《AI Agents in Depth》学习笔记（一）：AI Agent 入门

1.1.1 观察空间与动作空间：模型与世界的接口#

类比 Hennessy 和 Patterson 把指令集体系结构（ISA）视为软硬件接口：观察空间与动作空间共同构成 LLM 与外部环境的接口。没进观察空间的信息对模型等于不存在；没进动作空间的操作，模型即使知道该怎么做也只能停留在文字建议。

两个案例：Manus 合并了原本分离的 Deep Research、Coding、Computer Use 三条路线的空间并集（网络扩观察空间、文件系统与代码执行扩动作空间、屏幕感知与点击纳入 GUI）。OpenClaw 把接口延伸到用户的数字生活：经 WhatsApp、Telegram、Slack 等消息渠道收发任务，本地优先的 Gateway 经授权连接云应用与本地文件，比早期 Manus 的隔离云端沙盒跨越更大数据边界——Manus 后来也补上 Drive 连接器与桌面本地访问，印证产品能力的演进就是两个空间的演进。

但扩展不等于一次性塞给模型——无关上下文制造噪声，过多工具增加选择成本与安全风险。有效扩展应按需、相关且可控：检索放入正确信息，工具发现只暴露当前需要的动作，以权限控制与结果验证约束动作。

共同特征：开放式动作空间（生成任意语言和代码）、内部思考（行动前先规划）、持续交互（据环境反馈调整）。

1.1.2 工具：Agent 的手脚#

按与外界互动方向分五类（详见第四章）：感知工具（搜索、文件系统、API/数据库）；执行工具（代码执行、文件操作、系统命令、外部 API）；协作工具（委托子 Agent、请求人类确认、多 Agent 协调）；事件触发工具——本质不同，不是主动调用，而是外部输入（新邮件、定时、Webhook）驱动 Agent 开始执行；用户沟通工具（文字/语音/邮件传递进展，专注信息传递）。

工具设计质量决定上限：接口不清晰模型就乱用；错误处理不到位就死锁；权限太宽泛出错难挽回。MCP（Model Context Protocol，模型上下文协议）正让工具接入像装插件。工具调用（Tool Calling / Function Calling）四步流程是 ReAct 的基础：

1
1 声明工具:   tools: [{name: "get_weather", parameters: {city: "string"}}]
2
2 模型决定:   assistant: {tool_calls: [{function: "get_weather", arguments: {city: "北京"}}]}
3
3 结果回填:   tool: {tool_call_id: "call_1", content: '{"temp":28,"sky":"晴"}'}
4
4 基于结果回复: assistant: {content: "北京今天 28°C，晴。"}

开发者只定义工具和执行调用，“调不调、调哪个、传什么”由模型自主决策。设计上从最窄能力起步、按复杂度扩展：四则运算给计算器；读表、清洗、统计、绘图给受限 Python 解释器（隔离沙盒、默认禁网、限定目录、限时限资源）；长程任务用受控虚拟工作目录保存计划、中间结果、日志与产物（限路径、容量、文件类型）。

1.1.3 LLM：Agent 的大脑#

LLM 先解析真实意图（用户说的往往不是真正想要的），再拆解任务，执行中持续判断下一步。三项关键能力：内部思考——行动前先规划推演，不改变环境却提升行动质量，推演依托预训练沉淀的逻辑规则（数学定律、因果、问题分解），非随机探索；零样本泛化（Zero-shot Generalization）——没有例子也能做；少样本适应（Few-shot Adaptation）——看两三个示范就能学会新任务模式。

模型即 Agent（Model as Agent）：先进模型通过后训练（尤其强化学习）把工具调用内化为原生能力。但模型越强，Harness 反而越关键——Harness 原指马具，不是限制马的能力，而是把力量引导到正确方向；在 Agent 语境指上下文管理、工具接口、安全约束、验证与纠正等工程外壳。模型自主空间越大，出错影响面也越大。

