依据模式进行验证；行动可在沙箱中运行；敏感操作可列入白名单；输出在作为其他系统输入前也可进行检查。时间、令牌和行动预算可防止迷惑的代理无限循环。

可观测性同样重要。团队需要记录指令、工具调用、中间观察、批准、错误以及最终结果。该轨迹使调试和评估成为可能。Anthropic 在可信代理实践方面的工作强调明确的权威边界和有意义的人类控制是核心设计要求。

可逆性应指导这些控制措施。读取公共网页易于撤销，因为它不改变任何内容；而发放退款、给客户发送邮件或删除云资源则不易撤销。成熟的代理系统会根据后果对行动进行分类，对难以逆转的操作要求更高的授权，并让运行时——而非模型——对是否允许执行拥有最终决定权。

代理式 AI 并不意味着

“代理式”并不意味着有意识、自我觉知或独立动机。系统看似主动的表现来源于在软件内部运行的模型，该模型被反复要求选择下一步。其目标、工具、权限、停止条件和环境均由人为设计。

它也不保证通用智能。代理在特定环境中可能表现出色，但在接口、数据或任务变化时会变得脆弱。因此，自主性应根据已展示的性能进行校准，而非模型的流畅程度。

结论

代理式 AI 将模型从单纯的响应生成器转变为目标导向系统的一个组成部分。其决定性特征并非特定模型或协议，而是系统选择行动、使用工具、观察结果并进行适应的闭环。

最有效的代理将这种灵活性与严格的范围、最小特权访问、可见的轨迹、严谨的评估以及在关键边界的人类控制相结合。核心问题不再仅是“模型能否给出正确答案？”而是“整个系统能否通过我们可信的过程达成正确结果？”