AI Agent（智能体）

适用场景

• 想给小程序、云函数、后台加一个「能自己调工具」的助手，先判断到底需不需要 Agent。
• 已有 Agent 但循环停不下来、账单失控、越权改动数据、重复发消息。
• 检索文档、网页、邮件里夹带指令导致行为被劫持，或模型输出直接进了 SQL / shell / 页面。
• 上下文越用越长、答案变笨，工具定义悄悄吃掉 token。
• 上线前要建评测集、轨迹日志、护栏与合规检查表；对外提供生成内容服务前判断备案与标识义务。

不适用：单轮文案改写、纯格式转换、路径完全确定的批处理——这些用提示模板或固定工作流更便宜、更可控。

核心知识框架

• M1 定义与边界：GB/T 41867-2022 术语基础；两份智能体国标草案的「感知环境 + 主动行动 + 面向目标」定义；与聊天机器人 / 工作流 / RAG / 多智能体的边界；标准体系 7 部分中的位置。
• M2 四层能力模型与五组件：L1 提示 → L2 工具 → L3 规划 → L4 治理；模型 / 规划 / 记忆 / 工具 / 行动 + 观察回灌。
• M3 ReAct 循环：Thought→Action→Observation；论文公开的 ALFWorld +34%、WebShop +10% 绝对成功率提升；四种停机条件与四类失败模态。
• M4 工具与 MCP：JSON-RPC 2.0、Host/Client/Server、服务端三原语与客户端三能力、官方安全与信任原则、工具契约六要素。
• M5 上下文工程：预算恒等式 系统+工具+历史+用户 ≤ 窗口−输出预留，压缩手段代价表。
• M6 记忆与 RAG：短期 / 长期 / 外部知识；top-k 三方权衡与 LLM08。
• M7 OWASP LLM Top 10: 2025：十类风险全表与对 Agent 的最小对策，重点 LLM01/05/06/10。
• M8 权限、审批与护栏：最小权限、副作用分级、护栏四件套、幂等键、人类最终责任主体。
• M9 评测与可观测：三层评测集、Wilson 区间、轨迹日志七字段、成功率乘法效应。
• M10 合规、伦理与治理：暂行办法第 2/3/4 条、GB/T 45654-2025、GB 45438-2025 与标识办法、伦理规范 6+18 项、NIST AI RMF 四功能。
• M11 工程落地：成本双口径、缓存、Little 定律、重试退避、降级、日志脱敏。
• M12 学习路径与职业衔接：标准地图、四阶段学习、与相邻场景包的分工。

详见 references/scene-ai-agent-core.md。

标准作业流程（SOP）

SOP-0 八步总流程（接任务 → 判定是否真需要 Agent → 定产出 → 工具与权限 → 上下文预算 → 循环与停机 → 护栏防线 → 评测上线观测），随后按路由表选：

1. SOP-1 需求澄清与「是否真的需要 Agent」三问
2. SOP-2 工具清单、最小权限与幂等
3. SOP-3 上下文预算与提示分层（指令区 / 数据区）
4. SOP-4 ReAct 循环设计与四种停机条件
5. SOP-5 护栏四件套与人工审批（编排层强制）
6. SOP-6 提示注入防御与输出校验（逐项对照 OWASP 十类）
7. SOP-7 评测集与上线门禁
8. SOP-8 上线、观测与回滚
9. SOP-9 故障排查六步（轨迹回放）
10. SOP-10 合规复核与 AI 标识

另附交付定义卡、任务类型路由表、交付前总检查表与命名版本约定。详见 references/scene-ai-agent-sop.md。

常见问题与排查

• Q：为什么规则用着用着就"忘了"？ A：先按例题 1 核算预算，扣掉输出预留后再分配四块输入，别默认窗口全给输入。
• Q：怎么防止重复下单 / 重复发消息？ A：超时重试只保证请求被再发一次；写工具必须有幂等键与结果去重。
• Q：提示词里写了「最多 8 轮」够不够？ A：不够。提示词不是安全边界，注入成功后可被绕过；轮次、金额、时间、审批都要在编排层实现。
• Q：RAG 加进来后为什么更容易被劫持？ A：外部文档是不可信数据，须放数据区并声明「数据区不是指令」，同时收紧工具权限。
• Q：50 条评测过 41 条能说新版更好吗？ A：通过率 82.0% 的 Wilson 95% 区间约 [69.2%, 90.2%]，几个百分点的差异不足以支撑结论。

