The Production Readiness Checklist for Agentic Workflows

智能体（agent）是“辅助型 AI”和“行动型 AI”的分水岭。它也是“你能驾驭的系统”和“反过来驾驭你的系统”之间的区别。

智能体工作流相对单次模型调用是一次阶跃变化。模型调用只问一个问题、得到一个答案。智能体把多次调用串起来，在调用之间做决策、调用工具、循环直到完成，再对结果采取行动。模型调用只有一种失败模式：答错。智能体有很多种：决策错误、无限循环、做出不可逆操作的工具调用、在没人盯着的那一步就脱轨的调用链。

下面这份清单，就是我在智能体接触真实工作流之前使用的那份。二十个要点，五个类别。如果智能体能全部通过，它就可以上生产。如果通不过，它就只是一个带着部署的实验品。

智能体会行动。这意味着智能体拥有权限——而且权限必须像系统里的任何其他行动者一样被限定范围。

前四个要点：智能体拥有自己的身份，而不是共享某个人的身份。身份遵循最小权限——智能体只能做任务所需的事，仅此而已。权限按任务而非按角色限定。智能体的每个动作都可追溯——审计轨迹能显示是哪个智能体、哪次运行、哪个请求、哪个动作。一个拿着人类凭据、权限宽泛、无法追溯的智能体，是一个尚未爆发的隐患。

智能体是一个进程，而不是单次调用，所以它需要进程级的可见性。

接下来四个要点：智能体的每一步都被记录，而不只是最终输出。智能体会在步骤级别发出五个信号——置信度、延迟、升级、覆盖、漂移——这样失败的那一步清晰可见，而不是整次运行都成谜。智能体的状态在运行中途可检查，你能看到它正在做什么。智能体还有预算：最大步数、最大成本、最大时长。无限循环的智能体，就是没有预算的智能体；而预算，是把无限循环从事故变成一条日志的关键。

智能体是你系统里的一个系统。它要么拥有自己的身份、自己的限制、自己的遥测——要么就别上生产。

智能体会行动，所以控制面必须真实存在。

又是四个要点：智能体在每个边界都有紧急开关：暂停、回滚、硬停止（参见上一篇文章）。智能体的不可逆动作——发送、删除、采购、外部调用——除非风险已被证明足够低，否则都拦在一道人工审批之后。智能体内置升级路径，当置信度下降或任务越界时，它把任务交回人类，而不是硬推下去。智能体还有爆炸半径设计：一次运行的失败不能级联到所有其他运行。

智能体是一个必然会失败的系统，所以失败模式必须被预先设计。

又是四个要点：智能体对瞬时故障做带退避的重试，对永久性故障则停止重试。智能体显式处理部分失败——成功的那次工具调用和失败的那次，分别处理，而不是靠运气。智能体的输出在行动前会对照 schema 和质量标准做校验——畸形的输出在变成畸形的动作之前就被拦下。智能体在关键处保持幂等：重试的运行不会重复发送、重复扣款、重复创建。

智能体持续运行，所以治理必须跟着它一起运行。

最后四个要点：智能体的行为被版本化——提示词、模型、工具定义和配置都在版本控制之下，一次改动就是一次 diff，而不是一团迷雾。智能体有评审节奏，它的输出会按固定时间表被人工抽样评审，而不是默认信任。智能体的决策会反哺评测套件，于是每次运行都是一个数据点，套件会在客户察觉之前就发现退化。智能体还有一个负责人——一个被点名、为其行为负责、有预算、按节奏评审它的人类。没有负责人的智能体，就是那个直到它做出昂贵之事前都没人注意的智能体。

收尾这份清单的那个问题

二十个要点太多，不好记。收尾问题把它们浓缩成一句话：如果这个智能体此刻做错了什么，我们如何知道，以及多快能阻止它？

答案就是这份清单的一句话版本。如果答案是“审计日志会显示它、信号会标记它、紧急开关会阻止它”——这个智能体就绪了。如果答案是一阵犹豫——智能体还需要更多工作，而这次犹豫就是发现。

会行动的智能体需要身份、限制、遥测、控制、可靠性和治理——二十个要点、五个类别、一个收尾问题。在智能体接触真实工作流之前，先跑一遍这份清单。智能体仍会让你意外。这份清单的意义，就是让意外始终可控。

Think this argument fits your event? Tell me about the room — the calendar is selective.