Rich Sutton 的 《苦涩的教训》 （The Bitter Lesson）指出：人工编码的领域先验长期总输给随算力与数据扩展的通用方法（搜索与学习）。Harness 会被模型“吃掉”吗？本书立场：方向认同，节奏务实——方向上模型会持续吃掉 Harness（工具调用、长程规划已从外部编排变原生能力）；但节奏远比直觉慢（训练以月计，无法一次内化所有业务约束）。模型每内化一层，Harness 就卸下一层，转而兜底新的能力前沿。

Agent 的学习机制分三条互补路径：上下文适应（任务内，快速低成本，不改变持久状态）；外部产物（artifact）更新（跨任务：知识文档、Prompt/Skill、程序与 Harness，可审计可修订）；参数更新（训练周期，成本高但泛化自然，适合难以显式表达的高维能力）。三者是不同时间尺度上的协同：临场适应、可控积累、内化隐式能力。

1.1.4 上下文：Agent 的眼睛#

从 API 视角，每次调用 LLM 的上下文由五部分构成：

1. 系统提示词（System Prompt）：开发者编写、全程不变的“岗位说明书”；含跨会话的用户记忆与动态注入的环境状态。
2. 工具定义（Tool Definitions）：工具的名称、描述、参数格式；与系统提示词共同构成静态前缀。
3. 用户消息（User Messages）：可含 RAG（Retrieval-Augmented Generation，检索增强生成）检索的外部知识。
4. 模型回复（Assistant Messages）：最多三部分——reasoning（思考过程）、content（文本回复）、tool_calls（工具调用），不一定同时出现。
5. 工具执行结果（Tool Results）：下一步思考的直接依据。

实验 1-1：消融实验（Ablation Study）逐一去掉组件（系统提示词作为基本身份定义不参与）：去掉工具定义→完全丧失行动能力；缺工具结果→看不到反馈，反复调同一工具陷入无限循环；剥离思考过程→前后决策矛盾；无历史消息→失忆，重复已完成步骤。

1.1.5 ReAct 循环#

ReAct（Reasoning + Acting）：模型先思考该做什么，调用工具行动，再观察结果继续思考——“想→做→看”循环直到任务完成。轨迹（trajectory）是执行中不断积累的消息历史，关键等式：Agent 的上下文 = 静态前缀（系统提示词 + 工具定义）+ 轨迹（用户消息 + 模型回复 + 工具结果）；响应生成后追加回轨迹供下次调用。多币种收入汇总任务的轨迹（伪代码）：

1
轨迹 = [
2
  {role: "user", content: "Q1 2.5M 美元, Q2 2.1M 欧元, Q3 1.8M 英镑, Q4 380M 日元,
3
    计算年度总收入和季度平均收入"},
4
  # 第一轮：并行发出三个货币转换调用
5
  {role: "assistant", reasoning: "需要将所有货币转换为 USD...",
6
   tool_calls: [{name: "convert_currency", args: {amount: 2100000, from: "EUR", to: "USD"}},
7
                {...GBP->USD...}, {...JPY->USD...}]},
8
  {role: "tool", content: "EUR->USD: 2282608.7"},   # GBP、JPY 结果同理
9
  # 第二轮：调用代码解释器汇总
10
  {role: "assistant", reasoning: "已获得转换结果，现在汇总计算...",
11
   tool_calls: [{name: "code_interpreter", args: {code: "total = ..."}}]},
12
  {role: "tool", content: "Total: $9,602,895.73, Average: $2,400,723.93..."},
13
  # 第三轮：最终答案
14
  {role: "assistant", reasoning: "所有计算完成...",
15
   content: "FINAL ANSWER: 总收入 $9,602,895.73..."}
16
]

整个任务仅 3 次迭代、4 次工具调用。精妙处在上下文的累积性：每次调用都看到完整轨迹，保持全局认知；结构化轨迹带来可解释性与可调试性；轨迹还可总结进知识库或用于强化学习，形成经验学习闭环。

实验 1-2：Kimi K3 原生 Agent 能力。 Moonshot AI 2026 年发布，约 2.8 万亿参数 MoE（Mixture of Experts，混合专家）模型，100 万 token 上下文、原生视觉、常开思考模式；RL 把工具调用决策内化为原生能力，客户端无需编排。突出优势是长链工具调用稳定性：连续 200～300 次调用保持思考一致，远超多数模型数十次即退化。提供 K3 Max 与 K3 Swarm Max（大规模并行）两规格，开源而性能比肩顶尖闭源。

