AI Agent落地：开发者该做的三件事

多Agent系统很热，但真正能交付业务结果的项目并不多。Anthropic公开的数据显示，多agent架构约消耗普通对话15倍的token，如果没有明确的质量增益，这笔额外调用成本就是纯亏损。对开发者而言，与其急着搭一套agent swarm，不如先复制一个受控闭环：先证明业务结果，再扩大自治范围。以下三件事，是当下投入产出比最高的动作。

第一件事：给现有流程补齐人工基线

选场景的原则是高频、可判定、且包含至少一次真实工具动作。把人工处理分钟数、反功率（人工复核占比）、错误率、外部副作用以及每个成功任务成本记录下来，作为基线。

有了基线，判断就变得简单：规则明确、顺序固定的改字段或报表任务，先用确定性工作流；只有步骤随输入变化时才启用agent；可并行且能独立验证的任务，再考虑主管-执行者模式。这样开发和预算负责人能分清谁该用agent、谁该继续用脚本，避免把简单的if-else包装成昂贵的智能体。

第二件事：把首版限定成有借单agent

首版的范围必须收窄：最多5类只读工具、每次最多12次工具调用、最多2次自我修正，再加超时、每步检查点和超限转人工。这些硬边界不是保守，而是让失败可预测。

工具接口改成类型化契约，别只暴露自由文本函数。用JSON schema并设置 additionalProperties: false，再登记风险、超时、重试、幂等性和审批要求。这样开发和平台团队只改接口、预算和状态，就能按边界调试。每次最多12次工具调用，预算设50%、75%、90%三档告警。按工程验收门槛，schema合法率应≥98%，重试率≤5%，无限循环为0。

JSON Schema 与 additionalProperties: false

JSON Schema 是一套用于描述和校验 JSON 数据结构的标准，可以声明某个接口接受哪些字段、每个字段的类型、是否必填、取值范围等。在工具调用场景中，模型生成的参数本质上是结构化数据，用 schema 约束它，相当于给模型的输出加了一层机器可验证的契约。additionalProperties: false 是一个关键开关：它禁止对象中出现 schema 未声明的额外字段。默认情况下 JSON Schema 允许额外属性，模型可能“顺手”塞入拼写错误或臆造的参数名，而下游服务若做了宽松解析就可能被静默接受，导致难以排查的副作用。开启该选项后，任何越界字段都会在校验阶段被拒绝，错误在入口处暴露，而不是在业务逻辑深处爆发。这也是文章强调“类型化契约”而非自由文本函数的核心原因——可校验、可拒绝、可复现。

幂等性

幂等性指同一操作执行一次与执行多次所产生的效果相同。在 agent 会重试工具调用的系统里，这是防止重复副作用的第一道防线：如果一次“创建工单”或“发起退款”的调用因超时被重试，非幂等的接口会生成两条记录或扣两笔款，而幂等接口（例如携带客户端生成的唯一请求 ID，服务端据此去重）只会生效一次。文章要求在每个工具登记风险、超时、重试、幂等性和审批要求，正是因为重试策略与幂等性必须成对设计——只设重试而不保证幂等，等于把网络抖动放大成业务事故。对只读工具，幂等性天然成立；对写操作，则需要在接口层显式实现去重键，并在契约中标注，供上层编排判断哪些步骤可以安全重放。

第三件事：把自动修改做成受控闭环

定位告警和文件、生成补丁、重新运行单元测试与静态分析和CodeQL，验证通过后只创建可审查的PR，不直接改主分支。

这里的关键认知是：最终成功可能掩盖错误步骤，所以别只看答案。要同时平端到端成功率、步骤通过率、工具选择准确率和参数准确率，代码任务以独立复验为准。

上限按离线回放、影子运行、低风险自动执行、高风险HITL受限自治推进。先跑50个真实任务但不写外部系统，付款、删除、外发、部署必须人工审批。这样代码评审者和安全负责人拿到的是带验证记录、可拒绝的PR。

CodeQL 与静态分析

CodeQL 是 GitHub 提供的语义代码分析引擎，它把源代码编译成可查询的数据库，再用类 SQL 的查询语言检索漏洞模式，例如污点从不可信输入流向危险函数（注入、路径穿越等）。与传统的模式匹配型 linter 不同，CodeQL 做的是数据流与控制流层面的分析，能发现跨函数、跨文件的深层缺陷，但运行成本也更高。把它放进 agent 的自动修改闭环，意义在于补上单元测试覆盖不到的安全维度：测试验证“功能是否按预期”，CodeQL 验证“是否引入了新的危险路径”。二者与静态分析共同构成验证闸门，只有全部通过才允许生成 PR。需要注意的是，这类工具会产生误报，因此闸门应设计为“拦截并转人工复核”，而不是无条件阻断，否则会拖慢低风险改动的流转。

HITL（Human-in-the-Loop，人在回路）

HITL 指在自动化流程的关键节点保留人工判断与审批，使系统在获得效率的同时不丧失可控性。文章把“高风险 HITL 受限自治”作为自治等级推进的最后一档，其含义是：对付款、删除、外发、部署这类不可逆或高影响动作，agent 可以准备方案、生成待执行指令，但实际执行必须由人确认。与之相对的是“影子运行”——agent 照常推理和调用，但输出只记录不落地，用来在零风险条件下积累真实分布上的评估数据。HITL 的设计要点是审批粒度与上下文：审批者拿到的不能只是一个“同意/拒绝”按钮，而应包括 agent 的推理轨迹、被调用的工具、参数与预期副作用，否则人工环节会退化为形式化的橡皮图章。离线回放、影子运行、低风险自动执行、高风险 HITL 这一递进序列，本质是用逐步扩大的授权换取逐步积累的信任。

放行标准：成本与人工审批

受控生产前，每个成功任务成本还要低于人工或旧流程至少50%，否则不放行。今天最该先做的，是给现有流程补齐人工基线，用它决定要不要上Agent系统。基线不清，自治范围就无从谈起。