第二十九章 从接入现有 Agent 到拥有运行时主动权

证据地位：本章为作者参考设计与工程推导，案例和阈值用于说明实现逻辑，不代表跨组织验证的通用标准。

企业拥有运行时主动权，意味着供应商变化时仍能解释任务状态、保全证据、限制损失并选择下一条执行路径。它不要求把模型循环全部自研。任务定义、授权和数据使用责任要有明确归属，具体组件由谁提供则是能力与经济性共同决定的问题。

下表按能力门安排工作，不是必须逐级通关的采购路线。身份、权限、基本证据和取消保护在第一次接入时就要存在，不能等到“统一执行面”阶段才治理生产动作。进入判据确认建设前提，退出判据要求具体证据，回退条件允许缩小自治范围；已经投入的成本不能成为继续迁移的唯一理由。

阶段	进入判据	退出判据	回退条件
1. 封装	已盘点调用者、运行时、权限与凭证路径	版本、事件、成本、工作区和取消可观察；有适配契约测试	关键事件丢失，或接入稳定性低于既有方案
2. 外置完成	一个任务族有负责人和可执行验收	候选封存、独立重验、提交与回读可区分	验收误判不可控，或存在绕过提交授权的路径
3. 统一执行面	工具、网络、凭证和数据出口边界已明确	关键副作用受控，对账、撤权与隔离有演练证据	敏感工具旁路，或新执行面造成无法接受的业务中断
4. 评测运营	合同、任务快照与失败分类稳定	全部分配试验、关键切片、恢复与SLO形成基线	数据污染、必要环境不可获取或分母被修改
5. 逐层替换	可比较旧新组合，并有当前仍获授权的回退路径	质量达到预设门槛，完整成本在预算内，退出演练可行	兼容费用超限、关键切片退化或无法安全回退
6. 受控进化	普通变更发布与回退可靠，评价资产已隔离	低风险候选可被拒绝、灰度、回退和复查	候选能改裁判、扩大权限或绕过发布门

1. 封装而非散接

先为选定Agent建立适配层，映射任务、任务执行尝试、动作、事件、产物、批准和取消，保存规范化事件及原始载荷引用。Task、Attempt、Action分别保留 task_id、attempt_id、action_id；同一动作的ToolTry另记，不能把网络重试当作新任务。每个适配器声明自己接入模型循环、托管会话服务还是工具执行环境，不能把“自管worker”等同于完整自部署。采用第二十六章的责任表分别核对循环、会话、凭证、工具和业务验收。

退出证据包括能力协商结果、结构化事件样本、取消记录、费用账本和供应商版本信息。没有结构化协议的功能可以在受限配置中使用，但必须标明可观测性不足；不能靠解析终端颜色推断关键完成状态。供应商升级应经过兼容性检查，不能固定版本的服务另做变更检测与停用安排。

2. 外置完成与证据

先选一个有明确验收条件的任务族，把验证、证据和提交权限放在执行Agent之外。按照第二十五章封存并重验同一候选；成品交付任务在验收并交付后完成，业务提交任务还要核对实际目标、当前授权、权威回读和 post_commit_checks。COMMITTED_BUT_UNVERIFIED 不能计为完成。换Agent时保留两类任务各自的分母和终点，并测试新适配器有没有遗漏必要事件。

退出证据分三类记录：能否取回原封存产物并验证摘要，能否重跑确定性检查，能否在条件允许时重放生成过程。第三方模型或外部服务已不可用时，第三项可能无法完成，不能因此伪造逐字复现。所有无法复核的输入、环境和产物明确列出；错误完成可以回标到任务、合同及运行时版本。

3. 统一执行面

按风险选择企业沙箱、工具网关、凭证代理和产物存储；这些组件可以自建，也可以采购。受控工具在每次动作前检查授权与撤销状态，执行者只获得最小必要能力。无法适配的原生功能必须记录例外、限制自治范围，必要时由人工执行。

失效场景是部分工具走网关，插件和生命周期hook却直接持有凭证访问外部系统。验证覆盖率需要核对网络流、凭证发放、宿主执行与外部审计日志，不能只数注册了多少工具。工具机器在企业内运行，也要继续追踪输出是否回传云端、会话在哪里保存。

4. 建立评测与运营基线

从获准使用的真实任务形成能力、回归、安全和恢复套件，用同一合同和预算比较质量、稳定性、全量成本及人工负担。各方案都保留预分配任务的失败、超时和未激活试验，不能只比较成功返回者；服务指标沿用第二十六章的窗口与分母。

退出证据是版本固定的任务清单、逐次结果、故障记录、关键切片和成本账本。模型与Harness同时变化且需要归因时，再设计2×2对照；它不是所有单组件迁移的必备仪式。试验次数和非劣门槛由风险与统计计划确定，不能用一次演示代替。

5. 逐层替换

优先替换能解决明确约束、且效果可测的组件，例如上下文编译器、工具视图、策略适配器或工作流。每次尽量控制变化范围，保留原候选证据与可用回退方案；替换决策循环也可以直接成为第一项，但必须有具体必要性，不能把某个顺序当普遍定律。

