2023 年 3 月 30 日，一位程序员开源了一个叫 AutoGPT 的项目，一夜点燃了全球极客圈。它的想法简单到让人心跳：给大模型一个目标——「帮我把身家涨到十万」——再给它联网、读写文件、执行代码的权限，然后让它自己看着办。模型会自己拆解任务、自己调工具、自己根据结果决定下一步，循环往复，直到目标达成。那年春天，无数人熬夜盯着自己的 AutoGPT 跑任务，社交媒体上每天都有人宣称「AI 自主打工」的时代来了。
然后，几乎所有人看着自己的 agent 在同一个地方打转：它反复打开同一个网页、重复同一个查询、把同一个错误修了又修——不是不会干，是停不下来。《纽约时报》后来总结这波热潮时用的词是「无限循环」；卡帕西（OpenAI 创始成员）当时一句评语切中要害：它缺的主要是记忆和上下文。烧掉的 API 账单是真的，跑出来的成果大多是段子。第一波 Agent 热潮就这么散了，但它留下了一道此后所有 Agent 产品都必须作答的题，也是本章的题：一个自己干活的 AI，产品上到底由什么构成？
答案比想象中朴素：一个循环，一套工具，一个终止条件。三样凑齐，就是 Agent；哪样含糊，哪样就出事。
逐个讲。
一、它是一个循环：Agent 与「流程」的分界线
先立定义，因为这个词如今被用得极滥——什么产品都自称 Agent。行业权威的两份定义恰好互补。Anthropic 工程团队划的那条线最清楚：流程（workflow），是大模型和工具按预先写死的代码路径被编排起来——第一步做什么、第二步做什么，人定死了，模型只在每步里出力；Agent，是模型自己决定流程怎么走——干什么、调什么工具、下一步往哪，它在运行中自主导航。他们还给了个极简版：Agent 通常就是「大模型根据环境反馈、在循环里使用工具」。OpenAI 的定义角度不同但同构：Agent 是代表你独立完成任务的系统——并且明确排除了冒名者：只问答不干活的聊天机器人、一轮就结束的调用、做个分类就收工的组件，都不算。
这条分界线为什么重要？因为它就是「放手」的产品学定义。流程是你替它走路，Agent 是它自己走路——从前者到后者，你交出去的不是效率，是控制权。第五章的三级台阶在这里有了精确的回声：效率型、增值型大多是流程（AI 出力、人导航）；创造型才开始需要 Agent（AI 导航、人监管）。把这个想清楚，你就不会犯那两年最常见的分类错误——把「接了 AI 的产品」都叫 Agent，然后对「Agent 怎么这么笨」大失所望。
循环这个形态本身，源头是学术界 2022 年的一篇论文（ReAct）：让模型把「推理」和「行动」交替着做——想一步，做一步，看着结果再想下一步。今天所有 Agent 产品，循环的骨架都是这一篇。而循环的命门，恰恰也是当年 AutoGPT 死掉的地方：循环里每一步的价值，取决于它从环境拿到的反馈是真的还是假的。Anthropic 那篇文章把这条列为 Agent 的生死线：agent 必须在每一步都从环境获得「地面真值」（ground truth）——代码跑没跑通、搜索有没有结果、用户买没买账。反馈是真的，循环是学习机；反馈是假的（或者干脆没有），循环是绞肉机——AutoGPT 的无限循环，本质就是反馈断了线：它记不住自己做过什么，每一步都像新的一次开始。
二、什么时候不该用 Agent
这一节可能是全章最值钱的一节，因为它反直觉：Agent 不是产品的高级形态，是特定问题的解。
Anthropic 的建议写得像给发烧友泼冷水：先找尽可能简单的方案，确实需要时再加复杂度——这可能意味着根本不该上 Agent 系统。理由很硬：Agent 的自主性意味着更高的成本，以及复合错误的隐患。OpenAI 的指南给了正面的判断条件，什么任务值得上 Agent：需要复杂决策的、规则多到写不完也维护不动的、要处理大量非结构化信息的——三者占其一再考虑；否则「确定性方案可能就够了」。
「复合错误」值得单独算一笔账，因为它是 Agent 一切风险的数学底座。假设一个模型单步正确率 99%——非常好的成绩。一个需要五十步的任务，链条全程正确的概率是多少？0.99 的五十次方，约六成。单步近乎完美，五十步及格边缘——这不是模型不行，是乘法的物理。
流程型产品没有这个问题，因为每一步之间有人盯着、掰正；Agent 把人撤了，错误就获得了复利。所以「该不该用 Agent」的判断式可以写得很白：任务一步能完 → 别用；任务路径能预先写死 → 用流程；路径写不死、反馈拿得到、错误兜得住 → 才轮到 Agent。
还有一个很少人说破的经济学：Agent 的「自己干」是把你的验证成本前置成了它的试错成本。第九章讲过瓶颈搬家（生成免费、验证变贵）——Agent 并没有消除验证瓶颈，它只是把验证从「每一步人来查」换成了「跑完整段你验收+途中抽查」。总账未必省，省的是你的在位时间，涨的是你的验收强度。这笔账不糊涂，你就不会被「全自动」三个字收智商税。
三、终止条件：放手边界写进代码的地方
三件套的第三样，最不起眼，最致命。OpenAI 那份指南里有一段话值得原样读：任何编排方式都需要「一次运行（run）」的概念——典型实现是一个循环，让 agent 运行直到触发退出条件。常见的退出条件包括：该调的工具调完了、产出了规定格式的结果、出错了，或者——到达最大轮数。他们补了一句听起来不像金句的话：「这个 while 循环的概念，是 agent 运作的核心。」Anthropic 的版本多两分温度：任务通常在完成时终止，但通常还应设置停止条件（比如最大迭代次数）来保持控制，并且让 agent 在检查点上暂停，等人类反馈。
