AI Agents & OrchestrationAgent，智能体与编排

01是什么 / 为什么#agent-what-why

三兄弟：自主性是一道光谱

循环怎么转，什么时候该上

基本循环四步：感知任务 → 思考规划 → 调用工具 → 观察结果，没完成就回到思考。停机条件必须显式设计：达成目标、超出步数/预算上限、或需要人来拍板——三者至少有其一，否则 agent 可能「跑飞」。这是护栏的第一块砖。

判断该不该上，两把尺：任务开放程度（路径能不能预先写死）和容错成本（单步出错可不可回退）。该上的信号：任务开放、有可验证的完成信号、允许多轮试错；先别上的信号：流程固定要求逐步审计、对延迟和成本极敏感的高频请求、出错不可回滚（转账、删数据——至少要加人工审批）。这两把尺连同六个「什么时候上」，都收进了启用条件决策器。

02核心组件#agent-components

规划与记忆

规划的主流是 ReAct 式「边想边做」：每步先写下推理再行动，用上一步的结果修正下一步——像老练的维修工，拆一步看一眼，随时修正判断。规划能力决定 agent 能接多大的活（单点技巧的出处在 Prompt Engineering 第 4 章）。记忆分两层：

「什么留在桌面、什么进档案柜」是上下文工程与记忆系统两节的主题。

一次 Function Calling 的完整来回

关键在第三步：模型只「点菜」不「下厨」——真正执行的是你的代码，权限、校验、审计都握在你手里。这是对客户讲安全时最有力的一句话。这套一来一回被 MCP 标准化成了跨厂商协议，报文逐字段的注释见 MCP 网页版。

工具是写给模型的产品

两个常见的坑：

接工具不是「有 API 就行」——命名、描述、返回的设计直接决定 agent 用不用得好。

多模态让 agent 的感知从纯文本扩展到屏幕截图、图表、扫描件——视觉成为新的工具入参，也是 Computer Use 的前提（模型怎么看懂图见 Multimodal 模块）。

03编排模式#agent-orchestration

前三种路径写死，属于「工作流」；后两种开始有自主性。生产系统的常见折中是「骨架写死、血肉自主」：外层编排服务管流程（可视化、可重试、可审计），节点内让 agent 自由发挥——和传统 BPM 引擎的区别就在这里，两者常配合使用。multi-agent 的成本账（约 15× token 换什么）统一在 Sub-agent 编排一节算。

A2A：agent 之间怎么握手

A2A（Agent2Agent）是跨团队、跨厂商的 agent 互相发现与协作的开放协议：用签名 Agent Card 声明「我是谁、会什么」（签名防伪装），任务经标准接口互相委托，全程可审计。2026-03 发布 v1.0（当前 v1.0.1），Linux Foundation 治理，150+ 组织采用。一句对照：MCP 是「agent 用工具」的 USB-C，A2A 是「agent 找 agent」的名片加合同——组织内先把 MCP 用好，有跨组织协作需求再引入 A2A（协议细节见 A2A 模块）。

A2A 版本与采用规模核实 2026-07-12，来源 A2A releases / Linux Foundation 公告；框架现状（Microsoft Agent Framework 1.0 GA 合并 AutoGen 与 Semantic Kernel；LangGraph 已过 1.0、OpenAI Agents SDK 仍 0.x——短名单都能用，API 稳定性承诺不同）同日核实，来源 官方公告与 GitHub releases。不可外推边界：版本号与 API 稳定性承诺都是当日快照；「短名单都能用」指的是都有公开生产案例，不是能力等价——选型仍要按自己的负载实测。

04工具接入与 MCP#agent-tools-mcp

agent 侧要点

信任边界在 Host：授权、可见性、调用确认都在宿主层控制，server 只声明能力、被动应答。设计取舍记一条：能用资源（Resources）就别包成工具（Tools）——只读数据走资源，上下文更干净、权限也更好管。现状一句话：现行规范 2026-07-28（无状态核心，server 更好扩容），旧版进入兼容期 （弃用到移除至少留 12 个月），AAIF 中立治理不绑定厂商。

生产工具的六层契约（agent 侧独有）

投入在工具契约上的一小时，常比调一天提示词更能提升成功率——工具返回的质量决定模型「看到什么」，提示词只决定「怎么看」。评审 agent 方案先翻它的工具清单：六层缺哪层，事故就从哪层来。

MCP 版本现状核实 2026-07-30（建议复查日 2027-01-31），来源 modelcontextprotocol.io。不可外推边界：2026-07-28 新规范已发布，本节结论已按新版更新；引用时仍必须带版本号。

