一场企业 Agent 演示会上业务负责人提出任务“帮我处理一下下周可能缺货的物料。”Agent 很快查出库存、生成缺口分析又调用接口创建了补货单。屏幕上的执行轨迹十分流畅现场也很兴奋。直到计划员发现Agent 选错了仓库忽略了一张尚未入库的在途订单还把“准备补货方案”理解成了“正式提交申请”。每一步在技术上都成功了整件事在业务上却做错了。这类失败很容易被归因于模型还不够聪明。于是团队继续优化提示词、增加工具、延长任务规划希望 Agent 可以少问人、自己完成更多步骤。但问题也许恰好相反它已经能做很多事企业却没有说明哪些地方可以灵活判断哪些地方必须接受确定性约束。敲黑板企业 Agent 的先进程度不能用“能独立完成多少步骤”衡量。Agent 应在意图理解、任务组织和非结构化信息处理中保持灵活在对象身份、关键判断和高风险动作上接受确定性约束。好的自主性不是没有边界而是知道何时继续、何时降级、何时把责任交还给人。一、“越自主越先进”为什么是个危险假设在通用任务中减少人工干预往往意味着更好的体验。但企业任务不是一条纯粹的信息生成链它会改变客户、库存、资金、设备和责任状态。Agent 生成一份补货分析错误可以被人发现并改写创建一张草稿影响仍然有限一旦正式下发采购错误就进入交易系统可能占用预算、形成供应承诺。类似地整理客户流失原因与批量发送挽回消息分析设备告警与执行停送电操作虽然出现在同一条任务轨迹中风险却完全不同。所以“自主”必须具体到某个场景、某一步动作而不能给整个 Agent 贴一个统一标签。一个 Agent 可以自主检索资料、组合证据、安排查询顺序同时在冻结库存、客户触达、采购下发或运行控制前停止。更高自主度也不代表更高成熟度。边界稳定、风险较低、结果可观察且可补偿的场景适合自动执行高影响、不可逆或规则尚不稳定的场景保留人工确认本身就是成熟设计。最危险的做法是让 Agent 直接拿到一组接口再在提示词里写“请谨慎操作必要时询问用户”。提示词可以影响模型行为却不能替代服务端权限、对象校验、审批规则、幂等控制、风险分级和结果回写。真正的边界必须位于执行链路中而不是寄希望于模型每次都记得克制。二、Agent 擅长什么在不确定性中组织任务Agent 的价值不是复制一套固定流程。传统流程已经清楚知道下一步是什么时工作流或普通程序往往更稳定。Agent 更适合处理目标用自然语言表达、上下文分散、路径需要动态选择的任务。它首先擅长理解意图。用户说“处理一下这批有风险的客户”Agent 可以追问或推断风险是流失、投诉还是信用风险用户要的是分析、建议、任务草稿还是正式触达“这批客户”指当前页面选中的对象还是某个动态条件下的集合其次是任务拆解。面对“分析主变油温异常并准备处理建议”它可以拆成识别设备、读取量测、查找相关部件、调取历史缺陷、调用告警逻辑、整理证据和预填巡检任务而不是要求用户逐条发出命令。再次是能力选择。Agent 可以根据任务决定先查对象还是先读文档调用哪个逻辑能力、哪个只读工具是否需要补充上下文。工具返回异常时它也可以调整计划、寻找替代路径或把问题交给人。最后是处理非结构化信息。检修报告、客服记录、合同条款、会议纪要和现场照片中包含大量难以预先写成字段的内容。Agent 可以提取候选事实、归纳原因、生成摘要再把需要确认的结论送入结构化对象和逻辑能力。这些能力都在处理开放问题与不完整上下文。Agent 可以提出路径和候选解释但候选不能悄悄变成权威事实语言上的合理也不能自动升级为业务许可。三、本体承担什么把企业的确定性部分交出来如果 Agent 负责在不确定性中组织任务本体负责把企业已经明确的业务世界表达出来。对象告诉 Agent“企业里有什么”。客户、库存项、批次、设备、工单、补货单不是任意表名而是有身份、状态和业务边界的运行对象。Agent 找到“物料 A”还不够还要定位“物料 A 在华东仓的库存项”。关系告诉 Agent“对象如何相连”。客户关联授权、账户和触达记录异常批次关联工单、成品和客户订单设备关联测点、部件、拓扑和责任班组。关系既提供上下文也决定行动许可和影响范围。