2025 年夏天，一家专门评测 AI 的研究机构做了一个设计得像恶作剧的实验。他们找来十六名资深开源工程师——不是新手，是在自己的代码仓库里平均泡了五年、提交过上千次代码的主人——让他们做各自最熟悉的真实任务。掷硬币分组：一半任务允许用 AI 编程工具，一半不许。实验前，请工程师们预测 AI 能帮自己提速多少：平均预期 快 24%。实验做完，实测结果出来了：用了 AI 的那批任务，慢了 19%。最有意思的是最后一步——把实测结果告诉工程师们，再请他们估计自己那批任务的效果，他们仍然认为自己快了约 20%。
感知与实测之间隔着一场完整的倒挂：不是新手才会高估 AI，恰恰是最资深的人，高估得胸有成竹。这家机构（METR）的实验是预注册的随机对照，屏幕录像逐帧分析，结论扎实；连他们自己都在论文里写：开发者对「AI 如何影响自己的生产力」，抱着一幅过度乐观的图景。
把这个实验放在本章开头，是因为它针对的正是「放手」这门手艺的软肋。放手放的是信任——敢让 AI 独立走多远。而信任最常用的度量衡是体感：「它最近表现挺好，我可以多放一点了。」METR 的实验宣判了这把度量衡的死刑：体感连自己快慢都测不准，遑论测准信任该给几分。放手需要另一种度量衡——这正是本章要造的三样东西：一个概念（爆炸半径），一个结构（信任阶梯），一把标尺（用读数拧旋钮）。
一、爆炸半径：先算它闯祸能闯多大
「爆炸半径」这个词来自军械：炮弹落地，毁伤范围画成圆圈。工程界把它借过来用了几十年，指一次变更失败时，能波及多大一块系统——微软的云架构设计准则里有句原话：用渐进式暴露的部署模式，把部署引发问题的潜在爆炸半径压到最小。AI 时代这个词突然变得切身：你的 agent 一次犯错，波及半径有多大？
半径不是抽象概念，它有五个可列的维度。OpenAI 给企业上 Agent 的官方指南里那张风险分级表，其实就是爆炸半径的清点单：这个动作是只读还是写入？可逆还是不可逆？要动用什么级别的权限？牵不牵扯真金白银？加上第五维：要不要面向你的用户。五个维度各答一遍，一个 agent 动作的危险等级就定了：只读、可逆、无权限、不花钱、不触达用户的——低危，随便放；写入、不可逆、动用高权限、花钱、直接对用户说话的——高危，逐级审批。
教培老板算一遍就知道这功课多值钱。他的家长答疑助手，动作面很小，但每个动作的半径都清清楚楚：读 FAQ 库——只读，零半径；起草一条回复等老师过目——半径为零（人兜着）；直接发进家长群——半径立刻不一样了：一条错误答复被截图，伤害的是整个机构的口碑，这是他单次承受力的上限；至于碰成绩单、碰学生隐私——那不是半径问题，是禁区。注意这个算法的产出：半径不是「感觉危险」，是一张每一格都写着金额、权限、可逆性的表——第九章说「把未知的烂变成已知的账」，这里再做一遍。
由此立本章第一定律：任一时刻，agent 的爆炸半径必须小于你的承受力。不是「大概小于」——半径有表，承受力有数（你能赔多少钱、赔多少口碑、赔多少用户），两数相减，余量就是你能放手的物理上限。
二、信任阶梯：自治度不是开关，是旋钮
半径算清了，怎么放？新手常见的错误是把自治当开关：要么全人工，要么「全自动跑起来吧」。而所有成熟的做法都是一个带格子的旋钮——自治度从零拧到头，每一格对应一类动作、一种验收、一个升级条件。把梯子从下到上摆出来：
第一格，只读。它只能看，不能动：查资料、读记录、给建议，动作半径为零。第二格，起草。它产出完整方案，但发出权在人——AI 写，你审，你发。第三格，低风险执行。可逆的、不花钱的、不触达用户的动作直接执行：改一版草稿、整理一批资料、跑一遍内部检查——错了撤回就行。第四格，审批门。不可逆、花钱、触达用户的动作，它可以准备好一切，但扣扳机前必须人类点头——「下单前确认」「群发前确认」「删除前确认」。第五格，授权执行。低半径+高通过率的动作完全放手，配抽查和告警兜底。梯子之外，还有绝对禁区：半径超出承受力的动作，无论它表现多好，不放——这不是信任问题，是物理问题。
这张梯子不是本书发明，它是行业实践的通用形状，连细节都有官方样本：OpenAI 的 Operator 产品把这套机制做全了——以「研究预览」身份受控起步；替用户下单、发邮件这类显著动作前必须请求批准；碰到银行、招聘这类高危站点直接拒做；对邮箱、金融类敏感站点要求近距离监督；感觉不对劲时用户可随时接管，卡死时控制权交回人类。每个机制对应梯子上的一格。而他们的企业指南给梯子的运行规则写了一句话，值得抄下来贴在旋钮旁边：高风险动作应触发人类监督，直到对 agent 可靠性的信心建立起来为止——注意方向：不是「先信任后放手」，是「先证明，后解锁」。
三、用读数拧旋钮：每上一格，都要一份成绩单