05上下文工程#agent-context

直觉案例：同一个排障任务，把 20 万 token 日志全塞给模型，不如先 grep 出 2 千 token 相关段落再给——后者更快、更准、还便宜一百倍。窗口大只给了「能塞」的自由，上下文工程决定「该塞什么」（长上下文为什么贵的机制账，见 LLM-Inference 网页版）。

四板斧常组合使用。压缩有一条实操铁律：摘要必须保留「已决策事项」——丢了它，agent 会重复劳动甚至推翻自己。判断准绳一句话：每轮进入模型的上下文，是否都是「当前这步需要的最小高信号集合」。

Agentic RAG：两个模块的接缝

把检索当工具交给 agent：它自己决定查不查、查什么、查几轮，根据首轮结果改写查询再深挖——检索从「固定的前置步骤」变成「循环里的自主动作」，代价是延迟与成本随轮数上升。检索质量的地基（切分、Embedding、重排序、评估）全在 RAG 模块——那边把库建好，这边 agent 才有得查。RAG 建库的投资完全复用，区别只在调用方式。

06评估与护栏#agent-eval-guardrails

评估三刻度

评估集从真实失败案例滚动积累，每次改动全量回归。可观测性三件套：全链路追踪（LangSmith / Langfuse / Arize Phoenix / W&B Weave，每步调用、token、延迟可回放）、在线评估（对生产流量抽样打分）、成本与告警。选型口诀：LangChain 栈选 LangSmith，数据不出门选 Langfuse / Phoenix 自托管。先上追踪、再上 multi-agent，顺序不能反。

OWASP 风险清单与防护组合拳

OWASP《Top 10 for Agentic Applications》（2026）是行业标准清单，风险的共性是「agent 轻信了不该信的内容」：

防护是组合拳而非银弹：最小权限 + 高危动作人工审批 + 输入/输出过滤 + 不可信内容隔离标记 + 常态化对抗测试。像新员工入职三件套：工卡只开必要门禁、大额报销要主管签字、外来包裹先过安检。人工审批只审高危动作（转账、删除、对外发送），通常只占动作数的一小部分，却挡住绝大多数不可逆风险。agent 的安全不取决于模型够不够聪明，取决于权限与流程设计得够不够克制。

把审批范围划下来，顺手也把责任划清了。范围按动作分档，不按任务分档：读类动作（查询、汇总、起草）放手跑；写类动作限制在可回滚的范围里；不可逆动作签字放行。对应的责任链条正好三段——模型只输出调用请求（供应商侧）、你的代码真正执行（工程侧，权限与审计都在这一格）、高危动作由人签字（业务侧）。客户问「出了事谁负责」，答案就是这三段，逐段都有主体；配上可回放的全链路追踪，事故复盘就不是各执一词。

OWASP 清单与工具格局核实 2026-07-07，来源 genai.owasp.org 与各官方文档。深入的攻防机制见 Security 模块。不可外推边界：OWASP 清单是风险面的行业共识，不是覆盖度承诺——清单上没有的不等于不存在，记忆投毒（ASI06）就是后补进来的。

07低代码平台#agent-lowcode

选型按主负载对号入座：问答→Dify、集成→n8n、对话 bot→Coze、私有化+治理→HiAgent 类。 stars 与版本号会漂，方向不变。许可证是售前必答题——别等客户法务来问；「开源免费为什么买你的」的答案在托管、治理、SLA 与升级保障，不在功能本身。

与 code-first 的边界：分水岭三问

① 状态机复杂吗（多分支/回滚/长事务）？② 要可测试、可版本化吗（CI/评估回归）？ ③ 要深度定制吗（自定义循环/上下文工程）？两个「是」就该下沉代码（LangGraph / Agent SDK）。生产范式是「平台做壳、复杂节点下沉代码」——Dify 节点里调一个 LangGraph 服务是常规操作；锁定主要在工作流画布（格式不通），对策是复杂逻辑早下沉，画布只做薄编排。

把锁定摊开看，迁移成本是逐层递增的：换生成模型最轻，工具契约与编排结构都不跟着模型走；换工具或后端次之，接了 MCP 就是换一个 server、agent 侧不动；换编排框架中等，看复杂逻辑有没有下沉成独立服务；换画布最重，因为画布格式互不相通。所以「怕被锁定」的注意力该放在最下面那层——越难换的层，越该薄。

四平台口径核实 2026-07-10（Coze / Dify / n8n 行 2026-10-20 刷新），来源 GitHub 仓库 / 官方文档 / 融资报道。

08记忆系统#agent-memory

两张图：认知分类与工程分层

记什么（认知分类）

存哪里、归谁管、怎么删（工程分层）

设计评审两张表都要过。

与 RAG 的边界：RAG 记组织的知识（文档、口径），记忆记这个用户与这个 agent 的交互史——载体技术相通（都是存储+检索），管理策略完全不同，两套并存。隐私合规按个人数据管理：可查可删（遗忘权）、最小化存储、保留期明确。