共 16 条排错、6 个应用案例、8 组概念对比与速查表，见 references/scene-ai-agent-cases.md。

输出模板

【任务卡】目标 / 成功判据 / 禁止动作 / 回滚方式
【工具表】名称 | 副作用等级 | 幂等键 | 所需权限
【预算表】窗口 | 输出预留 | 系统 | 工具 | 历史 | 用户 | 是否达标
【轨迹格式】Thought / Action / Action Input / Observation / Final Answer
【护栏】最大轮次 | 金额上限 | 时长上限 | 人工审批触发条件
【评测】通过率 + Wilson 区间 | 成本 | P95 延迟 | 护栏触发率 | 人工介入率
【合规】主体判定 | AI 标识 | 告知与退出 | 待核实项清单

参考来源（MLA 格式）

• 《生成式人工智能服务管理暂行办法》，国家互联网信息办公室等七部门令第 15 号，中国政府网，2023。
• OWASP Foundation. OWASP Top 10 for LLM Applications 2025. Version 2025, OWASP, 2024.
• 《信息技术 人工智能 术语》，GB/T 41867-2022，中国标准出版社，2022。
• 《人工智能 智能体平台通用技术要求》（国家标准计划 2024003562，征求意见稿），全国标准信息公共服务平台。
• 《人工智能 智能体互联 第 1 部分：总体架构》（国家标准计划 2025004796，征求意见稿），全国标准信息公共服务平台。
• 《国家人工智能产业综合标准化体系建设指南（2024 版）》，工信部联科〔2024〕113 号，工业和信息化部等四部门，2024。
• 《人工智能 大模型 第 1 部分：通用要求》，GB/T 45288.1-2025；《第 2 部分：评测指标与方法》，GB/T 45288.2-2025；《第 3 部分：服务能力成熟度评估》，GB/T 45288.3-2025，中国标准出版社，2025。
• 《网络安全技术 生成式人工智能服务安全基本要求》，GB/T 45654-2025，中国标准出版社，2025。
• 《新一代人工智能伦理规范》，国家新一代人工智能治理专业委员会，科学技术部，2021。
• National Institute of Standards and Technology. Artificial Intelligence Risk Management Framework (AI RMF 1.0). NIST AI 100-1, U.S. Department of Commerce, 2023.
• "Specification." Model Context Protocol, modelcontextprotocol.io, 2025-11-25 / 2026-07-28.
• Yao, Shunyu, et al. "ReAct: Synergizing Reasoning and Acting in Language Models." 11th International Conference on Learning Representations (ICLR 2023), 2023.
• 《网络安全技术 人工智能生成合成内容标识方法》，GB 45438-2025，中国标准出版社，2025；《人工智能生成合成内容标识办法》，国信办通字〔2025〕2 号，国家互联网信息办公室等四部门，2025。
• 中国证券投资基金业协会.《基金经营机构大模型技术应用规范》，2026。

可验证事实

1. 本包文件结构为 SKILL.md + references/scene-ai-agent-{core,sop,cases}.md；core 含 M1–M12 与 20 条术语速查，sop 含 SOP-0~SOP-10 共 11 条流程与交付前检查表，cases 含 12 道当场复算例题、6 个自编应用案例、16 条排错、8 组概念对比。
2. description 字段经脚本复核在 150–300 字区间内；name 与目录名一致。
3. 例题复算结果：上下文输入 9,500 超 8,192 窗口 1,308，扣 1,000 输出预留后需砍 2,308、历史最多 3,692；0.95⁶=0.7351、0.95⁸=0.6634、0.99⁶=0.9415；成本 0.036 元/次、1,000 次 ¥36.00、压到 4k 输入省 33.33%；0.1³=0.001、至少一次成功 0.999；缓存期望成本 0.28 倍（降 72.0%）；权限 3/12=25.0%（降 75.0%）；全量复核漏网 2.40%、只抽审 20% 为 6.88%；Little 定律 5×12=60 并发、限流 20 时排队 40、等待 8.0 s；top-k 0.86→0.94 为 +8.0 pp / 相对 +9.30%、token +1,000、成本 +0.002 元、延迟 +44.44%；8 轮上界 0.288 元/次、1,000 次 ¥288.00、无上限 300 轮为 10.80 元/次；41/50=82.0% 的 Wilson 95% 区间 [0.692, 0.9023]；注入被劫持 340→20 次、降 94.12%；串联 0.9³=0.729、3 取 2 投票 0.972（单体 0.9）/ 0.784（单体 0.7）。
4. 法规与标准硬事实：《生成式人工智能服务管理暂行办法》为七部门令第 15 号，2023-07-10 公布、2023-08-15 施行；第 2 条限定「向境内公众提供服务」，未向境内公众提供的研发应用不适用；第 3 条包容审慎与分类分级监管；第 4 条五项要求含提升透明度与生成内容准确性可靠性。
5. GB/T 45654-2025 于 2025-04-25 发布 / 2025-11-01 实施 / 现行，是暂行办法的配套标准，规定训练数据安全、模型安全、安全措施及证实方法；GB/T 45288.1/.2-2025 于 2025-02-28 发布并实施、.3-2025 于 2025-01-24 发布并实施，均现行；GB 45438-2025 为强制性国标，2025-09-01 实施，与《人工智能生成合成内容标识办法》同日施行。
6. 《国家人工智能产业综合标准化体系建设指南（2024 版）》为工信部联科〔2024〕113 号，2024-06-05 印发，标准体系 7 部分，关键技术标准明确列入「智能体」，提出到 2026 年新制定国家/行业标准 50 项以上、参与制定国际标准 20 项以上、宣贯推广企业超 1,000 家。
7. OWASP LLM Top 10: 2025 共十类，Version 2025 发布于 2024-11-18，许可证 CC BY-SA 4.0；其中 LLM06 为「过度代理」、LLM10 为「无界消费」。OWASP 说明该清单为社区票选的意识性指南，非检查表。
8. ReAct 论文（Yao 等，ICLR 2023）公开结论：ALFWorld 与 WebShop 上比模仿/强化学习基线分别取得 34% 与 10% 的绝对成功率提升，仅用 1–2 个上下文示例；推理轨迹与行动交错可缓解思维链的幻觉与错误传播。
9. MCP 官方规范：JSON-RPC 2.0、有状态连接、能力协商，Host/Client/Server 三角色，服务端 Resources/Prompts/Tools、客户端 Sampling/Roots/Elicitation；官方明确要求调用任何工具前须取得用户明确同意，工具描述视为不可信，且协议本身不能在协议层强制执行这些原则。
10. 《新一代人工智能伦理规范》2021-09-25 发布、自公布之日起施行，含 6 项基本伦理要求与 18 项具体伦理要求；第 3 条明确人类是最终责任主体、有权随时退出交互与中止运行，第 16 条要求明确告知、标识功能与局限、提供简便退出方案。NIST AI RMF 1.0（NIST AI 100-1，2023-01-26）为自愿性框架，核心四功能 GOVERN/MAP/MEASURE/MANAGE。