先内化对象	何时值得	不宜内化的信号
上下文编译器	权威知识已整理，必要资料召回可独立标注	数据来源和访问权限尚不清楚
工具网关	需要统一权限、撤权与外部对账	现有受限工具已满足控制需求
工作流	任务重复且边界稳定，可减少不确定操作	流程仍频繁协商，没有稳定验收
决策循环	协议、离线或特殊环境约束无可采购替代	只看到调用单价差，没有维护与迁移预算

6. 引入受控进化

普通配置能够可靠发布与回退后，才考虑自动生成Harness候选。候选生成、独立评价和发布批准分开，实验资产的使用次数与派生关系可追溯。跨任务经验需经过写入与撤销门；训练模型是另一类成本与数据责任，不是必经终点。没有持续改进需求时，可以停留在稳定运营阶段。

7. 用同一个成本窗口比较采购与自建

先约定统计窗口、合格任务量、质量底线和成本归属。12个月总成本可写为：固定建设与集成费用，加上全部任务的模型、计算、工具、验证及复核费用，再加维护、安全值班、风险准备、双运行迁移与退出费用。单位可信完成成本使用达到合同终点的任务数作分母；重试和失败消耗必须进入分子。

下面全部是虚构教学假设，单位为人民币元，不是市场报价或投资回报承诺。设一年接纳12,000项同类任务，复核每次20元；采购方案复核率10%，受限自建方案12%。模型与执行费用按全部任务计，含预算内重试。两方案必须先通过相同质量与权限门，表中金额才值得比较。

12个月成本项	采购运行时并集成	受限自建运行时
初始建设与集成，全部计入本年	30,000	150,000
平台订阅	24,000	0
模型调用：每任务2元／1.5元	24,000	18,000
计算与工具：每任务0.5元／0.8元	6,000	9,600
独立验证：每任务0.5元／0.7元	6,000	8,400
人工复核：任务量×复核率×20元	24,000	28,800
维护、适配与安全值班	36,000	96,000
风险损失准备，按场景单列	12,000	18,000
迁移双运行与切换演练	12,000	18,000
退出、导出与替代接入准备	18,000	12,000
合计	192,000	358,800

在这组假设下，采购的固定及期间费用为132,000元，每任务变动费用5元；自建分别为294,000元和5.4元，因此仅扩大任务量不会使自建反超。任务量翻倍且不触发扩容时，总额分别为252,000元与423,600元。任一方案复核率增加10个百分点，在原任务量下都会多花24,000元；模型单价翻倍则分别增加24,000元和18,000元。它们说明结论对哪些假设敏感，不代表真实价格会怎样变化。

实际工作表还要注明人员费用是否已含复核、风险准备是否与已发生事故重复计数、固定投入按几年摊销、空闲容量怎样计费，以及迁移期间是否需要额外人手。若关键离线或权限约束只有自建满足，不能以采购表更便宜就忽略约束；应同时比较更小的自建范围、确定性流程和人工替代。

项目据此填写年度预算上限、最低可信完成率、关键切片非劣界、允许人工介入比例、切换停机上限与退出演练期限，再由相同口径的POC结果决定推进或停止。本章不替所有企业指定这些阈值。

8. 退出演练与紧急撤权

每个主要版本至少安排一次退出演练，并留出与生产风险相称的环境。先暂停新任务，导出未完成任务、合同与输入版本、已封存产物及策略记录；核对每个外部动作是已提交、未提交还是结果未知。确认旧执行者已停止且不能再发起动作后，撤销旧执行凭证，再给替代运行时签发新的最小权限。只有目标运行时声明支持的检查点才能恢复，否则创建新尝试，引用原任务与证据重新执行未完成部分。

退出验收不能只记录“导出成功”。应核对任务ID和数量、产物摘要、证据可访问性、已完成动作未被重发、未知结果已隔离，以及旧凭证使用被拒绝。记录新旧能力差异、无法迁移的状态、实际停机时间、双运行费用和人工处置时长。来源系统无法导出的内容要在采购与演练时暴露，不能等停服后才发现证据锁定。

紧急撤权不等待正常退出顺序。发现凭证泄漏或有害能力时，立即阻止相关新动作并撤销权限，再以独立只读审计身份对账、保存必要证据。已固定的模型、工具和记忆版本仅用于复现，不能覆盖当前撤销状态；旧版本若已被撤销，也不能成为回滚目标。受影响任务需要暂停，隔离污染上下文后重建，或以新尝试在新授权下恢复。

一个必须演练的时序是：候选已经生成并通过检查，提交前收到revoke。预期结果应为提交被拒绝、旧候选仍可审计、已发生的外部变更另行对账。只有登记表显示“撤销成功”，而在途任务继续执行，不算撤权完成。这些是平台应验证的验收条件，并不表示本书已替任何供应商运行过此演练。