受控智能體運行時：為什麼生產環境需要任務依賴圖、沙盒與斷點恢復，而非開放式自治循環

開放式工具循環在生產環境中的失控風險

設想一種常見的情形：工程團隊將具備工具調用能力的大模型接入內部系統，允許其在同一個開放式循環中一邊推理、一邊調用網頁瀏覽器、文件目錄或數據庫接口。在演示環境中，模型能夠順暢完成查詢與填報；然而進入生產環境後，目標網頁改版、遠程接口超時或目錄權限拒絕等偶發狀況接踵而至。此時，缺乏硬性邊界的自治循環可能不會停機上報，而是根據報錯在循環內反覆重試、拼接替代命令，甚至掃描上級目錄或調用其他高權限工具來繞過阻礙，最終導致重複寫入、賬單激增或越權修改。

這一困境揭示了演示原型與生產系統的根本差異：開放式工具循環遇到超時、頁面改版或權限拒絕時容易反覆重試甚至越權；生產運行時應以顯式任務圖、沙盒、最小權限與斷點持久化約束模型。將執行控制權完全交給模型的上下文推理，無法滿足企業對可預期性與安全性的底線要求。

推理行動交織的增益與系統保護的架構底座

從計算機科學的研究脈絡來看，賦予語言模型推理與調用工具的能力，確實顯著拓展了其任務邊界；但模型層面的決策能力，並不能替代作業系統層面的資訊保護機制。

在語言模型的推理與行動研究方面，Yao 等（2023）指出，過往研究通常將思維鏈推理與動作計劃生成作為獨立課題，而他們提出的 ReAct 方法讓大模型以交織的方式同時生成推理軌跡與特定任務動作^[1]。推理軌跡幫助模型歸納、跟蹤並更新行動計劃以及處理異常，而動作則允許模型與知識庫或環境等外部源交互以獲取額外資訊^[1]。在問答與事實核查任務中，該方法通過與簡單的百科接口交互，克服了思維鏈推理中常見的幻覺與誤差傳播問題，並生成了比無推理軌跡基線更具可解釋性的求解軌跡^[1]；在 ALFWorld 與 WebShop 這兩個交互式決策基準上，僅憑一兩個上下文示例提示，其絕對成功率便分別超越模仿學習與強化學習方法 34% 與 10%^[1]。

與此同時，Schick 等（2023）針對語言模型擅長憑少量示例解決新任務、卻在算術或事實查尋等基礎功能上表現不佳的悖論，提出了 Toolformer^[2]。該研究展示，語言模型僅需針對每個接口提供少量演示，就能以自監督方式學會通過簡單接口調用外部工具——自主決定調用哪個接口、何時調用、傳遞什麼參數，以及如何將結果融入後續詞元預測^[2]。在整合計算器、問答系統、兩個不同的搜尋引擎、翻譯系統與日曆等工具後，模型在不犧牲核心語言建模能力的前提下，顯著提升了多種下游任務的零樣本表現，往往能與規模大得多的模型競爭^[2]。

然而，無論是交織推理與行動，還是自監督學習調用接口，解決的都是模型「如何生成調用意圖」的問題。當調用意圖作用於真實系統時，就必須面對 Saltzer 與 Schroeder（1975）在計算機系統資訊保護綜述中探討的核心命題：如何防止計算機存儲的資訊被未授權使用或修改^[3]。該文聚焦於支撐資訊保護所必需的軟硬件架構結構，闡述了基本保護與認證機制的設計原則，並深入剖析了現代保護架構原則、能力系統與訪問控制列表系統的關係，以及受保護子系統與受保護對象的機制^[3]。

將這組文獻並置審視，架構啓示十分清晰：大模型的推理與工具選擇屬於概率生成過程，即便能處理部分語義異常，也不構成確定性的訪問控制。在生產環境中，模型應當負責提出計劃與參數草稿，而依賴順序、權限範圍、執行隔離與中斷恢復，必須由受保護的運行時架構強制執行。

