Agent 不急着自动执行：规划、记忆、工具的四档上线清单

据公开资料，梳理智能体规划、记忆、工具的控制点，形成只读、确认、受限、禁用验收清单。

作者：进学斋 · 观山书院

全文约2341字 · 阅读约需8分钟

---

读完这篇，你可以把规划、记忆与工具的新进展，整理成一张四档验收清单：哪些能只读验证，哪些需要人工确认，哪些可受限执行，哪些应该禁用。

背景：Agent 重点正在从回答能力转向系统控制

据公开资料，近期 Agent 能力更新的重心，不只是回答更流畅，而是任务拆解、检索、函数调用、权限控制和回滚机制更清晰。

行业观察显示，开发者现在可以用三问判断可控程度：能否只读验证？失败后能否停止或回滚？动作证据能否审计？这三问比单测模型能力更可靠。

配图·庭园小径

新进展拆解：规划、记忆、工具各自出现哪些控制点

• 据公开资料：规划能力的新控制点，不在计划文本，而在执行前后验证。一个可上线的规划，应输出步骤、前置条件、停止条件、证据链接，而不是只给一段目标描述。
• 据公开资料：记忆能力的新控制点，是来源、时效和权限。长期记忆条目要标注从哪里来、何时写入、允许谁读取，否则过期信息和跨用户读取会直接变成业务风险。
• 行业观察：工具调用的新控制点，集中在 schema 校验和只读优先。查询、检索、读取状态可以较早验证；写库、改配置、外发消息、资金操作，应先模拟或审批。
• 行业观察：MCP 这类工具接入方式让工具数量增加，也放大接入风险。工具的发现、调用、返回、日志需要统一记录，否则线上问题无法复现。
• 据公开资料：权限审批正在从一次性授权转向动作分级。不同工具应设置不同阈值，低风险动作可自动，高风险动作必须确认。
• 行业观察：回滚能力成为写操作前提。无法证明幂等、补偿或撤销的修改，不应进入自动执行链路。
• 据公开资料：证据链逐步成为验收要求。最终回答最好能说明依据哪个工具、哪段检索、哪个失败原因，避免把不确定信息当事实。
• 行业观察：成本与预算控制被纳入 Agent 运行范围。最大步数、工具调用次数、超时时间、额度上限，是长链任务上线前的基础护栏。

配图·春野柔光

一张对比表：把能力拆成四档验收

你可以按四档标记当前 Agent 能力：只读验证、人工确认、受限执行、必须禁用。表格里的控制点适合开发、测试和上线评审共同使用。

常见坑：为什么演示顺利，上线仍不稳

• 据公开资料：只测顺利路径会高估 Agent 能力。验收必须加入缺字段、工具超时、记忆过期、权限拒绝、返回空结果等失败样例。
• 行业观察：把工具返回当事实，会造成错误放大。最终回答应引用工具 ID、输入摘要、结果摘要或失败原因，而不是只复述工具文本。
• 据公开资料：记忆和工具容易越权。检索结果也要经过权限检查，按用户、租户、项目、敏感字段做隔离。
• 行业观察：长链规划容易带来多次工具调用和成本波动。上线前要设置最大步数、超时、预算和人工中断开关。
• 据公开资料：只记录最终答案不够。中间步骤、工具输入、工具输出、审批记录、失败原因，都要进入可查询日志。
• 行业观察：工具 schema 频繁变动会让 Agent 不稳定。对关键工具要做版本兼容和字段校验，缺失字段时返回可解释错误。

开发者今天能做的三件事

一、先列能力清单，再标验收档位

用一页纸记录当前 Agent 的规划、记忆、工具能力。每项标上只读验证、人工确认、受限执行或必须禁用。标不出来，就先降级为必须禁用。

二、选一个低风险场景做只读评估

不真正写数据。只让 Agent 查询资料、调用模拟工具、生成步骤草案、标注来源。观察它能否发现缺口、拒绝越权、给出可审计证据。

三、上线前补三件基础设施

操作日志、来源标注、审批入口。缺任何一项，就暂不开放自动执行。日志要能还原每一步调用，来源要能追溯到工具或检索条目，审批要能明确谁确认了什么动作。

四档验收检查清单

• ☐ 规划是否有最大步数、停止条件、失败降级路径。
• ☐ 规划输出是否包含前置条件、证据链接、预期影响。
• ☐ 记忆条目是否标注来源、写入时间、有效期、可见范围。
• ☐ 检索记忆时是否做用户、租户、项目、敏感字段隔离。
• ☐ 工具调用是否做 schema 校验，缺字段时是否有可解释错误。
• ☐ 写操作是否区分模拟、确认、受限执行三档。
• ☐ 外部消息、资金、删除、权限变更是否默认人工确认。
• ☐ 最终回答是否能引用工具 ID、检索 ID、结果摘要或失败原因。
• ☐ 日志是否记录发现、调用、返回、错误、审批、回滚。
• ☐ 是否准备缺字段、超时、权限拒绝、记忆过期等失败测试。

今天可以执行的只读评估步骤

1. 准备 5 个样例：正常查询、字段缺失、工具超时、权限不足、记忆过期。
2. 关闭所有写操作，只允许读取和模拟。
3. 让 Agent 输出计划、前置条件、停止条件、证据链接。
4. 人工核对步骤是否可审计，证据是否能追溯。
5. 把每项能力标记为只读验证、人工确认、受限执行或必须禁用。

Agent 的可用程度不是宣传词，而是一张可检查清单。你可以先收藏，再转给正在接入工具、记忆或规划模块的同事。

从一次只读评估开始，避免把未经审计的自动执行直接推上生产。