使用工具的代理：从回答到执行的人工智能

人工智能代理是指在被赋予目标后能够自行决定何时调用哪个工具，并以此在现实世界中产生活动的系统。模型不再只是生成句子；它会在日历上添加条目、更新记录、触发支付界面。英语中对这种行为称为 agentic：输出并不止于文本，而是与行动相连。2026 年，领域的重心正是从“回答”向“执行”转移。

这种转变看似细微，但在监督与控制层面会改变一切。如果一句话是错误的可以纠正；如果一次行动是错误的就需要撤回，而且有些行动无法撤回。

• 代理不是在生成文本时决定调用哪个工具，而是基于目标来做出选择。
• 工具调用是将模型知识与现实世界行动连接的桥梁；真正的风险由此产生。
• 一句错误的话的成本在于被读者忽略；一次错误的行动的成本在于需要撤销或补救。
• 可撤回的行动可以广泛允许，不可撤回的行动应通过狭窄的通道进行。
• 人工审批不是一种礼节，而是定义行动边界的架构决策。
• 衡量代理可靠性的标准，不是它给出的答案是否正确，而是它停在哪里。

什么是人工智能代理，它与聊天模型有何不同？

人工智能代理指的是把给定目标拆分为若干小步骤，在每一步决定是否使用某种工具并根据工具的结果选择下一步的系统。聊天模型接收输入并返回文本；代理则接收输入、在世界中执行某些操作、观察结果并继续。二者的差异不在于风格，而在于循环机制。

这种循环也有别于传统的软件流程。在传统程序中，在哪个时刻调用哪个函数是预先写好的；而在代理中，这种选择发生在运行时，取决于模型当时的判断。也就是说，行为并非固定，而是根据情境调整的。这种可适应性是代理的力量，同时也说明了为何需要对其进行监督。

在实践中，定义一个代理通常依赖三种能力：承载目标、从可用工具中选择合适者、并根据工具返回的结果调整计划。当这三者结合时，系统不再计算“要说什么”，而是在计算“要做什么”。这正是 agentic 一词所指的门槛。

这一门槛也有代价。生成文本的模型出错时，读者会看到并可能忽略；而执行行动的代理出错时，错误已经渗入到系统中。也就是说，相同的能力提升，会放大工作的范围，也会放大错误的范围。2026 年领域学到的一点是，这两种放大需要分别管理。

为什么使用工具是从输出到行动的门槛？

使用工具意味着模型的输出超越了文本界限，对真实系统产生影响。单纯的语言模型只会生成概率性的词序列；一旦连接工具，就可以查询数据库、发送信息、修改记录。桥梁就是这里：输出从言语触及事实的那一刻。

理解这座桥有两个方向很重要。一个方向是获取信息；代理从外部源拉取数据并丰富其决策，这通常不会改变世界。另一个方向是改变世界；例如新增一条记录、删除某个状态、启动一个流程。第一个方向的错误令人恼火，第二个方向的错误会留下痕迹。

在设计中早点区分这两类，比事后添加任何安全层都更有价值。把可读工具和可写工具放在同一安全等级是该领域最常见的错误之一。代理可以自由读取什么、以及仅在获得审批后才能写入什么，比文本本身更能决定产品的行为。

这道门槛也解释了为什么人工智能在从“回答者”向“执行者”转变。再好的系统，如果无法触及世界，就只能作为顾问。连接工具的那一刻，它就成为一个行动者，而对行动者的期待是对其行动而非言论负责。领域重心的转移，正是将这份责任从文本带到了行动。

代理何时以及为何调用工具？

当代理发现现有信息不足以完成目标时，它会求助工具。决策隐含在文本中：模型在某一步感觉无法独立完成任务时，会选择能够填补这一空白的工具。这里的“感觉”并非字面上的意识；选择并非源自确定的规则，而是基于当下的解读，这既赋予其灵活性，也带来脆弱性。

在良好设计的系统中，工具选择不是随机的。每个工具的用途、何时适合使用以及带来的成本都会清楚地告知模型。描述越明确，减少不必要调用的可能性越大。定义模糊的工具，会促使代理要么不调用工具，要么在错误的场景中调用；两者都会悄然降低质量。

在调用时机方面常见两种失败。其一是过早调用：代理在其实凭已有信息就能完成的步骤上不必要地伸手去调用工具，既拖慢速度又额外触及外部系统。其二是延迟调用：模型错误地假设自己知道某事，实际上并不清楚，于是用自有猜测代替工具调用并以自信的口吻输出错误。健全的系统会在这两端中找到平衡：仅在真正需要时调用，但一旦需要就必须调用。

