2026 夏季 InfiniTensor 训练营 AI 编程与智能体应用 2：《AI Agent 基础：从“会回答”到“能执行任务”的 AI 系统》

什么时候用普通问答？什么时候用固定工作流？什么时候引入 Agent？本节课将承接上一节 AI 辅助编程工程化内容，拆解完整 Agent 系统运行逻辑，带你建立一套清晰的判断框架，理解 Agent 的本质、系统构成与安全边界。

普通问答系统 vs AI Agent 核心区别

案例对比：生成文字 vs 修改真实环境

以「制定两周学习计划并写入日历」为例：

• • 普通大模型问答：仅输出自然语言计划表，只改变信息，不操作外部系统；
• • AI Agent 系统：自动读取用户空闲时间、校验课程约束、创建日历事件、校验创建结果，改变真实环境状态。
• • 核心分界：仅输出文本 ≠ 完成任务；只有能够操作外部环境、接收反馈调整行为，才具备 Agent 核心能力。

单次生成系统特征

单次输入、单次模型调用，无持续交互、无状态维护、无工具反馈循环；适合概念解释、文案生成、基础信息检索，优势是低成本、低延迟、逻辑简单。

Agent 系统核心特征：持续交互循环

• • 完整链路：目标 → 决策行动 → 工具执行 → 环境观察反馈 → 更新状态 → 再次决策；
• • 核心价值：依托真实环境反馈动态调整后续操作，而非一次性输出固定内容。

Workflow 固定工作流 vs Agent

1. 1. Workflow：执行路径预先写死，分支、步骤提前定义，结果可预测、易测试；适合流程固定、场景单一任务；
2. 2. Agent：运行中动态选择下一步动作，适配路径无法穷举的复杂任务；
3. 3. 工程落地常态：固定主流程 + 局部 Agent 动态决策混合使用，不盲目追求全自主智能体。

AI Agent 六大核心构成要素

一套标准 Agent 系统需同时具备六项要素，可作为系统判定标准：

1. 1. 目标：明确任务需要达成的最终状态，区分硬约束与软偏好；
2. 2. 环境：Agent 可访问的外部系统，文件、仓库、日历、数据库、测试集群等；
3. 3. 感知：读取工具返回、日志、环境指标等真实反馈信息；
4. 4. 状态 State：记录任务执行进度、已完成步骤、冲突、失败记录；
5. 5. 决策：基于当前状态、目标选择下一步工具与参数，通常由大模型结合规则系统、规划模块共同完成；
6. 6. 行动：调用工具修改环境、读写文件、提交任务等可落地操作。

简单聊天问答缺少环境、持续行动、状态维护，不属于完整 Agent；自动化代码修复程序同时满足六要素，是标准 Agent 系统。

大模型时代 Agent 演进变化

传统 Agent 需要定制状态、动作、规则；大模型将自然语言作为通用交互接口，统一工具描述、目标输入、结果解析，大幅提升通用性；同时带来指令模糊、工具误调用、提示注入等新增风险，必须配套权限与边界管控。

Agent 系统分层架构与权责边界

系统各模块分工

• • 目标与约束层：结构化拆解用户需求，明确成功标准、权限范围、资源预算；
• • Model 模型层：负责理解目标、规划步骤、选择工具、生成调用参数；输出行动建议，无法验证环境真实结果；
• • State 状态层：持续记录任务进度、历史失败、冲突信息；
• • 工具与行动层：提供读写、修改、运行等操作入口，区分只读工具与高风险写入工具；
• • 环境层：执行操作并返回客观事实（报错、创建成功、时间冲突等）；
• • 安全保护层：沙盒、人工审批、参数校验、操作审计，管控越权风险。

关键原则：区分模型推断与环境事实

模型输出的计划、结论仅为推断建议；工具返回、系统日志、数据库记录才是客观事实。

禁止使用模型自然语言描述替代真实执行结果，高风险写入操作必须校验环境返回状态。

Context / State / Memory 概念区分

1. 1. Context：模型单次调用可见的临时窗口信息，对话、工具返回、任务文档；
2. 2. State：单任务专属进度表，记录当前执行节点、冲突、失败记录，多步骤 Agent 必备；
3. 3. Memory：跨任务长期记忆，存储用户固定偏好，非所有场景必需。

工程优化要点：禁止将全量历史日志灌入上下文，分层管理三类信息，仅向模型提供当前决策必需内容，降低噪音与 Token 成本。

Agent Loop 核心执行循环机制

完整循环流程

感知信息 → 决定下一步 → 执行工具 → 读取并解析结果 → 更新状态 → 判断是否继续

计划 vs 观察

• • 计划：模型预判应该发生的行为；
• • 观察：工具返回真实发生的结果；

系统必须以观察结果作为后续决策依据，忽略反馈会造成 Agent 编造任务完成状态。

失败处理：无效重试 vs 有效反思

1. 1. 无效重试：重复相同参数、相同操作，不分析失败原因，持续消耗资源；
2. 2. 有效反思：识别失败根源（参数错误、权限不足、目标冲突、服务异常），写入状态并调整后续执行策略；

