把一叠会议邀约交给一个能读邮件、能写日历的程序，让它整理成条目。前几步它做得比人快：识别时间、抽取地点、跳过已经处理过的线程。中途出现两封邮件，同一个会议，地点写得不一样。它没有停下来问，而是自己挑了一个，把另一封标成重复。等人回头看日历，条目是对的，理由是错的。
这类小偏差很能说明问题。工具调用、任务拆解、上下文管理，这些能力在往前推进；真正让人不放心的，是它在歧义面前的处置方式——继续做，还是交还控制权。
会做事不难，难在知道事情已经变了形
大部分演示里，任务是被描述清楚的：目标明确、边界清晰、成功标准写在一句话里。现实里的任务不是这样。目标会中途改，输入会缺页，旁边那条信息看起来相关其实无关。一个 AI Agent 在这种环境里跑，考验的不是它会不会用工具，而是它能不能识别「我现在做的事情已经偏离了原意」。
这种识别很难被写进提示词。它更像一种对自身处境的判断：手上的信息够不够，这一步的结果是否符合预期，再走下去的代价是不是已经超过收益。
循环需要一个出口
从工程上看，代理的工作方式是一个反复的循环：观察、思考、动作、再观察。循环必须有终止条件，而终止条件通常只有两种写法。一种是从外面加约束，比如限制步数、限制时间、限制可调用的工具；另一种是让模型自己判断任务是否完成。
前者粗暴但可预期，代价是复杂任务容易被硬截断；后者灵活，代价是判断本身不稳。于是不少产品把出口做成显式的：先列任务清单，再约定验收标准，在几个关键节点上要求人确认。
- 先定义什么叫「做完」，而不是只定义「做什么」；
- 把不可逆的动作单独拎出来，付款、发送、删除、对外承诺，这些应当经过人；
- 允许它失败并如实报告失败，比让它勉强交出一个看起来完整的答案更有用。
日志是给人看的
可观测性常被当成运维话题，其实它是信任问题。人愿不愿意把一个流程交出去，取决于出问题之后能不能复盘：它读了哪些材料，跳过了哪一步，为什么选了这条路。只给结果的界面很省事，但没法让人建立判断。留得下过程，人才知道下一次该把哪一段交出去、哪一段自己留着。
人的位置要留对
把每个动作都设成人工审批，等于没有自动化；完全不管，又等于把风险敞口交给一个概率系统。折中的办法不是把审批均匀地撒在流程里，而是认准那些一旦发生就收不回的点。文档里的措辞可以改，日程里的占位可以调，但一封已经发出去的邮件不行。
所以谈 AI Agent 的能力时，值得多问一句：它出错的时候，代价落在谁身上，能不能被撤回。一个能干的代理让人省力；一个知道什么时候停手、什么时候把决定交回来的代理，才让人敢用。衡量它的标准，也许不该只看它做成了多少件事。