梯子有了，什么时候往上拧一格？这里回到开头的实验：体感已被宣判，剩下的度量衡只有一样——读数。这正是尺子部（第四部）存在的终极理由，也是第五章那句「信任的前提是可验收」的正式兑现。
拧旋钮的仪式可以这样定死：想上一格，先拿出这一格的成绩单。教培老板想从「起草待发」拧到「直发+抽查」，资格是什么？考卷（第十章）上直发类条目的通过率连续两周稳定在阈值以上；判官对账（第十一章）没有发现系统性带偏；试运行期间（先只对最温和的三类问题直发）零红线事故——三份读数齐了，拧一格，同时把抽查比例和告警词挂上。任何一份读数掉线，降一格，别犹豫。降格不是惩罚，是旋钮的日常用法——就像 METR 那十六位工程师，如果他们在实验里拿到过自己的实测耗时数据，他们对自己该用 AI 干什么、不该干什么，会做出跟体感完全不同的分工。
还有一条容易忽略的操作纪律：一次只拧一格，且拧完先跑影子。第十五章会讲影子模式（新能力并行运行、不接管、与实际对账）——它正是拧格子的安全带：直发之前先「草稿模式直写一个月」，对比老师实际发出的版本，差异清单就是成绩单。渐进暴露，微软那句架构准则与它是同一个词。
四、收第五部的官：笼子、干粮与尺子
把三样东西合上。爆炸半径定了上限（物理），信任阶梯定了路径（结构），读数定了节奏（度量）——放手的艺术，说到底是让物理约束牵着信任走，让尺子替体感作证。回头看第一章结尾那句话：「你不需要学会干活，但必须学会派活。」派活的完整形态，走到本章终于凑齐：定义目标（第七、八章）、给工具和上下文（第十四章）、写终止条件与半径（第十二、本章）、用读数定自治度（第四部+本章）。五件工具在 Agent 身上合成一体——这就是为什么「画边界」被列为第五件工具：前面四件，全都是为这一件服务的。
但笼子造好了，还剩最后一件事：放出去的 agent 走多远，不只取决于笼子，还取决于它背包里装了什么——指令、工具、例子、记忆、按需投喂的资料。背包的专业名字叫上下文，而上下文这门学问，如今有了一个正式的名字和一段精彩的诞生史。下一章，全书第五部的收官：你喂给它什么，决定它是什么。
出处与延伸
- METR 随机对照实验：Becker/Rush/Barnes/Rein《Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity》（arXiv:2507.09089，2025-07）——16 名资深开发者（平均约 5 年仓库经验）、246 个真实任务、掷硬币随机分组；实测 +19% 耗时（95% CI +2%~+39%）、事前预期 −24%、事后自估 −20%；AI 代码约 44% 未经修改被采纳，时间损耗集中在审阅、提示与等待。媒体报道：Ars Technica（2025-07-14）。诚实注：样本较小、置信区间宽；METR 于 2026-02 因选择效应重新设计了后续实验，本书引用时保留该限定。「越用越自信的人越慢」的个体相关性表述查无实据，本书不采，只用群体级感知-实测反转。
- 爆炸半径与渐进暴露：Microsoft Azure Well-Architected Framework《Architecture strategies for safe deployment practices》（“minimize the potential blast radius … progressive exposure deployment model”）；「blast radius」词源为军械/爆破术语，工程界通用隐喻、无单一首创文献。动作风险四维（只读/写入、可逆性、账号权限、资金影响）出自 OpenAI《A Practical Guide to Building Agents》（2025-04）。
- 信任阶梯官方样本：OpenAI Operator 发布页（2025-01）——research preview 受控起步、显著动作前审批、银行/招聘类拒做、敏感站点近距离监督、随时接管与交还；企业指南「High-risk actions … human oversight until confidence … grows」。「信任阶梯」的五格结构为本书对行业实践（含第五章联想 L1-L5 成熟度模型的同构逻辑）的归纳命名，非任一机构的官方命名。
- 影子模式：作为部署实践的行业惯用语（自动驾驶领域公开通行），第十五章正面使用；OpenAI/Anthropic 官方文档未用此词，对应的官方表述是 research preview 与 watch mode。
- 「让物理约束牵着信任走，让尺子替体感作证」「先证明后解锁」「降格是旋钮的日常用法」：本书提法；教培老板五级阶梯与成绩单流程为本书推演。METR 实验亦见第九章（瓶颈搬家）与本章（体感倒挂），两处角度不同。