工具调用

代理为完成某一步而触发自身之外能力的结构化请求。

自主代理

在不逐步询问人的情况下，凭自身决策向目标前进的系统。

行动视野

代理在未获审批前可以连续执行的行动次数上所划定的边界。

为什么可撤回性决定审批的门槛？

一项行动是否可撤回，直接决定了它可以被多自由地放开。如果行动是可撤回的，出了问题可以修正；如果不可撤回，出了问题只能靠补救，而补救并不总是可能。因此，成熟的系统并非按正确性分类行动，而是按可逆性来分类。

这种分类也会自动绘制出审批的边界。起草草案、读取记录、执行计算这类操作可以在较大范围内被放开，因为最坏情况下可以重试。发起支付、永久删除数据、向外发送消息等则应通过狭窄的门槛，通常需要人工审批才能执行。门槛并非与行动的重要性成正比，而是与其不可撤回性成正比。

把握这个尺度是一门精细的艺术。对每个行动都加上审批会使代理失去效用；对任何行动都不加审批则会使其危险。正确的界线不是固定的，而是随情境移动：同一动作在某种情境下无害，而在另一种情境下却可能不可撤回。好的系统会随上下文评估这种差异。

在执行型代理中，信任为何被重新定义？

在回答型系统中，信任是按输出的正确性衡量；在执行型系统中，信任取决于代理停留的位置。即便模型能给出正确答案，但若在错误的时机调用了错误的工具，也会破坏信任。因为现在评估的是行为的可预测性，而非仅仅信息的质量。

这种可预测性源自几个具体特征。如果代理能逐步向外部展示它所做的事情，则可被监督；如果每个行动都可以被追溯，则有可问责性；如果在不确定时能停下来并询问，则被视为可靠。缺乏这三者，即便代理多次准确，也只是一个黑盒，而真实的信任不会赋予黑盒。

关于新信任问题的实际问法很简单但答案困难：当遇到意外情况时，这个代理会怎么做？它会留在边界内，还是会自作主张越界？领域中逐渐成熟的观点是：最可靠的代理往往是在知道自己可以做某事时，选择不去做的那一刻。

因此，信任不是单一指标，而是累积的观察。一个代理即便运行一百次正常，但若出现一次越界，那次越界会掩盖一百次的成功；因为在执行型系统中，信任按最糟糕的行为而非平均表现来衡量。一次不可撤回的错误，往往足以抹去长时间积累的声誉。

负责的行动循环应按何顺序建立？

负责的代理设计遵循一定顺序，因为安全不是事后加的，而是从一开始就要构建。下面的顺序不是产品规格，而是该领域经验所总结的优先级。

1. 先将行动按可撤回与不可撤回区分；这一区分为后续所有决策奠定基础。
2. 为每个工具写清楚它做什么以及带来何种成本；模糊的描述会产生错误的调用。
3. 在每个不可撤回行动之前设置审批门；门窄并不是功能的损失，而是信任的积累。
4. 确保代理执行的每一步都可被追踪，以便出现错误时能向前溯源。
5. 设定行动视野；代理在未获审批前不应连续无限制地执行多个动作。
6. 随时间收紧或放宽边界，因为正确的界线并非一成不变，而是随着使用而学习。

该顺序的价值在于把信任从愿望变成设计的一部分。审批门不是事后添加的警告弹窗，而是由行动的性质决定的结构。在良好构建的循环中，代理既快速又受控：大多数步骤它可以独立完成，但在少数关键步骤会停下来询问。真正的技巧是在事前判断哪些步骤属于哪一类。

执行型代理的未来走向

未来的难题不是让代理更聪明，而是如何在更可靠的边界内约束它们。随着能力增强，问题不再只是“它能否做到”，而变为“是否应当这样做，以及谁来批准”。这既是工程问题，也是责任问题。

在该领域表现良好的团队倾向于衡量代理不是能做多少事，而是能在多明确的边界内停住。他们把行动的可撤回性作为设计输入，把审批视为对齐工具而非阻碍。成功不以执行的次数衡量，而以在应当不执行时确实没有执行来衡量。

在未来成熟的标志不会是给予代理更多权限，而是更清晰地划定这些权限的边界。回答型时代教会我们去追问句子的正确性；执行型时代则教会我们去问行动的可撤回性。领域逐渐意识到：困难之处从来不是让代理去做事，而是让它在正确的位置停住。