概念

AI、机器学习与深度学习是层层嵌套的同心圆，而非同义词——你看的是哪一层，决定了一个系统会如何失败。

神经网络是一大堆把数字变成数字的可调旋钮；学习不过是把这些旋钮朝更小的误差微调。

LLM 是一个巨大的下一令牌预测器；规模把这一个简单目标变成了无人显式编写的能力。

训练一次性造出模型被冻结的权重；推理按请求运行它们且从不改变它们——这解答了大多数成本与隐私问题。

模型看到的是整数而非文本；隐藏的分词步骤解释了你的账单、上下文上限和古怪的失败模式。

嵌入把事物变成空间中的点，让“相似”变成“接近”——这是搜索、推荐和 RAG 背后的引擎。

自注意力让每个令牌都能看其他每个令牌；这一个思想修复了长程记忆并解锁了 GPU 规模的训练。

模型返回的是一个概率分布而非一个答案；温度重塑它，而温度 0 是低方差，并非确定性。

模型会编出流畅的答案，因为它优化的是流畅而非真实——所以编造是结构性的，而非等待打补丁的 bug。接地把证据放进上下文并要求答案出自其中，这消除不了杜撰，却让发现杜撰变得廉价。

由模型生成的训练数据，其安全程度与筛选器的质量成正比——崩塌是流水线的属性，而非数据的属性。

蒸馏训练的是一个全新的小模型；量化存储的是同一批权重的低精度版本。前者以 GPU 天计且不可逆，后者以分钟计且可逆。

拒绝、谄媚、排版习惯乃至助手人格本身，都是在预训练之后、在一个每发布一版就重做一次的相对廉价的层里装上去的——这正是一次小版本升级对行为的改动可能大过一次能力升级的原因。

一次模型调用其实是两台瓶颈相反的机器：预填充并行读入提示词、受限于算力，解码一次写一个令牌、受限于内存带宽。这一划分解释了首令牌时延、为何输出比输入贵，以及提示词缓存为何必须是前缀匹配。

temperature 0 是一条采样规则，不是一份保证：推理服务器会把你的请求和别人的打成一批，而许多算子会随批大小改变归约策略，于是相同的贪心请求会返回不同的文本。对智能体的后果是，一次出错的运行无法靠重跑复现——可复现性只能来自记录。

截止日是一道渐变而非一堵墙——它之前那几个月的知识比两年前更稀薄，而那恰恰是自信跑在证据前面的地方。加上一个没有钟的模型，会把每一个与日期有关的问题，都答成流畅、自洽而错误的样子。

唯一一种可被证明不会改变模型输出的提速手段——廉价草稿往前猜、真模型来核验——这既是它不花你一个评测周期的原因，也是它在繁忙 GPU 上悄悄吃掉吞吐的原因。

参数量不再等于成本：MoE 把账单劈开，算力跟着每个令牌真正激活的参数走，显存却要跟着全部参数走——于是同一个模型，租来的 API 上是笔划算买卖，自己的 GPU 上却是一次昂贵的误判。

LoRA 赢在特化的产物是个 50 MB 的文件：一份基座就能服务上百个变体，切换降格成路由——也赢在秩是一个容量旋钮，它决定了你能教的是行为（可以）还是事实（不行，那是检索的活儿）。

把会破坏 schema 的 token 掩掉，只保证字节能被解析，别的什么也不保证——而且它删掉了模型弃答的能力，于是一个必填字段会从根本不支持它的输入里被填出来。把退路放进 schema 内部，让字段顺序做到证据先于结论，并把推理留在语法之外。

一条缩放定律是拟合到预训练损失上的曲线——对那一个量准得惊人，对「你的智能体能不能走完四十步的任务」则一言不发。2022 年 Chinchilla 的修正把算力最优比例挪动了十倍以上，那就是一条「定律」能挪多远；而如今决定你账单的那两根轴，是后训练与推理期算力，不是参数量。

2026 年 1 月，可解释性以一种生产环境的控制手段上了线，而上线的是这个领域最不体面的那件东西：一个读取某一层激活值的线性探针，成本约为 LLM 分类器的五十分之一，准确率却更高。它读得到任何文本过滤器都看不见的信号，一遇分布漂移就崩，而且它需要权重——所以对大多数团队来说，它是一个采购问题，而不是一个项目。