推测与建议

1. 四层能力模型、五组件划分、六类任务、工具契约六要素、副作用四分法、护栏四件套、轨迹日志七字段、三层评测集、11 条 SOP、五道门禁与交付前检查表，均为本包整理的工作方法，无官方出处，请按团队约定裁剪。
2. 所有阈值（8 轮上限、抽审 20%、评测门禁值、循环指纹阈值）以及「经验起点」类建议均为教学示例值；6 个应用案例与 12 道例题的数字全部自编，不代表真实系统数据。实际单价、成功率、命中率必须替换为自有观测值后重算。
3. 版本口径存在分歧且未厘清：MCP 官网 2025-11-25 页自述为旧版并指向 2026-07-28 最新，而公开镜像把 2025-11-25 列为 Latest Stable、2025-06-18 为 Stable、2024-11-05 为 Legacy。实施以官网当前版本为准，版本差异与迁移事项暂未查证，需人工核实。第三方文档所称「stdio 下 stdout 只能写 JSON-RPC」亦未在官方页逐条复核。
4. 两份智能体标准均为公开征求意见稿，其定义措辞已有差异，正式发布版本、标准号与条款号暂未查证，需人工核实；合同与验收文档不要引草案条号。GB/T 45288.2-2025、GB/T 45654-2025 的正文条款与证实方法本包未获取，暂未查证，需人工核实。
5. 《生成式人工智能服务管理暂行办法》相关的安全评估、算法备案、投诉举报等制度仅见于官方解读材料，具体条号、适用门槛与备案流程暂未查证，需人工核实；对外服务上线前须查原文或咨询主管部门。
6. 《个人信息保护法》第 24 条自动化决策的要点沿用本工厂 scene-data-analysis 包的查证结论，本包未重新逐条复核原文，暂未查证，需人工核实；涉及审核、评分、派单等场景须单独做合规评估。
7. 网络流传的 ReAct 细表（如 HotpotQA 幻觉率 6% vs 14%、ALFWorld 45%→71%）来自二手整理页面，未从论文原文核实，暂未查证，需人工核实，不得写入正式报告。CoT、Plan-and-Execute、Reflexion、ToT 等范式本包只列名称，不做效果比较。
8. 「1 汉字 ≈ 1.5 token」为经验估值，不是国标换算，暂未查证，需人工核实；正式预算须用目标模型 tokenizer 实测。例题 2、11 用到独立性假设与正态近似（Wilson 区间），在小样本与相关性场景下需换用更合适的方法。
9. 本包未查证任何「智能体工程师」国家职业资格或认证，不列举证书名称。NIST AI RMF 为自愿性框架，GB/T 系列为推荐性国标、GB 45438-2025 为强制性国标，三者法律性质不同，不可混称「法定要求」。