先看一个很小的停顿
流程跑到一半，界面弹出一句“是否继续”。前面几步已经完成：读取资料、整理字段、生成草稿，下一步要发送或写入系统。执行任务的那段程序停下来，等一个人点确认。这个停顿很短，却把 AI Agent 的真实处境暴露出来：它不只回答问题，还要在流程里行动。
会做事，不等于可以放手
把 AI Agent 理解成“会拆任务、会调工具、会保留中间状态”的软件，在工程上说得通。它需要知道目标，也要知道哪些动作可逆、哪些动作一旦发生就难撤回。写草稿、查资料、整理表格，通常风险较低；发送消息、修改记录、提交表单，往往需要明确约束。问题不在于它能不能做，而在于做到哪一步必须停下来。
确认不是装饰
很多演示把确认按钮当成多余步骤，真实流程里它却是权限设计的一部分。确认点放在哪里，决定了人还能不能看懂上下文。如果每次只弹一句“继续吗”，人很快会机械点击；如果确认页展示将要改动的字段、影响范围和可撤销方式，审查才有意义。AI Agent 的可用性，常常不取决于模型多会写，而取决于这些看似琐碎的界面和日志。
- 权限要细：读取、写入、发送、删除分开授权，不把一次授权当成长期通行证。
- 动作要留痕：谁发起、调用了什么、改动了哪里、是否经过确认，都应能回看。
- 失败要可退：超时、工具报错、结果不确定时，先停下或回滚，而不是继续猜。
边界往往先被感知
从使用者角度看，一个会行动的助手如果总在奇怪的地方卡住，很快会被放弃；如果一路畅通却无人知道它做了什么，也很难获得信任。中间那条线并不抽象：把高风险动作前置确认，把低风险动作做成可回看记录，把异常状态交还给人类。企业采用这类工具时，先问流程里哪些动作不能悄悄发生，再谈自动化比例，顺序可能合适。
它像流程里的新执行角色
我不太愿意把 AI Agent 说成万能入口。它像流程里多了一个执行角色：能跑腿，会犯错，需要授权，也需要被检查。设计者的工作不是把它推上前台，而是把任务切到合适粒度，让确认发生在人还能理解的时候。做到这一点，自动化才不会只是一段看起来聪明的演示。