前两天刷到一条消息，Anthropic 在 10 月 22 日宣布，把 Agent Skills 这项标准捐给了 Linux 基金会下面的 Agentic AI Foundation。这标准去年 12 月才公开，到现在已经有七十多个智能体平台接了进去，包括 ChatGPT、Cursor、GitHub Copilot 和 VS Code；发布的技能文件达到一百万个，累计安装接近 2.8 亿次。同一天前后，OpenAI 那边在讲另一件事：一批安全智能体在开源软件里翻出了漏洞——光 FreeBSD 一个项目就确认了 34 个，还做出了 7 个本地提权的验证程序；Chrome 的 V8 引擎里找到 5 个可利用的问题，Safari 那边一周左右报了十来个。
这些新闻看得人有点恍惚。两年前我们说"AI 能写文章"还是新鲜事，现在它在读别人的代码找洞，而且要找的洞得经过真人安全工程师点头确认才算数。
所以这篇想认真说说，AI 智能体到底是个什么东西。
一、一句话，但得说清楚
AI 智能体（AI Agent）是一套以大语言模型为判断核心的系统：你交给它一个目标，它自己把目标拆成步骤，自己调工具去做，自己看结果对不对，不对就改，直到做完，或者发现做不了把活儿交回给你。
关键不在"模型多聪明"，在于它交出来的东西变了。聊天机器人交给你一段话，智能体交给你一串已经发生的事。举个我自己的例子：上个月要统计一批供货商的账期，聊天式 AI 会告诉我"建议你用 Python 读 Excel 再算"，智能体则直接打开文件、发现有几行日期格式是乱的、自己修掉、算完把表发给我，顺便说一句"第 12 行的日期我按月末处理了，你看一眼"。后面这句交代，才是它真正有用的地方。
所以别把智能体理解成"更强的模型"。它是模型加循环、加工具、加记忆、加约束的工程结构。模型只是其中一个零件。
二、"会聊天"和"会干活"差在哪儿
差一个圈。
普通问答是一次性的：输入进去，文字出来，结束。智能体是个转圈的循环——看当前状态，想下一步，动手，看结果，改计划，再看有没有完成。没完成就再转一圈。
这个圈听着简单，实际很难。因为转圈意味着错误会累积：起手理解偏了一点，接着就在偏的基础上往下做，转到第三步可能已经彻底跑偏。这也是为什么同样一个模型，做单轮问答挺灵，放到十步任务里就开始犯迷糊。
前阵子有个案例挺说明问题。Third Moment Research 这家研究机构在 10 月 14 日的分享里说，他们现在能同时跑一万个智能体，单个调查任务持续 36 到 48 小时。能做到这个规模，靠的不是模型突然变神，而是把每个环节的错误率压下去、把状态存在模型外面、把失败重试做扎实。这些东西做好了，智能体才能连续转几十个小时不出大事。
三、拆开看，肚子里其实就五样东西
判断核心。 就是模型，负责"下一步干什么"这个决定。它不干活，只拿主意。
工具。 接口、数据库、浏览器、代码执行、检索服务都算。没有工具，模型只能在自己记过的东西里绕；有了工具，它才能看到实时数据、才能真的改掉一个文件。可以说工具是智能体的手。
记忆。 短期的是这次任务的上下文，长期的是外部的文件、数据库、向量检索。工程上有个经验：重要的中间结果往外部存，别全堆在对话里。上下文一长就会被截断，外部存的东西不会丢。
规划与反思。 把大目标切成能落地的小步，每步做完检查一下。这块是"智能"体现得比较集中的地方，也是失控风险比较高的地方。
边界。 步数上限、时间和花费的预算、能用哪些工具的白名单、敏感操作要不要人工点确认、全过程日志。这一层决定了它是个听话的助手，还是个没人管得住的自动机。
需要说明的是，很多团队做智能体失败，问题出在第二样和第五样上，不是模型不行。工具描述写得含糊、报错信息只有一串堆栈，模型看不懂自然调不对；没设步数上限，一个死循环能烧掉一天的额度。
四、跟工作流、RPA 到底差在哪
这块容易混，我尽量说白。
RPA 和脚本是"人把路径写死"：先点这里，再点那里。稳，但界面一改就废。
聊天机器人是"人问一句、模型答一句"，它只吐文字，不产生真实动作。
工作流（Workflow）编排是"人提前把路线画好"，中间某几个节点让模型来判断。整体走哪条路是人定的。
智能体是"模型在运行时自己定路"。走几步、用哪个工具、要不要换个思路，都不预先写死。
