AI Agent 是什么：让大模型学会"动手

如果你问现在的 AI”帮我查下明天北京的天气”，它大概率会一本正经地编一个答案。但换成一个 Agent，它会真的去调天气 API，把结果整理好再回复你。从”会说”到”会做”，中间隔着的正是 Agent 这层架构。

Agent 的核心循环#

一个典型的 AI Agent 由三部分组成，循环运转：

规划：LLM 拆解任务，决定下一步做什么；
工具：真正执行动作的接口——搜索引擎、代码解释器、文件系统、HTTP 请求；
记忆：短期记忆是对话上下文，长期记忆是向量库里存的资料。

用伪代码表示这个循环：

1
目标: 修复 issue #123
2
循环:
3
    观察 <- 上一步工具的返回结果 / 初始目标
4
    思考 <- LLM 分析观察, 决定下一步
5
    行动 <- 调用某个工具 (读文件 / 改代码 / 跑测试)
6
    如果 LLM 认为任务完成: 输出最终答案, 退出

看起来简单，但每个环节都有大学问：规划得太细浪费 token，太粗容易跑偏；工具描述写得含糊，模型就选错工具；上下文塞太满，模型”忘了”自己最初的目标。

从聊天机器人到 Agent 的本质变化#

维度	聊天机器人	Agent
输出	文本	真实世界的动作
错误代价	说错话，重问一次	邮件已发出、文件已删除
权限需求	无	读写文件、网络访问、执行命令
攻击面	提示词注入只影响回答	提示词注入直接变成工具滥用

最后一行是重点：Agent 把提示词注入从”言论问题”升级成了”权限问题”。一个会被注入的 Agent 加上一把不受限的 shell，等于把服务器钥匙挂在门口。

动手搭一个最小 Agent#

以 OpenAI SDK 为例，一个能查时间的 Agent 核心代码不到 30 行：

1
from openai import OpenAI
2
import json, datetime
3

4
client = OpenAI()
5

6
tools = [{
7
    "type": "function",
8
    "function": {
9
        "name": "get_time",
10
        "description": "获取当前时间",
11
        "parameters": {"type": "object",
12
                       "properties": {"tz": {"type": "string"}},
13
                       "required": []},
14
    },
15
}]
16

17
def get_time(tz="Asia/Shanghai"):
18
    return datetime.datetime.now().astimezone().isoformat()
19

20
msgs = [{"role": "user", "content": "现在几点了？"}]
21
while True:
22
    r = client.chat.completions.create(
23
        model="gpt-4o-mini", messages=msgs, tools=tools)
24
    m = r.choices[0].message
25
    msgs.append(m)
26
    if not m.tool_calls:
27
        print(m.content); break
28
    for call in m.tool_calls:
29
        result = get_time(**json.loads(call.function.arguments))
30
        msgs.append({"role": "tool",
31
                     "tool_call_id": call.id,
32
                     "content": result})

跑起来你会发现：模型自己决定”该调工具了”，拿到结果后自己组织语言回答——规划循环已经初具雏形。

Agent 的安全边界#

既然 Agent 能动手，安全设计就必须跟着动：

最小权限：每个工具单独鉴权，能只读就不给写；
高危动作人工审批：删除、外发、支付类操作，弹出确认而不是自动执行；
沙箱执行：代码解释器放进容器/临时环境，跑完即焚；
全程审计：每一步”思考-行动”落日志，出事能回放。

这些原则和我在这台服务器上部署服务的思路一脉相承——回环绑定 + 反代 + 最小开放端口，权限永远只给刚好够用的那部分。

小结#

Agent 是 LLM 从玩具走向生产力的关键一步，但它同时把模型的不可靠性直接接到了真实世界的操作上。能力越大，越要先把”刹车”装好——先设计好权限边界和审计，再谈自动化。