假设你把“整理下载文件夹”这件事交给一个AI Agent。它需要看懂文件名，判断哪些是临时文件，哪些该归档，遇到重名时决定覆盖还是保留，最后把结果告诉你。演示里，这一步通常很顺。放到真实电脑上，问题往往从一个小地方冒出来：它把一份还没备份的草稿移进了回收站。
这类工具常被描述成“能自己干活的聊天机器人”。这个说法不算错，但漏掉了关键部分。聊天机器人回答完就结束，而能动手的系统则要把回答变成一连串动作。动作会留下痕迹，也会带来代价。理解它的难点，不在于它能不能规划，而在于规划之后，谁为执行结果负责。
从“说”到“做”，中间隔着工具调用
一个典型的Agent循环大致是：观察当前状态，制定下一步计划，调用某个工具，再根据返回结果调整。工具可以是浏览器、命令行、文件系统，也可以是某个软件接口。循环让它可以处理多步任务，也让错误有了累积的机会。第一步理解偏了，后面每一步都可能沿着错误方向走，而且看起来仍然“有条理”。
评价一个能动手的系统，不能只看它最终说了什么，还要看它中间做了什么。调用了几次工具、改了哪些文件、有没有在失败后重试、重试时是否换了一种更危险的方式。这些过程信息如果不可见，用户就很难判断结果能不能信。
权限给得越顺手，回滚越要提前想好
很多演示为了让Agent显得能干，会给它很宽的权限：读写整个目录、登录账号、发送消息。真实环境里，权限应该反过来想——先问它最少需要什么。只读能不能完成？能不能先在副本上操作？发送之前要不要人工确认？这些限制看起来拖慢效率，实际是在给错误留刹车距离。
另一个常被忽略的是回滚。人操作失误，可以撤销；Agent操作失误，如果覆盖了文件、发出了消息，撤销成本可能很高。因此在让Agent接手之前，值得先设计好可恢复的路径：操作日志、版本备份、关键步骤的二次确认。它们不神秘，只是把“它搞砸了怎么办”提前摆到桌面上。
它更像一个需要交接的实习生
我倾向于把当前的AI Agent看作一个执行力不错、但缺乏情境判断的实习生。它能按步骤推进，却不一定知道哪些步骤不能碰；它会认真完成指令，却可能把“清理旧文件”理解成“删除所有看起来旧的文件”。这不是贬低，而是提醒：交接工作时，边界和验收标准要比口头鼓励更重要。
对人来说，好的交接包括目标、限制、例外情况和出问题时的联系人。对Agent也一样。目标要具体，限制要可执行，例外情况要写成规则，而不是靠它“理解精神”。验收时也不能只看它说“完成了”，要看它拿出的证据：改了哪些东西、在哪里改的、有没有留下记录。
这也解释了为什么很多相关讨论最后会回到流程，而不是模型。流程决定它能在哪里行动、行动后留下什么、出了问题谁来处理。模型能力会变化，流程设计却需要人来定。
下一次看到“全自动”的演示时，不妨多问一句：它出错的时候，我看得见吗？我停得下来吗？如果这两个问题没有答案，再顺滑的演示也只是演示。AI Agent的价值不在于替人点鼠标，而在于把重复流程接过去之后，人还能清楚地知道发生了什么。