实验 1-3：GPT-5.6 原生 Deep Research 能力。 提供 Sol（旗舰）、Terra（均衡）、Luna（轻量）三规格。自由格式工具调用（Freeform Tool Calling，type: "custom"）允许模型直接向工具发送原始文本（Python 代码、SQL），免去 JSON 转义——是 API 参数格式的演进而非架构革新；另有 Verbosity（详略）与 Reasoning Effort（思考深度，Sol 新增 max 档）参数。配合 Responses API 内置网络搜索与代码解释器，服务端闭环“搜索→阅读→分析→再搜索”：如搜东盟 10 国首都坐标并写代码算大圆距离找最近一对、抓多源比特币行情算 MA/RSI/MACD 并出图。最值得关注的是意图澄清：收到需求先提问确认（偏好哪个数据源？分析哪些指标？），执行前弥合“用户说了什么”与“真正想要什么”的差距。这类能力不绑定厂商：qwen3.7-plus 的 Responses API 同样内置 web_search 与 code_interpreter，配套代码已跑通上述任务。

1.2.1 从提示工程到 Loop 工程：工程范式的演进#

软件工程是基础 → 提示工程（Prompt Engineering，优化输入指令）→ 上下文工程（Context Engineering，系统性管理模型能看到的所有信息）→ Harness 工程（扩展到“模型在什么系统中运行”）→ Loop 工程（Loop Engineering，跨轮次持续自主运转：谁发现下一件该做的事、何时验证、何时算真正完成；LoopX 框架把目标、门禁、待办、证据、配额、移交、验证与终止条件放进持久控制面，详见第十章）。2026 年 7 月业界又提出 Graph 工程（Graph Engineering）：把 Agent 循环、确定性程序与人工审批组织成显式执行图——但它不是 Loop 工程的替代，循环本身就是带回边的图，节点内仍可跑 ReAct；此“图”指执行图而非知识图谱。

五个阶段层层包含：提示工程 ⊂ 上下文工程 ⊂ Harness 工程 ⊂ Loop 工程。当各家模型能力趋同，竞争优势就转移到模型之外的工程实践。 证据：LangChain 的 Coding Agent 在 Terminal Bench 2.0 上从 52.8% 提到 66.5%（30 名开外跃升前 5），改的不是模型而是 Harness（自动检查执行结果、检测重复循环、优化思考策略）；OpenAI 的 3 名工程师 5 个月完成约百万行代码、近 1500 个 PR，约为传统速度的 10 倍。

1.2.2 Harness 五个功能的核心原则#

五者构成闭环：上下文与工具支撑决策，约束预防错误，验证发现偏差，纠正闭合循环；缺任一环都有可靠性缺口。

1.2.3 构建有效 Agent 的三个核心原则#

Anthropic 的经验：保持简单——从最简单方案开始，必要时才加复杂度，直接 API 调用优于复杂框架，每层抽象都是调试盲区；保持透明——显式展示规划、日志与决策轨迹，既为调试也为信任；设计好工具接口 ACI（Agent-Computer Interface）——从 Agent 视角而非程序员视角设计，用设计让错误无法发生，即防呆（Poka-yoke，源自丰田：SIM 卡缺角只能单向插入、微波炉门没关绝不加热）。模糊接口会被模型放大成系统性错误。

1.2.4 如何选择模型#

• “御三家”：Claude 复杂推理、编程与工具调用突出（Agent 开发热门）；Gemini 超长上下文 + 强多模态；GPT/o 均衡、用户最多。别只看排行榜，要在自己的任务上做评估。
• 国内模型：豆包延迟极低宜实时交互；Kimi 国内 Agent 能力较强；Qwen、DeepSeek 开源，成本与可定制占优。工具调用能力差异大，务必实测。渠道：火山引擎、硅基流动，海外经 OpenRouter。
• 开源 vs 闭源：闭源能力领先但贵、受 API 策略限制；开源低成本、可私有化、可微调。
• 策略边界：模型“有能力”≠产品“允许调用”；各厂商对网络安全、蒸馏、隐私、高风险操作策略不同，同一任务在聊天产品/Coding Agent/API 中结果可能不同；关键业务预备人工接管或替代路径。
• 绝大多数 Agent 需要支持思考（Reasoning）的模型，仅单步简单任务或固定点击例外。
• 易忽视维度：输出速度（20 轮推理每轮慢 2 秒 = 多等 40 秒）与多模态支持。