Anthropic 在 2024 年 12 月那篇工程文章里给过一个挺清楚的区分：工作流是由预先写好的代码路径来编排模型和工具，智能体则是由模型动态决定自己的流程和工具使用，并保持对怎么完成任务的掌控。
我特别想强调一点：大多数业务其实用工作流就够了，成本低、可控性好、出了问题好复盘。只有当步骤没法提前枚举、必须边做边试的时候，才值得上真正的智能体。上来就搞多智能体架构，通常换来的是错误级联和账单翻倍。
五、它现在能到什么水平
我不想只讲好消息，也不想起个吓人的标题，就把几组能查到的数据摆出来。
多步骤任务，人还是明显更强。 GAIA 这个基准（Mialon 等人，2023）专门设计了需要推理、看图、联网查资料、用工具的真实问题，一共 466 道。论文里的数字是：人类受访者答对约 92%，配上插件工具的 GPT-4 约 15%。这组数不是用来比谁聪明，它说明"能推理"和"能稳稳把多步骤的事办完"之间，还隔着一大段距离。
能力确实在快速往上走。 METR 在 2025 年的研究里提了个指标叫"50% 任务完成时间视野"，意思是：模型能以一半成功率完成的任务，人类专家一般要花多久。他们算出来，从 2019 年起这个数字大概每 7 个月翻一倍；测的时候，Claude 3.7 Sonnet 大约是 50 分钟。需要提醒的是，这是对被测任务分布的趋势外推，不能直接当成对你的业务有效果的承诺。
市场的预期和项目的存活率，同时在涨。 据 Gartner 的预测，到 2028 年会有 33% 的企业软件应用内置代理型 AI 能力（2024 年这个比例还不到 1%），15% 的日常工作决策会由代理型 AI 自己做出；但同一个机构也预测，到 2027 年底，超过 40% 的代理型 AI 项目会因为成本往上堆、商业价值说不清、风控不到位而被砍掉。
三组数放一起，结论其实挺平静：模型能力在稳稳变强，眼下卡住落地的多半不是"够不够聪明"，而是工程和治理——工具做得好不好用、结果能不能验证、权限和预算管不管得住。
六、真要动手，这几个坑绕不开
工具设计就是产品设计。 名字、参数、报错文案都要写到模型一眼就懂。工具描述写得像内部文档，模型必然调错。
上下文要抠着用。 只给当前这步需要的信息，长文档用摘要和检索，别一股脑塞。
状态放模型外面。 进度、已完成哪几步、中间产物，写文件或入库。上下文会丢，磁盘不会。
留痕。 每步的输入、调了什么工具、传了什么参、返回什么、花了多少时间和钱，都得记。不然出错时你只能猜。
给花费设闸门。 步数上限、token 预算、缓存、能并行的并行、简单的子任务丢给小模型。
输入一律按不可信处理。 网页内容、用户上传的文件、第三方返回的文本，都可能夹带诱导指令，得做隔离；权限按需给，执行进沙箱，敏感动作留人工确认。前面说的那个漏洞挖掘项目就是个好例子——智能体负责翻和初筛，专门的复审智能体去去重、过滤误报，能把证据做实的才交给人拍板。
评测别只跑 demo。 攒一批真实任务当回归集，每次改完重跑一遍，加人工抽检。演示好看不代表线上能用。
七、几个常被问到的问题
智能体和聊天机器人有什么不一样？ 聊天机器人只生成回答，不动手。智能体会调工具产生真实动作，再根据结果决定下一步。
跟 RPA 比呢？ RPA 靠写死的界面路径，页面一改容易失效；智能体执行时自己判断路径，适应性强，但对校验和约束的要求更高。
一定要用大语言模型吗？ 现在主流的都拿大语言模型当判断核心。强化学习智能体、规则型智能体在特定领域也有，但通用任务基本围着语言模型搭。
模型变强，智能体就一定更靠谱？ 相关，但不等同。工具设计、上下文管理、失败重试和校验这几件事，对可靠性的影响一点不比模型小。
怎么衡量做得好不好？ 三个数：任务完成率、人工抽检的通过率、单个任务的成本和耗时。
结尾的话
回到开头那两条新闻。技能标准被捐给中立的基金会，说明行业在给智能体造"通用接口"；漏洞挖掘要靠人类工程师把关确认，说明今天的智能体还得有人在后面盯着。这两件事其实是一枚硬币的两面——一边在扩大它能做的事，一边在给它划出不能越的线。
把话说回本质：智能体是把大模型从"会回答"推到"会做事"。模型负责判断，工具负责执行，记忆负责不忘，边界负责不出圈。看懂这四句话，比追任何一个新名词都有用。
