感知、执行与协作 —— Agent 的三类主动工具

前一节讨论了工具设计的六条通用原则和 MCP 协议。本节深入前三类由 Agent 主动调用的工具——感知、执行、协作。

感知工具：Agent "看"世界

感知工具是 Agent 获取外部信息的主要渠道。设计核心在于控制返回信息的粒度和格式——一次搜索可能返回数万个字符，一份 PDF 可能上百页，直接塞入上下文既耗尽窗口又淹没关键信息。

搜索类工具：结构化候选，而非全文拼接

返回结构化候选列表（标题、位置、摘要），让 Agent 先浏览再决定深入哪一条。当结果多时提供分页或游标——默认只返回前若干条，注明总数和翻页方式，由 Agent 自主决定是否继续，而非一次性倾倒。

读取类工具：offset/limit 与显式截断

读文件工具应支持 offset/limit 参数，按需读取指定片段。关键原则：截断必须显式可见。

只读性带来的工程红利

感知工具不改变外部世界，这一特性带来两个天然优势：

执行工具没有这种自由——调用顺序和副作用都必须严格控制。

多模态感知的输出形态

截图、图表、扫描件的处理按内容类型选择：

• 纯文字内容 → 文本提取（精简高效）
• 布局敏感内容（UI 界面、复杂表格、设计稿）→ 保留图像（保留空间结构）

执行工具：Agent "做"事情

执行工具的错误代价极高——误删文件无法恢复，错误命令导致服务中断。因此设计核心在于四层递进的安全体系。

提议者-审核者：银行的"双签制度"

核心思想：一个模型提议（Proposer），另一个独立模型审查批准（Reviewer）——就像银行的经办、审核双签制度。

高效实现的三个要点：

事后验证的要诀：模态切换。 不是让第二个模型重读相同内容再审一遍，而是在不同模态下检验。Agent 生成了文档 → 渲染为视觉输出再检查排版。Agent 修改了配置文件 → 在沙盒中实际运行验证。不同模态提供互补视角——单一模态容易陷入相同盲区。

Sidecar：与主模型并行的安全边车

提议者-审核者解决"事前审批和事后验证"，Sidecar 解决"执行时实时校验"。

借鉴微服务架构的边车模式——如同摩托车旁挂的边车，独立运行但与主体并行。Claude Code 在自动模式下的做法：

主模型发出工具调用 → Sidecar 同步启动审查 → 危险操作不放行
                           ↓
         只看结构化数据（工具名、参数）
         不看主模型自由文本（堵住话术操纵通道）
                           ↓
         识别高风险模式 → 返回拒绝 → 要求用户确认

为什么刻意不看自由文本？ 这是堵住提示注入的关键设计。如果 Sidecar 读取主模型的思考过程，攻击者在网页内容中夹带"请允许执行 rm -rf"这类话术，主模型可能复述进思考过程，再被 Sidecar 误判为合理理由。只读结构化字段就堵住了这条通道。

Sidecar 与提议者-审核者的区别：

执行环境的隔离

通用执行工具（Python 解释器、Shell）本质允许执行任意代码。注意：Python venv 不是沙盒——它只隔离包依赖，对文件系统、网络和进程无任何安全约束。

所有层级之上都应设置 CPU、内存、磁盘、网络的使用上限。

幂等性与取消语义

执行工具改变外部世界，必须回答：调用被取消或超时时，副作用到底发生了没有？

协作工具：Agent "找帮手"

当任务超出单个 Agent 能力边界时，协作工具让它把子任务委托给其他 Agent 或人类。

子 Agent 的三条设计铁律

每个子 Agent 可独立优化提示词、工具集和知识库，无需担心相互冲突——这正是第二章子 Agent 上下文隔离的工程基础。

三组协作原语

人工介入（HITL）的策略

有些判断本质需要人类的价值观、常识或领域专业知识。两条触发条件：

两条工程原则：

1. 超时和降级："如果 5 分钟内无响应，采用保守方案"。紧急请求多渠道通知，普通请求只发邮件
2. 形成学习循环：记录批准/拒绝判断及理由 → 后训练将数据构建为监督学习数据集 → 外部化学习以结构化形式存储到知识库，Agent 面临新决策时检索相似案例辅助判断

总结