1.2.5 编排模式：工作流与自主#

工作流（Workflow）：预定义代码路径编排 LLM 和工具，执行路径确定，LLM 只在节点内部理解和生成。订机票四节点：核实身份→搜索航班→付款→确认预订。优势：严格流程控制（“付款前不能预订”由代码强制）与安全性（提示注入或模型犯错最多影响当前节点，攻击面受限）。局限：缺乏变通——改签、航班取消等未覆盖情况只能走异常分支或交还人类。

自主 Agent（Autonomous Agent）：执行路径由环境反馈实时决定，本质是“在循环中使用工具的 LLM”（即 ReAct）。退出条件：调用最终输出工具、返回无工具调用的响应、遇错或达最大轮次。适合难以预测步骤数的开放式问题：SWE-bench（修复真实 GitHub Issue 的基准）、Computer Use、迭代研究。

实践中常混合：合规关键流程用工作流，需灵活决策处切自主模式；n8n 等可视化框架可在同一系统混用两种节点。主流框架速览：

选框架的关键不在其复杂度，而在能否以最小抽象层让你专注业务逻辑。

1.2.6 护栏与安全性#

护栏（Guardrails）是“约束、验证与纠正”的核心落地手段，本质是分层防御：单个护栏不够，多个专门护栏组合才有韧性；先针对已识别风险设置，发现新漏洞再逐步添加。按防护位置分三类：

• 输入侧（请求到达前拦截）：相关性分类器（标记跑题查询）；安全分类器——区分越狱（Jailbreak，用户自己绕过安全限制）与提示注入（Prompt Injection，攻击者借网页、文档等外部数据间接操纵模型）；内容审核；基于规则的保护（黑名单、长度限制、正则，防 SQL 注入）。
• 执行侧（工具调用时验证）：工具风险评级——按可逆性、权限、财务影响标低/中/高，高风险需额外审查或人工确认。
• 输出侧（返回用户前检查）：PII 过滤器（身份证号、手机号等个人信息）；输出验证（与品牌价值一致）。

工业实践代表——Anthropic 的 Constitutional Classifiers：规则驱动（自然语言“宪法”生成合成数据训练分类器）；上下文联合判断（提问与回答一起检查——“如何使用食品调味料”单看无害，对照提问才发现是化学试剂暗语）；两级筛查（先用直读模型内部激活、几乎零成本的轻量探针全量检查，可疑再交强分类器复审——第一级误报多也不伤体验且大幅降本）。

人工干预（Human in the loop，人在回路）：让 Agent 无法完成任务时优雅移交控制权（客服升级人工、Coding Agent 交还开发者），部署早期尤为重要。两种触发：超过失败阈值（重试/操作次数上限）与高风险操作（取消订单、大额退款付款等敏感不可逆操作，至少在建立信心之前）。

1.2.7 本书作为 Harness 工程的实践指南#

每一章构建 Harness 的某个组件，安全则是贯穿全书的横切关注点（Cross-cutting Concern）：第二章上下文工程与第三章知识库负责上下文的设计与扩展；第四章工具设计（分类、权限、MCP）与第五章代码生成（Coding Agent 的 Harness、测试驱动）负责工具及其验证纠正；第六章评估是系统级验证；第七章后训练（SFT、强化学习）把 Harness 积累的反馈写入模型参数；第八章持续进化讨论经验驱动的持续纠正；第九章多模态与实时交互、第十章多 Agent 协作扩展相应场景下的上下文、工具、约束与纠正。

Anthropic 的长时运行 Agent 实践：拆分“初始化 Agent”（设环境、分解任务列表）与“执行 Agent”（每会话增量推进、留下交接产物），化解长任务中“上下文耗尽”与“过早声明完成”两大顽疾。