Agent 可靠性核心：失败后能修正行为，而非无限重复错误操作。

终止条件设计（满足其一即可停止）

1. 1. 环境达到预设目标，任务验证通过；
2. 2. 信息缺失，无法继续执行，请求用户补充信息；
3. 3. 操作次数、时间、算力预算耗尽；
4. 4. 风险阈值超限，高风险操作等待人工确认；
5. 5. 无可行优化路径，无新解决方案。

无终止条件会引发无限循环、任务漂移、成本持续上涨等线上风险。

自主性光谱：按需选择系统方案

从左到右自主性逐步提升，安全管控、测试、状态管理要求同步提高：

1. 1. 单次生成问答；
2. 2. 检索增强问答（仅读取数据，不修改环境）；
3. 3. 单次独立工具调用；
4. 4. 固定 Workflow 工作流；
5. 5. 有限自主 Agent（有步骤/资源预算约束）；
6. 6. 长时运行自主 Agent（持续监控、自动恢复）。

工程选型准则：优先选择能完成任务的最低自主性方案，减少不可预测行为、降低安全风险与运维成本。流程固定场景无需引入自主 Agent。

多 Agent 协作机制

适用场景

任务可清晰拆分子模块，各子任务能独立验证，如资料收集、内容分析、结果校验分工。

优缺点

• • 优势：分工明确，单一 Agent 逻辑轻量化，结果分层校验；
• • 劣势：存在状态不一致、任务重复、沟通歧义、协调成本高；

Agent 四维评估体系

评估不能仅看最终回复文本，需覆盖四大维度：

1. 1. 结果：环境状态是否真正达标
2. 2. 过程：工具选择、参数合理性、失败修正能力
3. 3. 成本：完成任务的步骤数与资源消耗
4. 4. 安全：是否越权、是否跳过必要确认

风险放大问题

• • Agent 多步骤循环可能会逐级放大模型微小错误，误解目标会导致全链路操作偏离预期；
• • 解决方案：关键节点增加参数校验、结果校验、人工审批，操作链路越长，中间检查逻辑越完善。

Agent 安全防护体系

核心风险：提示注入

外部邮件、网页、文档等不可信数据内可能夹带伪装指令，被 Agent 误识别为执行命令。

六层安全防护架构

1. 1. 指令来源分级：区分用户目标、系统策略、不可信外部数据，外部内容无操作权限；
2. 2. 任务前置校验：高风险行动执行前匹配业务规则与用户目标；
3. 3. 工具最小权限：只读、草稿、正式写入权限隔离，禁止开放全量读写；
4. 4. 工具参数合法性校验，沙盒隔离危险操作；
5. 5. 全操作日志审计，完整记录工具调用、状态变更；
6. 6. 删除、发布、付费等高风险操作强制人工确认。安全不能仅依靠提示词约束，必须依托多层系统机制兜底。

任务选型判断标准

适合使用 Agent 的场景

• • 目标清晰、执行路径无法提前穷举、需要多工具联动、依赖环境反馈动态调整、执行结果可验证、错误可修复；
• • 典型场景：代码调试、复杂资料调研、多步骤自动化运维。

不适合使用 Agent 的场景

• • 流程完全固定、单次查询即可完成、要求绝对确定性、错误代价极高；
• • 优先选用脚本、固定 Workflow。

课堂检验：核心知识点随堂自测

1.只要大模型能够调用工具，就一定是完整 Agent。答：❌️。仅具备工具调用能力不足以构成完整 Agent，完整 Agent 还需要目标管理、状态维护、反馈循环、终止判断等全套机制。

2.模型生成“保存成功”，不能证明文件真的保存成功。答：✅️。任务完成必须依靠环境工具返回的客观结果验证，模型输出文本仅为主观推断，不能作为事实依据。

3.Agent 自主性越高，系统通常越可靠。答：❌️。自主性越高，模型自主决策环节越多，不可控行为、错误扩散风险同步上升，可靠性需要配套严格权限、校验机制保障。

4.固定流程能够稳定解决的问题，不一定需要 Agent。答：✅️。稳定可预测的固定流程优先选用 Workflow，无需引入高自主 Agent 增加不确定性。

5.高风险操作应由模型自主判断是否需要人工确认。答：❌️。高风险操作必须通过系统强制人工审批，不能依赖模型临时判断，规避提示注入、误判风险。

6.一个可靠 Agent 在工具调用后，最重要的下一步操作是？

• • A. 生成更长的解释
• • B. 验证工具结果并更新任务状态✅️
• • C. 清空全部上下文
• • D. 自动增加更多工具

加入训练营

📺完整课程内容，请观看直播或查看课程回放：

B站直播： InfiniTensor 官方直播间

答疑交流： 训练营官方社群⬇️

关注与交流