记忆投毒：比注入更阴险

攻击者把恶意内容写进长期记忆，此后每次会话都发作——与提示注入的关键区别：注入随会话重置，投毒跨会话持续。OWASP Agentic Top 10 已单列为 ASI06；研究口径触目惊心：MINJA 注入成功率 >95%，多项研究报 80–99.8%。三道防线：写入前过滤并标记来源、任务之间清理临时上下文、记忆写入鉴权并定期审计——把记忆当数据库管，不当草稿纸。投毒的记忆像后门，不主动审计根本发现不了。

框架横评与投毒研究核实 2026-07-11（Mem0 stars 2026-10-20 刷新），来源 2026 横评 / arXiv 2601.05504、2607.06595。防线与 Security 第 5 章同源展开。不可外推边界：投毒成功率来自研究环境的对抗实验，不能外推成生产系统的实际发生率；它支持的是「必须有写入过滤与审计」，不是「你已经被投毒了」。

09Computer Use#agent-computer-use

三条路线与两个基准口径

三条路线按任务所在处选：Claude Computer Use（截图+鼠键通用原语，跨 VM/远程桌面，唯一全桌面）；Gemini Computer Use（DOM 感知，纯网页任务更稳更便宜）； OpenAI Codex Background CU（2026-04 发布，macOS 桌面批量并行）。开源代表 Browser Use。

售前纪律：基准不是生产就绪认证——演示用「短、窄、可重试」的任务圈定范围，把 20.6% 那个数字主动讲出来反而赢信任。

与 RPA 的关系、安全与成本

RPA 流程写死——稳而脆，界面改一个按钮就断；Computer Use 自适应——但慢而贵。落地常态是混合：RPA 跑稳定主干，CU 处理变化页面与异常分支，存量投资不浪费。安全边界四件：跑在沙箱/虚拟桌面（别碰真实工作机）、账号最小权限、不可逆操作人审、屏幕内容当不可信输入——网页里藏一行字就可能指挥 agent，注入面转移到了屏幕上。成本提醒：每步都要截图进模型，视觉 token 是大头——按「步数 × 每步截图成本」估算，长流程常是 RPA 混合的账更好看。

路线与基准核实 2026-07-11（OSWorld-Verified 2026-10-20 刷新），来源 2026 对比矩阵 / arXiv 2606.29537。不可外推边界：两个基准的口径差得很远（短窄任务 vs 长程多应用），任何一个数字单拎出来都会误导，对客必须两个一起给。

10Sub-agent 编排#agent-subagent

三个关键性质，定一切用法与局限

两家实操对照与触发四层

概念完全同构：配置文件＋内置角色＋并发/深度限额——学会一家，另一家只是方言。触发机制四层从软到硬：① description 自动路由（写得越具体命中越高）→ ② 对话点名 → ③ CLAUDE.md 常备指令（放倾向，别放硬流程）→ ④ skill 绑 context: fork（显式触发，硬保证）。

派与不派：一本账

口诀：「我要的是结果，还是过程？」——只要结果，外包给 sub-agent；过程影响后续决策，留在主对话。

派与不派

治理三件：按任务价值分层开、并发限额、token 预算与超额熔断——先上追踪和预算，再开 multi-agent。

预算这一件对客还有第二重用处：agent 的成本之所以说不准，根子在步数不确定，而步数是可以设上限的。给单任务定一个 token 上限并配超额熔断，成本就从「说不准」变成「有封顶」，报价随之可算——单任务封顶 × 任务量。客户要的从来不是最低价，是知道最坏情况是多少。

机制与配置核实 2026-07-17（深度口径 2026-08-01、Codex 并发口径 2026-10-20 刷新），来源 Claude Code / Codex 官方文档；决策账数字来源 Anthropic 多 agent 研究系统工程博客（BrowseComp 内部评测口径，两家产品迭代都快，引用前先核日期）。

11决策器与问答#agent-cheatsheet

启用条件：六个「什么时候上」

口诀：每一级升级都有成本——默认从最简单的形态起步，被真实需求推着升级，而不是被技术新鲜感推着。

按症状导航

生产就绪：六条验收线

①任务结果（pass^k、判分器、业务指标）②控制边界（拒绝轨迹、越权回归、责任矩阵） ③工具与数据（错误分类表、重复调用测试、跨租户用例）④安全与隐私（威胁建模、红队记录） ⑤SLO 与成本（压测、预算告警、降级策略）⑥恢复与发布（故障演练、runbook、回滚记录）。终极判断一句话：任何一次运行都能回答「谁发起、允许什么、做了什么、为何停止、结果怎样、谁接管」——演示成功只证明可能性，不证明可长期托管。