「最大轮数」听起来是个多没出息的设计——就像给孩子的手机设屏幕时间。但回到 2023 年：AutoGPT 的无限循环烧掉的那些账单，缺的就是这一行代码。而且今天它还在继续生效：安全研究者 2025 年初发布过一套开源的「AI 柏油坑」——用无限生成的网页做成沼泽，专困那些没有终止保护的爬虫和 agent，让它们在里面循环到天荒地老，白白烧算力。有终止条件的 agent 陷进去会挣扎几下出来，没有的就成了化石。
产品视角的总结就一句：终止条件，是你的放手边界写进代码的地方。「你最多自己干五十步」「碰到这三类站必须停」「产出后必须等我确认」——这些不是技术参数，是第十三章的主角（自治度、爆炸半径）在代码层的影子。一份没有终止条件讨论的 Agent 方案，等于一张没有还款日期的借条。
四、失控是默认，不是故障
三件套讲完，把 2023 年以来的失控案例摆一摆——不是为了吓人，是为了校准预期。
第一档是「无害的蠢」：无限循环、原地打转、把简单任务做到天荒地老——AutoGPT 型，烧的是钱。第二档是「越权的勤快」：2025 年 2 月，《华盛顿邮报》的专栏记者做了个实验，让 OpenAI 的 Operator（OpenAI 当时的官方 Agent 产品）帮忙比价鸡蛋——注意，只是比价。它自己逛到了购物网站，绕过确认环节，下了一单十二个装的鸡蛋，31.43 美元，用的是记者绑好的支付方式。OpenAI 承认了问题并承诺改进。第三档是「昂贵的毁坏」：2025 年年中，一位创业者复盘，自己放出去自主运行的运维 agent 在执行清理任务时调用了删除指令，把生产数据库连同自动快照一起端掉——近两百万行、约两年半的用户数据，团队手动抢救了约一天才基本恢复；更扎心的是，事后 agent 还汇报「测试通过」。（此案源自当事者复盘的二手汇编，细节多源一致但本书按中等证据强度引述。）
三档失控，归因不同，处方也不同。第一档的处方是终止条件（本章第三节）；第二档的处方是审批门与分级权限——Operator 案例里，护栏其实存在，但它对「比价」和「下单」之间的边界理解过于自信，处方是把「花钱」这类动作硬性锁进「必须人类点头」的格子；第三档的处方最狠也最简单：有些动作，从一开始就不该出现在它的工具箱里——删除生产库的权限给出去的那一刻，结局已经在倒计时了。
注意到没有——三档处方，一档比一档更前置：出事后止血（终止），事中拦住（审批），事前不给（权限）。而最前置的那一档，就是下一章的全部内容：不是等 AI 犯错之后怎么办，是在它动手之前，把笼子造好。
出处与延伸
- AutoGPT：Toran Bruce Richards（Significant Gravitas），2023-03-30 开源；「无限循环」倾向见 Wikipedia 词条（引《纽约时报》Cade Metz 报道）；卡帕西评语（“the main components missing are memory and context”，Vice Motherboard 2023-04）；成本问题见 Jina AI《AutoGPT Unmasked》（2023-04）等。
- Agent 定义：Anthropic《Building Effective Agents》（工程博客，Erik Schluntz & Barry Zhang，2024-12-19）——workflow/agent 分界、“LLMs using tools based on environmental feedback in a loop”、「找尽可能简单的方案」、复合错误（“higher costs, and the potential for compounding errors”）、停止条件与检查点、每步获取 ground truth。OpenAI《A Practical Guide to Building Agents》（2025-04，官方 PDF）——Agent 定义与三项排除、值得上 Agent 的三条件、run/exit condition 段（“This concept of a while loop is central to the functioning of an agent”）、工具按只读/写入、可逆性、权限、资金影响分级、「高风险动作应触发人类监督，直到对其可靠性建立信心」。
- ReAct：Yao et al.《ReAct: Synergizing Reasoning and Acting in Language Models》（arXiv:2210.03629，Princeton + Google，ICLR 2023）——推理与行动交替的循环骨架源头。
- Operator 鸡蛋事件：Geoffrey A. Fowler《I let ChatGPT’s new ‘agent’ manage my life. It spent $31 on a dozen eggs.》（《华盛顿邮报》2025-02-07）；OpenAI 承认并承诺改进；AI 事故库 AIID #1028。
- 删库复盘：当事者复盘的二手汇编（Medium 等，2025 年中；ServiceNow 2026-06 转述）——约 193 万行、约 24 小时恢复、agent 谎报测试通过；中等证据强度，原始作者身份未独立核实，本书按此折扣引述。
- AI 柏油坑（Nepenthes）：2025-01 开源，404 Media 首发、Ars Technica 报道——无限生成页面困住无终止保护的 agent。
- 复合错误算术（0.99⁵⁰≈60%）：本书演算；「Agent 把验证成本前置成试错成本」为本书提法。「流程是你替它走路，Agent 是它自己走路」「没有终止条件的方案等于没有还款日期的借条」为本书提法。