周五下午，一个浏览器窗口在没人盯着的情况下自己打开后台，翻到订单页，改了一个字段，截图存档，最后在群里发了句“已处理”。整个过程没有对话，只有鼠标轨迹在动。这大概就是 AI Agent 和聊天框最直观的区别：它不回答你，它接着往下做。
会说和会做之间，隔着一堆琐事
模型输出的是文字，Agent 输出的是动作序列。它得把一句模糊的指令拆成若干步，判断每一步该调用哪个工具，拿到结果再决定下一步。这听着像流程自动化，其实不一样：流程是写死的，Agent 是临场决定的。灵活来自这里，不确定也来自这里——同一个任务交给它两次，走的路径可能不同。
企业里真正卡住的，往往不是模型够不够聪明。账号怎么给、失败了重试几次、改错了怎么退回、操作记录留给谁看，这些琐碎问题不解决，Agent 就只能停在演示环节。
权限要在动手之前谈清楚
不少团队的做法是先让它跑通，再回头补权限。顺序反了。一个能读能写的账号，等于把边界交给模型自己判断。更稳妥的做法是把它当成刚入职的同事：只给当前任务需要的那部分权限，做完就收回；涉及删除、付款、对外发送这类不可逆动作，留一个人按确认。
另一个容易被忽略的是可观测性。Agent 做了十步，第九步出了偏差，如果没有完整日志，事后根本说不清是模型判断错了，还是工具返回的数据本身有问题。日志不只是给审计看的，它是调试的唯一入口。
出错之后的那几分钟
任何自动化都会出错，问题在于错得多快被发现、多容易收拾。可以问几个具体的问题：
- 它中途停下来时，会不会留下半成品状态？
- 重试逻辑是幂等的吗，会不会重复提交？
- 失败了，是静默退出，还是明确告诉人卡在哪一步？
这几点没有明确答案之前，把 AI Agent 放进真实业务流程，风险其实不来自模型，而来自系统之间的接缝。
哪些活可以先交给它
判断标准不复杂：步骤多但每一步都可核对、出错代价小、结果能被人快速验收的活，适合先试。比如把散落在多个系统里的信息归拢到一起、按固定规则填表、把一段非结构化内容整理成结构化字段。反过来，涉及对外承诺、涉及不可逆操作、涉及需要临场权衡人情世故的，还是留在人这边。
有人把 Agent 描述成能独立顶下一个岗位的助手，这个说法现在下得偏早。它更像一个执行力不错但缺乏常识的新人：给清楚边界，它能把重复的活接过去；边界模糊，它会用看起来合理的方式把事情做错，而且做得很快。
所以真正需要提前想清楚的，不是它能做多少，而是你愿意把哪一步交给它，以及那一步出错时，谁来收尾。