状态告诉 Agent“此刻能做什么”。补货单已经待审批就不应重复创建客户已经退订短信就不应进入营销触达设备处于检修中新的告警要与未关闭工单一起判断。逻辑能力承接需要稳定复用的判断例如客户触达资格、缺货风险、质量冻结条件、设备告警有效性和审批级别。它们有明确输入、输出、例外、版本和测试。Agent 可以解释逻辑结果但不能为了让方案更顺畅而临场改写关键规则。行动能力定义可以安全执行的业务动作。创建草稿、提交补货单、登记缺陷、发送渠道消息分别需要什么参数、权限和前置条件怎样处理重复、失败与补偿结果写回哪里都应由行动契约约束。治理边界则说明谁能看、谁能做、哪些动作要确认或审批、运行轨迹保留什么证据。Agent 继承用户的业务权限不应因为连接了高权限集成账号就获得用户本来没有的执行能力。可以把分工概括为一句话Agent 负责组织本体负责定界逻辑能力负责判断行动能力负责受控执行业务系统负责保存权威交易事实人负责关键责任。四、一条完整轨迹不是“规划—调用”而是六步闭环一次可运行的 Agent 任务可以写成六步意图 → 对象 → 判断 → 动作 → 观察 → 回写仍以“处理下周可能缺货的物料”为例。意图。Agent 先确认任务范围哪个组织和仓库未来多长时间是生成风险清单、准备补货方案还是提交动作。自然语言在这里负责灵活入口。对象。Agent 在本体中定位库存项、需求、在途订单、供应商和未关闭补货单。对象身份、数据来源和读取权限不能靠它猜测。判断。Agent 调用缺货风险与补货逻辑得到风险时间、缺口数量、原因和替代路径。关键结论来自可测试的逻辑能力Agent负责组合解释而不是现场发明一套库存政策。动作。如果用户只要求方案轨迹在建议处停止如果允许创建草稿Agent预填行动参数若要提交或下发则行动层重新校验权限、重复单据、数量约束和审批要求。观察。创建请求发出后Agent要读取动作结果和外部回执。超时不等于失败返回成功也不表示业务已经完成。补货单是否审批、采购是否下发决定任务如何继续。回写。外部单号、对象状态、人工修改、失败原因和后续任务回到本体成为下一轮判断的输入。没有回写Agent只是在发起动作不是在承担任务。这条轨迹还有一条“运行证据链”原始请求是什么选了哪些对象调用了哪个版本的逻辑预填了什么参数谁确认或修改外部系统返回什么。只有这些步骤能够回放企业才知道错误发生在意图理解、对象定位、逻辑判断、行动参数还是系统执行。五、人在回路应该放在哪里不少企业为了安全在每一步都弹出确认框。结果是用户习惯性点击“继续”确认变成橡皮图章另一些企业为了体验顺畅尽量不让 Agent 停下来又把责任边界藏进了系统内部。人在回路不应按“每调用一次工具”设置而应放在责任真正发生变化的位置。意图歧义点。目标对象、任务范围或“分析/建议/执行”含义不清时继续规划只会放大误解。这里需要用户澄清不需要审批。证据不足点。对象匹配置信度低、关系断链、数据过期、多个来源冲突时应让业务人员复核事实。人是在补充判断基础不是在替机器点按钮。责任转移点。动作开始影响资金、库存、客户权益、生产或设备状态时需要责任人确认或审批。确认页面必须展示对象、参数、依据、影响范围、风险和回退方式。异常接管点。外部系统结果未知、动作部分成功、权限冲突或补偿失败时Agent应停止扩展动作把完整上下文交给人处理。相反已经授权、低风险、可逆、重复发生且结果可观察的查询、摘要、草稿、提醒不必处处请求确认。人的注意力是稀缺资源应留给歧义、例外和责任而不是浪费在机械点击上。六、Agent 自主度五级不是能力排名而是风险配置为了帮助企业选择边界我把 Agent 自主度分为五级。等级描述的是“在一个具体场景中Agent 最远可以推进到哪里”不是给模型打智力分也不是要求所有场景最终升到第五级。L1只检索和解释Agent 可以查询资料、汇总事实、解释规则不选择业务对象集合也不生成正式建议。适合刚接入、对象体系尚不完整或者对答案质量仍在评估的场景。例如解释安全库存政策、汇总某设备的历史检修报告。主要风险是引用错误和越权读取因此要控制来源、权限和引用证据。