上千个智能体一起干活，先缺一个能摁停的人

Anthropic平台工程负责人Katelyn Lesse近日发文，说很多工程师正经历身份危机，有人沮丧，有人玩得开心。她的判断偏逆风：AI越会写代码，越需要程序员去解决一批新问题，否则上千个智能体一起干活这件事落不了地。她把这批问题归成四类。文章在X上阅读量约61万，她负责的平台工程团队约200人，此前在Stripe和Betterment带过工程团队。

先补上下文。AI智能体是能自己调用工具、一步步完成任务的程序。早期它像聊天框，人盯着一问一答。模型能独立干更久、更难的活之后，智能体开始搬到云端。再往后出现多智能体系统：一个总管把任务拆开，分给一批助手，还有智能体专门打分、提建议。Lesse说，已经有人在搭由成千上万个智能体组成、连续工作不停的系统，用来做科研、新发现和硬件设计。规模一上来，四类工程问题就冒出来了。

难题一：服务器怎么安排

大部分软件跑在Kubernetes上。这套系统擅长管一模一样的副本，哪个挂了换一个顶上。智能体相反，每个都是独一份，记着自己干到哪了；大量时间在等模型回话、等工具、等别的智能体或等人回复，闲多久说不准，忙起来又可能一下冒出几千个。

Google 9月发布的Agent Substrate就是冲这个问题做的。官方介绍里，它能运行数百万个沙箱，密度是标准容器运行时的10倍，能在500毫秒内恢复，每秒超过500次挂起和恢复，带内核和网络层面的零信任隔离。闲着的智能体可以休眠，需要时半秒内唤醒。Lesse说这块还有大量问题没解决。

难题二：谁在干活，能干什么

很多智能体用的是人的账号和权限。系统得分清某个操作是人做的，还是AI替人做的。更难的是授权：一个系统替你连干几周，你怎么事先讲清它能做什么、不能做什么？智能体之间互相派活时，一个智能体凭什么相信另一个？

Lesse说，确认身份可以借用现成技术，比如用很快过期的临时凭证代替长期有效的密钥。授权这块基本还是空白。长期任务里的“同意”尤其麻烦，人在开头点一次允许，不等于能覆盖后面几周的所有动作。

难题三：一个被骗，全队遭殃

Lesse说，最近几个月，尤其最近几周，软件漏洞冒出来的速度超过了业界修补的速度，很多出在大量系统依赖的核心软件里。本月PHP、GitLab、Node.js就接连发布了严重漏洞的修复。上千个智能体跑在这些软件上，还要写来路不明的代码、读来路不明的网页，没修好的漏洞就危险得多。

多智能体还多一层风险：一个智能体被网页里藏的恶意指令骗了，可能把指令转给同伴，甚至写进共享记忆，让后来的智能体也照做。她的建议是让每个智能体在严格隔离的沙箱里干活，一个出事不传染整屋。Agent Substrate的做法是硬件隔离的microVM或gVisor沙箱，出口代理限制网络，凭证不落到智能体手里。

难题四：跑偏了要能叫停

系统得记下每个智能体做了什么，而且任何智能体都改不了自己或别人的记录。还得有一个总闸，监控一发现问题，就能把整个系统一次停下，收回所有权限。Lesse说最难的是判断系统有没有跑偏：一个智能体反复尝试访问不在白名单里的网站，可能是在搞破坏，也可能只是太想把任务做完。

有网友说，这个难题在小规模也成立。几个bot每次执行都自己写记录，但bot改得到的记录不能拿来查它。真正能核对的是它改不到的外部痕迹，比如另一个bot从X读回实际发出去的帖子对账。

有网友同时开两个agent改一个项目，互相把对方代码覆盖掉，最后还得人蹲着一行行合。也有人算账，这些问题小团队很难遇到，光token钱就掏不起。Lesse对正在焦虑的工程师说，这些领域大多还没有现成答案，值得钻进去学、形成自己的判断。程序员的活从写代码挪到编排、护栏、验收、兜底。

参考链接：

• Katelyn Lesse原文
• Katelyn Lesse在X上的文章
• Agent Substrate官方介绍