标签: 智能体

agent 要读网页、读文件、读工具返回，如果这些内容里藏着给模型的指令呢？prompt injection 没有根治方案，所有防线只做一件事：缩小爆炸半径。链三收尾，系列第 8 篇。

把每一步的决定权交给模型，效率上去了，风险也上去了。2023 年 AutoGPT 用一场公开失败列出了账单：无限循环、费用失控、权限无边界、失败无法恢复。此后的预算、卡死检测、权限审批，都是在给自主性定价。链三开篇，系列第 7 篇。

仓库大到一个上下文装不下，探索类的活要并行跑，单个 agent 就到头了。生产系统的答案是 subagent：派分身、隔离上下文、干完只回传摘要。但 11 家系统长出了六种编排形态，而且谁管自家分身都不用协议。系列第 6 篇。

动作结构化之后，工具从 1 个 bash 涨到 100 多个，提示词先被挤爆；各家又实现了各自的接口，N 个应用接 M 个工具要写 N×M 套适配。两个问题，两个答案：按需加载和 MCP。系列第 5 篇。

模型能描述怎么跑测试，但自己跑不了。从 ReAct 到 Function Calling，动作先是藏在自由文本里靠猜提取，猜不中就丢，直到变成结构化契约才稳。链二前半段，系列第 4 篇。

压缩是急救，不是长治久安。真正重要的信息应该放在对话外面：存，主要靠文件系统和跨会话记忆；取，11 家生产级 Agent 没有一家用向量 RAG 读代码。链一收尾，系列第 3 篇。

Agent 干活干到一半开始忘事，这是上下文被稀释的信号。生产级 harness 的标准应对是 compaction：阈值触发的记忆压缩。七家系统各自怎么做，代价是什么，这是系列第 2 篇。

LLM 的对话看起来是连续的，其实每次调用都是失忆重读。这个不起眼的技术事实，是 Agent 领域一半概念的源头。系列第 1 篇，从无状态讲起。

MCP、skill、compaction、subagent……Agent 领域的名词单查都能查到定义，查完还是不知道它们为什么存在。我把它们按因果关系理成四条链，这是系列的第 0 篇。