AI Agent 執行時

在實踐中

有兩種完全不同的東西都在用這個名字，而它們的區別決定了出事時該由誰負責。一種在 Agent 一側：執行迴圈的框架或託管服務——圖執行器、Agent SDK、把模型步驟嵌進去的流程引擎。另一種在系統一側：Agent 所操作的那個業務應用的執行時，它解析出真正的操作身份，並決定某次讀取或寫入究竟是否被允許。讀任何廠商關於「Agent 執行時」的說法，第一步都是問清楚指的是哪一種——兩者回答的是不同的問題，誰也替代不了誰。

Agent 執行時真正擁有的問題既真實又棘手：讓一個長時間執行的迴圈在多個步驟之間保持可恢復，在重試失敗步驟時不把一次寫入做成兩次，約束併發與 token 開銷，為人工介入而暫停並乾淨地恢復，發現可用工具（往往通過 MCP），以及留下「Agent 嘗試過什麼、為什麼這麼做」的軌跡。一個在任務中途丟掉狀態、或在重試時悄悄重複副作用的 Agent，是任何權限模型都修不好的生產事故。

它拿不到的，是對資料的裁決權。Agent 執行時位於持有記錄的那個系統之外，因此它能強制的範圍只到「提供哪些工具」，而到不了「某個具體呼叫方透過這些工具能看見什麼」。一條行級規則依賴的是把操作身份放到記錄上求值——這個判斷只有記錄系統本身做得了。所以 Agent 執行時與受治理執行時是互補關係而非競爭關係：前者決定 Agent 嘗試做什麼，後者決定實際發生了什麼。當同一家廠商兩樣都賣時，值得追問的是：上一次呼叫的權限檢查，究竟由哪個元件執行？