自主 Agent

自主 Agent 是接收高层目标后，能在无持续人工干预的情况下独立规划、调用工具并迭代执行直至完成的 AI 系统。与单轮对话模型不同，它持续运行「感知—思考—行动—观察」循环，自主处理中间异常，是当前 LLM 落地最具潜力也最需严格安全边界的范式。

自主 Agent 的经典定义由多位研究者在 1990 年代相继给出，共同强调「自主性、目标导向、持续交互」三要素。

• 自主性：无需人类逐步指令，可独立决策下一步行动
• 目标导向：所有行动服务于预设高层目标，而非响应单条指令
• 感知与行动循环：持续感知环境状态，输出动作，再观察结果，形成闭环
• 工具调用：通过调用搜索、代码执行、数据库查询等外部工具扩展能力边界
• 长时运行：可跨越数分钟乃至数小时的任务周期，自主处理中间异常与重试

自主 Agent 的概念演进横跨三十余年，从学术理论走向大规模工程实践。

• 1991：Brustoloni 首次给出形式化定义：「能在真实世界中自主、目标导向行动的系统」
• 1995：Pattie Maes 定义 Agent 为「栖居于复杂动态环境、自主感知并行动以完成设计目标的计算系统」
• 2002：国际会议 AAMAS（Autonomous Agents and Multi-Agent Systems）正式成立，Agent 研究进入建制化阶段
• 2022：Yao 等人（Google Research & Princeton）提出 ReAct 框架，将推理链与工具调用交织，奠定 LLM 时代自主 Agent 的核心范式
• 2023：AutoGPT（2023 年 3 月）与 BabyAGI 相继开源；OpenAI 开放 Function Calling API，加速工程落地
• 2024—2025：Computer Use、多 Agent 协作、长期记忆等能力快速演进，Agent 开始进入企业级部署

现代基于 LLM 的自主 Agent 普遍采用 ReAct（Reasoning + Acting）范式运行。

• Thought（思考）：LLM 生成推理轨迹，分析当前状态并规划下一步行动
• Action（行动）：调用预定义工具（搜索引擎、代码执行器、API 等）或生成结构化输出
• Observation（观察）：工具返回结果反馈给 LLM，作为下一轮推理的上下文输入
• 循环终止：目标达成、步数上限到达或触发异常中止条件时退出循环
• 设计优势：推理与行动交织使 Agent 能动态调整计划，处理原始目标分解时未预料到的中间状态

自主 Agent 长时运行带来「失控循环」与「不可逆操作」风险，工程实践中必须设置严格约束。

• 最大步数限制：设置硬性步骤上限（如 50 步），防止无限循环消耗资源或产生意外副作用
• 工具白名单：只开放经过审核的工具集，禁止任意代码执行或未授权网络访问
• 人工介入点（HITL）：在关键决策节点（如写入文件、发送邮件、调用付费 API）前暂停并请求人工确认
• 沙箱隔离：在受控环境中执行代码，防止 Agent 对宿主系统造成不可逆影响
• 审计日志：记录全部 Thought/Action/Observation，支持事后追溯与调试

自主 Agent 常与多个相近概念混用，以下对比厘清边界。

• 自主 Agent vs 普通 Agent：普通 Agent 每次工具调用后控制权回到用户；自主 Agent 在多步决策中自行维持状态，人不在场也持续运行
• 自主 Agent vs RAG：RAG 解决单次检索增强生成的知识获取问题；自主 Agent 解决多步骤目标执行问题；两者结合即为 Agentic RAG
• 自主 Agent vs 固定工作流：工作流路径预先硬编码，可预测性强；Agent 路径由模型运行时动态决定，灵活性高但可预测性低
• 自主 Agent vs 多 Agent：自主 Agent 强调单体系统的长程自主性；多 Agent 强调多个实体的分工协作，两者可叠加

自主 Agent 已在多个垂直领域落地，但成熟度与风险水平差异显著。

• 软件工程辅助：自动读取代码库、定位 Bug、生成并运行测试用例（如 SWE-agent、Devin）
• 信息检索与研究：多轮搜索、汇总、交叉验证，生成研究报告（如 Deep Research）
• 数据分析：编写并执行 Python/SQL，迭代探索数据集并生成可视化结果
• 个人助理自动化：管理日历、起草邮件、填写表单等需要跨应用操作的复合任务
• 企业流程自动化：结合 Computer Use 操作 GUI，替代重复性人工操作，弥补传统 RPA 对动态页面的不足

尽管进展迅速，自主 Agent 在可靠性与可控性方面仍面临关键瓶颈。

• 幻觉累积：每步小错误沿执行链路放大，最终输出可能严重偏离目标，且中间步骤难以审计
• 长程规划失败：任务步数增加时，LLM 容易偏离原始目标或陷入局部重复循环
• 上下文窗口限制：长任务积累的历史信息超出上下文窗口，导致「失忆」并引发决策偏差
• 提示注入攻击：恶意网页或文档可注入指令劫持 Agent 行为（Prompt Injection），是自主 Agent 特有的安全风险
• 成本失控：长链路任务消耗大量 Token 与工具调用次数，若无预算上限，单次任务成本可能远超预期