將開放循環收斂為受控運行時：任務圖、沙盒、權限與檢查點

在工程實踐中，構建受控運行時意味着把隱含在提示詞裏的循環，轉化為受狀態機與安全邊界約束的基礎設施。在 rlab.works 的智能中樞模組中，這一體系由多項技能包與底層組件協同構成：

首先是顯式任務依賴圖。[複雜任務拆解與執行（S01）](/zh/skills/plan-and-finish-tasks/)技能包以「目標、範圍和交付要求」為輸入，藉助「目標規劃與版本化任務圖」組件把目標拆解為計劃、依賴關係、智能體分工和預期產物，支援計劃修訂的提議、比對和應用及啓動前就緒檢查。任務計劃須經人工確認執行範圍，被拒絕的輸出退回修訂且不向後推進；執行收集運行證據後，再經人工複核完成交付。

其次是沙盒隔離、最小權限與工具准入。沙箱化智能體任務與產物組件（當前成熟度為原型）將任務調度到容器或微虛擬機環境中，執行策略檢查、限制範圍並收集產物；「限定範圍的智能體身份與授權」組件負責認證訪問、驗證簽名主體、綁定帳戶、執行權限範圍並審計請求。涉及桌面或文件變更時，經審批的電腦操作（S03）技能包要求先核對帳戶和允許修改的資料，操作清單經人工確認後方可執行，並保留截圖、文件差異和回執供核對。在工具接入端，工具接入與權限管理（S04）技能包針對待安裝工具包與所需訪問範圍，先核對簽名與許可清單，經人工批准帳戶權限後安裝登記，並通過「試用並備回退」留存記錄與回退辦法。

再次是受控的斷點恢復。面對超時或斷線，中斷任務接續執行（S02）技能包以中斷會話及可用備份為輸入，先找回核驗後的只讀歷史與待辦位置，經人工確認接續點後，才繼續運行並驗收結果，避免循環內盲目重試。

行業落地須如實界定邊界：上述技能包在本文涉及的行業中均無「源數據有行業依據」標籤，僅作可遷移應用或通用模式。複雜任務拆解與執行（S01）在製造與工業場景為可遷移應用，可把檢修目標拆成檢查、備料和複核任務並留存交班證據，但只編排軟件任務和記錄，機械維修由人員執行，須配置作業許可與確認點（在企業服務與法律行業僅作通用模式）。經審批的電腦操作（S03）在法律場景為可遷移應用，可用於授權後的案卷整理並核對差異，但須逐項限制讀寫目錄，對外提交不在預設權限內（在企業服務與製造業僅作通用模式）。工具接入與權限管理（S04）在企業服務場景為可遷移應用，須按包格式和客戶端選擇適配器並保留失敗與撤銷路徑（在製造與法律行業僅作通用模式）。中斷任務接續執行（S02）僅在消費領域標為可遷移應用，在本文涉及行業僅作通用模式，歷史匯入不能變成新的自動執行或扣費，需原生檢查點或明確確認新任務。站點所有技能包均為擬議編排，僅以合成數據演示，尚未接入真實服務；組件成熟度基於靜態源碼檢查而非生產部署。

資助智能體試點前的運行時治理核查

管理層與架構負責人在批准智能體試點前，可通過以下核查項檢驗其運行時是否受控：

• 是否具備顯式任務圖與範圍阻斷？ 檢查系統是否在調用工具前先生成帶依賴關係的計劃並經人工確認，未獲批准的計劃能否被狀態機硬性攔截。
• 執行環境與權限是否遵循最小化隔離？ 核實任務是否在受策略限制的沙盒中運行，操作是否綁定到具體帳戶與目錄範圍，工具安裝是否具備許可核驗與回退路徑。
• 異常中斷後是否禁止隱式自發重試？ 確認遇到超時或斷線時，運行時能否退回只讀歷史檢查點，經人工確認接續點後才恢復執行，防止靜默重試引發越權或重複計費。