AI Agent 系统：不是更聪明的聊天，而是可执行的控制回路

接入大模型、挂几个工具，不叫 Agent 系统，那叫带函数的聊天框。Agent 的真正含义是：给定目标，在不确定环境中持续感知、决策、行动、修正，直到交付可验证结果。

第一性原理是控制回路。 Agent 不是一次问答，而是循环：观察、计划、行动、验证、记忆。缺了验证，它只是随机调用；缺了记忆，它每次都在从零开始。

目标与边界先于智能。 没有边界，Agent 越强越危险。必须定义：允许做什么、禁止做什么、哪些动作需要确认、什么情况必须停下问人。自主不是无约束，而是有约束的自动执行。

工具是契约，不是插件。 每个工具都要有输入输出 schema、错误码、权限、幂等性和审计日志。模型可以选工具，但不能绕过契约。工具设计得越清楚，Agent 越稳定。

记忆要分层。 工作记忆、会话记忆、长期知识、任务状态，应该分开管理。把所有东西塞进上下文，既昂贵又混乱。记忆不是越多越好，而是该记的记，该忘的忘。

规划与执行分离。 规划器产出步骤，执行器调用工具，验证器检查结果。不要让一个模型同时负责想、做、判。角色分离，才能定位失败。

反思不是自省，是重试策略。 失败后要分类：参数错、权限错、环境变、目标不清。不同错误不同恢复，而不是无限重试。没有分类的反思，只是重复犯错。

人机协同是默认选项。 高风险动作要确认，模糊意图要澄清，异常要升级。Agent 的价值是自动化流程，不是移除责任。

评估与可观测性是生命线。 轨迹、工具调用、成本、延迟、成功率、失败原因都要记录。没有回放，就无法改进。没有评估，每次模型升级都是赌博。

这些原则可以浓缩成一段伪代码：

def agent(goal, tools, memory):
    state = observe(goal, memory)
    while not done(state):
        plan = planner(state)              # 只规划，不执行
        action = policy(plan, tools)       # 受权限与护栏约束
        result = execute(action)           # 工具契约保证可审计
        state = verify(result, state)      # 失败则重试或升级
        memory = update(memory, state)
    return deliver(state)

这段代码不完整，却表达了核心：Agent 系统是状态机、工具层、验证器、记忆和护栏的组合。模型只是决策组件之一。

AI Agent 系统最终卖的不是自主，而是可靠交付。会调用工具是起点，能控制循环、管理失败、承担责任，才是系统。