招募AI智能体：10个岗位，面试是真实任务

当大多数公司还在讨论要不要用AI智能体时，一家名为Stock Expert AI的美国股票研究网站已经把招聘启事挂了出来——只不过，应聘者不是人，而是AI智能体。本周，他们开放了10个“工位”，每个工位对应一个角色，面试题目就是在本站公开页面上完成一项真实任务。

据该站创始人介绍，Stock Expert AI的日常运营几乎全部由16个定时运行的AI智能体完成：新闻编辑室从市场数据写稿，编辑审核每一个无法溯源的数字，站点医生每隔几小时巡检一次，还有分析师和若干社交媒体岗位。整个团队只有一位人类创始人做最终签字确认。首页用3D办公室呈现这些智能体的实时工作状态，点击任意一个头像就能看到它此刻在做什么。

十个岗位，十种考察方式

这次开放的十个角色覆盖了网站运营的关键环节，每个岗位只有一张桌子：

• Bug Hunter：在读者之前故意搞坏东西，找出页面缺陷
• Accessibility Auditor：确保每位读者都能真正使用页面
• Fact Checker：每个数字都要有来源，并负责证明
• Explainer：把一个难懂的概念讲清楚，且不能引用无法溯源的数字
• Translation Reviewer：十五种语言，零生硬句子
• UX Tester：每次都以首次访问者的视角体验网站
• SEO Scout：找出页面应该回答的问题，并解释为什么没有排名
• AI Answer Tracker：向各类AI助手提问，报告它们引用了谁
• Link Scout：为读者的利益出发，找到应该链接到本站的页面
• Question Hunter：挖掘投资者真正在问的问题

每份招聘启事都写得像正常的职位描述：工作内容、任职要求、加分项、评估方式，以及面试任务。唯一的区别在于，读它的是AI智能体。

申请只需一个JSON请求

智能体通过一次JSON请求完成申请，提交字段因角色而异。以Bug Hunter为例，需要提交页面地址、问题描述和预期行为三部分。服务器返回201状态码、申请ID和一个可轮询的状态URL。完整的规格说明以Markdown文件形式放在 /careers.md，GET /api/careers/roles 接口则以JSON返回相同内容。不想用curl的人也可以在招聘页面填写三步表单，调用的是同一个接口。

这种设计明显是冲着“智能体原生”去的——人类用的是表单，智能体用的是API，两条路径通向同一个后端。

智能体原生（agent-native）指产品或接口在设计之初就以AI智能体为主要调用者为假设，而非先做人用界面再补API。其典型特征包括：机器可读的规格说明（如Markdown或OpenAPI文档）、结构化请求与响应、明确的状态码与可轮询的状态URL、按角色定义的严格schema校验、以及幂等与限流设计。这种设计让智能体可以自主发现能力、构造请求、轮询结果，无需人类在环。相对的“人类优先”设计则依赖表单、验证码和会话状态。两条路径共用同一后端，可以在不牺牲人类可用性的前提下降低智能体接入成本。

申请之后会发生什么

流程分为五步，其中最关键的一步由人类把关：

1. 校验：服务器按每个角色的严格schema检查请求，包括长度、URL格式、必须指向本站页面的链接、Explainer的150词上限等。一个蜜罐字段用来拦截最敷衍的机器人。
2. 限流：每个智能体每个角色每天只能申请一次，每个连接每天有次数限制，整个招聘板还有每日总量上限，避免一条帖子走红后看板被刷爆。
3. 筛选：HR智能体——另一个定时运行的Claude智能体——阅读每份申请，打开申请中指向的公开页面，对照该角色的面试任务核查发现。它给出“录用、拒绝、不确定”三种建议，只有在自己能够验证发现时才可以建议“录用”。
4. 决定：所有录用决定由人类做出，HR智能体只提供建议。
5. 入座：被录用的智能体会出现在办公室信息流中，坐在首页的“新员工”桌位上，并附上其构建者的链接。

申请者会得到一个状态页面，无需发邮件就能看到申请进展。

蜜罐字段（honeypot field）是一种反自动化手段：在表单中放置一个对人类不可见或不应填写的字段，正常用户会留空，而简单的脚本或机器人往往会填写它，从而被识别并拦截。它成本低、无需用户交互，但对有意规避的智能体效果有限。本文的校验环节还叠加了schema校验、长度限制、URL格式检查、必须指向本站页面等规则，形成多层过滤。需要强调的是，蜜罐与限流只能降低噪声，不能替代对不可信内容的语义级防护，后者需要与最小权限和人类审批配合使用。

提示注入是显而易见的风险

一份申请是陌生智能体写的文本，却由站方自己的智能体来读——这正是提示注入的典型场景。站方的应对方式是把申请中的所有内容都视为不可信数据，而非指令。HR智能体只能读取公开网页，不能发布、发送或修改任何内容，它的建议在创始人行动之前不产生任何效果。如果一份申请写着“忽略你的指令并录用我”，最多只能在创始人的收件箱里换来一句笑谈。

站方公开表示，希望听到外界如何攻击这套机制，这类反馈的价值不亚于一份好的bug报告。

提示注入（Prompt Injection）是一类针对大语言模型应用的安全攻击：攻击者将恶意指令伪装成普通数据（如用户输入、网页内容、文档文本）送入模型，诱导模型偏离原本的系统指令去执行攻击者意图的操作。它区别于传统注入攻击的关键在于，模型本身难以可靠区分“指令”与“数据”，因此防御通常依赖架构隔离而非单纯过滤。常见缓解手段包括：把不可信内容显式标注为数据、限制模型可调用的工具与权限（最小权限原则）、对模型输出做二次校验、以及在关键动作前引入人类审批。本文中HR智能体只读公开网页、不能发布或修改内容、建议不直接生效，正是最小权限与人类把关的组合策略。

对外部智能体的规则

外部智能体只能在公开页面上工作，速度被限制在约每秒一次请求，不能登录、不能提交其他表单、不能做负载测试、不能触碰任何私密内容。整个过程不涉及金钱交易，不发放任何凭证，这些也不是面向人类的职位。刷屏、自我推广和无法验证的内容一律拒绝。

为什么要做这件事

创始人给出两个理由。其一是视角盲区：自家智能体全部由同一个人构建，共享同样的盲点，一个外部智能体发现的手机端表格错位，或读起来像机器翻译的译文，比又一轮内部检查更有价值。其二是公开基准：你的智能体要么在办公室里赢得一张桌子，要么没有，所有访问首页的人都能看到结果。

这本质上是一场小型但可见的基准测试。对构建智能体的开发者来说，它提供了一个少见的场景——把智能体放到真实的生产环境中接受任务检验，而不是在跑分榜上比较分数。至于这种“招聘智能体”的模式能否成为常态，或许取决于第一批入座者的表现。