现场高频追问

只收会改变某个决定的问题——会改变技术方案、风险判断、验收方法、对客沟通或下一步行动。

每题标出它加入本题库的日期：2026-07-07 来自讲义首版对练页， 2026-07-10/11 来自低代码/记忆/Computer Use 增章，2026-07-17 来自 Sub-agent 编排增章，2026-07-23 是按客户交锋场景补的四题（责任归属 / 成本估算 / 换模型换平台 / 能不能放手）。

12上云怎么落地#cloud

底座与三大件：agent 落在哪些服务上

顺着追问什么：这个场景的路径能不能预先写死？写得死就用工作流，别急着谈托管 agent 运行时。客户现在在哪朵云上，模型走云上目录还是原厂 API？团队对厂商锁定有多在意——愿不愿意用原生 SDK 换深度集成？

云替你做不了什么：托管运行时把循环、会话、扩缩容接过去，不替你定停机条件——目标怎么算达成、步数和预算上限设多少、哪一步必须人来拍板，仍然是你要设计的第一块砖。托管记忆件替你存和取，不替你判断哪句话值得写进长期记忆：把一次推断当成事实写回去，就是记忆那一节讲的事故常态。

编排与交接：路径写死的和写不死的

顺着追问什么：这条流程里，哪几步每次都一样、哪几步得看情况定？写死的交编排服务，写不死的才留给 agent。agent 之间是同步等结果，还是可以异步交接、允许排队？有没有跨团队、跨厂商的 agent 要互相发现——有才轮到 A2A。

云替你做不了什么：编排服务管得住写死的那段：可视化、可重试、可审计说的都是它；agent 自主的那段每次路径都不同，只能靠评估集和全链路追踪盯着。队列让交接可重试可缓冲，可交接内容写得含糊，重试多少次也还是那个结果——派出去的任务书必须自包含，这是 sub-agent 那一节的纪律。

接工具：MCP 在企业里怎么部署

顺着追问什么：要接的私有系统有没有现成的官方 server，还是得自己写一个？MCP 流量走不走你们现有的 API 网关，认证接哪套 IAM？哪些 server 允许被调用、谁来批——授权落在宿主侧，这个人是谁？

云替你做不了什么：网关和 IAM 管的是「谁能调这个 server」，管不住「server 返回来的内容能不能信」——工具返回值本身就是间接注入的入口。托管目录解决的是找得到、连得上，解决不了工具描述写得好不好：描述含糊、职责重叠，模型照样选错工具，六层契约缺哪层事故就从哪层来。

上线之后：护栏、审计与账单

顺着追问什么：出了一条坏结果，现在多久能定位到是哪一步的问题？哪些动作是不可逆的，谁签字放行？单个任务的 token 上限打算定多少，超了是告警还是直接熔断——全量 trace 又归谁看，那批日志本身也是敏感数据。

云替你做不了什么：内容护栏过的是输入输出的文本，拦不住「权限给多了」——讲义的口径是组合拳而非银弹：最小权限 + 高危动作人工审批 + 输入输出过滤 + 不可信内容隔离标记 + 常态化对抗测试，过滤只解决其中文本那一层。

买平台还是自己搭：四种部署形态

顺着追问什么：数据能不能出域，出域要过哪些安全评估？走自托管的话，升级线谁跟、运维谁背？要不要 SLA 和出事有人兜底——这件事愿意付多少？还有一句法务迟早会问：许可证条款你们看过没有？

云替你做不了什么：云市场一键部署管的是底座，深度定制照样受限；开源解决「能不能用」，商业版解决「谁来兜底」，这两件事别混着谈。托管省的是运维，省不掉锁定——最难换的是画布，因为画布格式互不相通，所以复杂逻辑要早下沉成独立服务，画布只做薄编排。

本节服务清单与「给客户一句话」与讲义各章的「上云怎么落地」页同源，未引入新事实；「顺着追问什么」与「云替你做不了什么」两格是网页版补的售前视角。不可外推边界：这是「哪个环节有云服务可用」的地图，不是选型结论——具体产品的地域可用性、配额、计价单位与生命周期状态会月级变动，出方案前按当期官方文档逐项复核。

13相关模块#related

同一个概念在库里只有一个主要归属，其余模块讲的是它的另一个层面。

14来源与核实#sources

本页时效性数字均经联网核实后写入，完整登记（事实 × 核实日期 × 信源）见本模块 MANIFEST。核实窗口 2026-07-07 至 2026-07-17。引用任何数字前先核日期。