L2定位对象并生成建议Agent 可以把自然语言落到具体对象沿关系组织上下文给出候选分析或下一步建议但不调用关键判断替人作结论也不执行写操作。例如定位高风险库存项并生成待核查清单识别油温异常设备并整理可能原因。对象匹配不确定时必须显式提示并请人确认。L3调用逻辑能力形成方案Agent 可以调用经过测试和版本管理的逻辑能力生成结构化判断、方案和行动参数。它不再只靠语言模型推测规则但仍停在建议或草稿层。例如计算缺货时间和建议数量判断客户是否具备触达资格生成质量异常影响范围。适合规则相对明确、方案需要复用但正式动作仍有责任要求的场景。L4在确认后执行中风险动作Agent 完成对象定位、逻辑调用和参数预填向责任人展示证据、影响和风险确认后由行动能力执行创建任务、提交补货单、登记一般缺陷等中风险动作。这里的关键不是多一个确认框而是确认人真正理解并承担这次行动。高风险动作可以使用类似流程但通常还需要更高层审批甚至不允许 Agent 直接触发。L5在限定场景内自动执行并观察结果Agent 可以在预先授权的对象范围、金额或数量阈值、时间窗口和工具集合内自动执行并持续观察状态、处理可预期异常、触发补偿或转人工。它适合低风险、标准化、可补偿、历史表现稳定且结果可观察的动作例如创建内部观察任务、更新非关键备注、按明确策略生成低风险草稿。L5 不是“自由行动”而是“在很窄的跑道内自动闭环”。七、如何为一个场景选择等级自主度不能只看动作是否简单。一个点击操作可能对应大额采购一套复杂分析也可能只是只读报告。评估时至少要看六个问题。业务影响是否改变资金、库存、客户权益、生产或设备状态可逆程度错误能否撤销、补偿还是会形成不可恢复的外部后果判断稳定性规则是否明确、经过测试还是依赖大量情境经验对象与数据质量身份、关系、状态是否完整及时冲突能否被识别权限与责任谁授权、谁承担结果是否存在明确审批和接管角色观察能力执行后能否取得权威回执发现失败、重复和业务偏差影响越高、越难回退、判断越不稳定、观察越弱自主度就应越低。即使运行在 L5只要出现对象不确定、证据冲突、规则变化、系统异常或影响超阈值也应降级到 L3 或 L4。反过来某个场景长期稳定并不意味着可以直接升级。企业要用历史回放和小范围运行证明对象选对率、逻辑结果、动作成功率、人工修改率、异常接管和业务结果都处于可接受范围再逐步放宽对象范围或动作权限。升级的是经过验证的运行边界不是对模型的信心。带走一张表Agent 自主度五级评估表等级Agent 最远推进到哪里人在回路的位置适用条件典型产物L1 检索解释查询、汇总、解释通常事后抽查只读、来源可控答案、摘要、依据L2 对象建议定位对象、生成候选建议对象不确定时确认低影响、判断仍需人负责对象清单、建议说明L3 逻辑方案调用逻辑、形成结构化方案方案或关键判断复核逻辑可测试动作尚未发生风险结论、行动草稿L4 确认执行确认后执行中风险动作责任转移前确认或审批权限、行动契约、证据完整任务、补货单、缺陷单L5 限定闭环限定范围内执行、观察、回写异常或越界时接管低风险、可补偿、可观察、运行稳定自动闭环及完整轨迹评审时不要只选一个等级还要写清四项配置允许作用的对象范围、允许调用的动作、必须降级的触发条件、结果观察和人工接管时限。没有这四项“L5 自动执行”仍然只是一个模糊口号。结语让 Agent 灵活地想受控地做企业需要的 Agent不是一个在所有环节都自由发挥的模型也不是一个每走一步都等待确认的聊天界面。它应该在用户表达模糊时理解意图在上下文分散时组织信息在路径不确定时拆解任务、选择能力同时它应接受对象身份、关系、状态、关键逻辑、行动契约和权限审批的约束。灵活性放在任务组织层确定性放在业务后果层。Agent 自主度五级提供的不是一条“从低级走向高级”的升级路线而是一套配置语言这项任务可以走到哪一步哪里要停谁来接手什么条件下可以再向前。真正聪明的 Agent不是从不向人求助而是能识别自己的边界真正成熟的企业也不是把人完全拿掉而是把人的判断和责任放在最值得出现的位置。留一道思考题企业为什么敢让 Agent 做事答案不只在权限和审批还在于每一次判断、行动、失败和人工干预能不能留下完整的运行证据。