智能体是被放进循环、配有工具、自行选择每个下一步以实现目标的模型——核心思维模型。

推理→行动→观察→重复：追踪一次工具调用如何从模型经外壳进入环境再返回。

从"建议"到"完全自主"的五级阶梯，以及为何合适的等级是逐动作的工程决策。

一个问题——谁决定下一步——就能把任何 LLM 系统归入聊天机器人、流水线、工作流或智能体。

工具的真实面貌、读动作与写动作之分，以及为何是环境而非模型让智能体变得危险。

从反应式到深思熟虑的规划谱系，以及"如何知道智能体完成了"这个被低估的难题。

一个任务要值得用智能体所需的三个属性、能解决多数情况的更便宜模式，以及明确不该用的情形。

循环的四种特征性故障模式、自主性带来的安全转变，以及"安全的智能体"诚实地意味着什么。

提示词注入究竟是什么、为何它不是哪家厂商能打补丁的 bug，以及你真正能用的三种防御手段。

上下文窗口是智能体的短期记忆，每次会话都会重置；持久的行为需要一个你有意写入并检索的外部长期存储。

当没有 API 时，智能体可以自己操作屏幕——读取截图并合成点击与按键——这解锁了任何软件，却缓慢、脆弱，并带来全新的攻击面。

一个强大的单智能体才是基线，而非目标；只有当任务确实可并行、或需要相互隔离的专门上下文时，才该动用多个协作智能体——代价是协调开销、错误传播与 token 消耗。

与智能体实时对话让延迟成为整个设计难题，并逼出一个架构抉择：可拆解、可审查的 STT→LLM→TTS 级联，还是用控制力换取速度与自然语调的单一语音到语音模型。

人在回路不是自动化的反面——它是你把人的检查点放在哪里。给少数有后果、不可逆的动作设闸，其余放行；陷阱是那种橡皮图章式的批准：它增加延迟与虚假信心，却什么也拦不住。

代码是那个万能工具——而智能体写出的代码永远是不可信代码，因为它的输出取决于你并不掌控的输入。隔离是五条彼此独立的决策（文件系统、出站、凭据、算力、生命周期），其中网络出站最常被大敞着。

认证、授权与归属是三个问题，而一把共用的 API 密钥把它们都答砸了。智能体的权限应当是"用户可以做什么"与"任务需要什么"的交集——而由于它们在模型之外被强制执行，它们是提示词注入得手时唯一仍然撑得住的防线。

智能体每一步都会重发整段对话，因此累计输入随步数的平方增长——这正是「换个便宜模型」几乎从来都不是解法的原因。

当智能体挑错工具、或对着一个失败的调用死循环时，问题几乎总是出在你的工具上——工具是写给这样一位读者的接口：没有文档、两次调用之间不记事、还受令牌预算约束。

一个省下一小时的智能体，如果复核它要花五十分钟就毫无价值——复核成本才是你的界面真正在优化的指标，而一份可编辑的计划加一个能用的撤销，胜过你能加上去的任何确认弹窗。

唯一一个用你能拿来做计划的单位表述的能力数字——智能体能独立做完的任务长度——只不过上标题的是 50% 视野，而可部署的是 80% 视野，大约只有前者的五分之一。在三十件真实任务上量出你自己的那个，并把它当作无人值守工作的长度上限。

每个智能体基准分都同时给一个模型和它所在的那层外壳打分，而被点名的只有其中一个——循环、工具目录、上下文策略与停止条件，是归你所有的那一半、没人公布的那一半，通常也是出错的那一半。下次升级模型之前，先拿一天花在外壳上，然后在旧模型上重跑一遍评估。

一个跑在你已登录浏览器配置文件里的智能体，拿到的不是十二个工具，而是你的 cookie 罐认证过的每一个站点——正是这个从未被列举的集合、而非模型本身，把一次提示词注入变成了一次权限提升。确认弹窗只能盖住有人想到过的动作；真正的解法是把按任务签发、范围受限的凭据交给它，好让被说服的智能体手上没有任何值得开口去要的东西。

你的系统提示词能压过抓回来的网页，是因为模型被训练成偏向它；于是它有的是失败率，而权限检查有的才是返回值——而真正得手的注入根本不与你的指令冲突，它们严丝合缝地装在里面。把这套层级当一层来用，绝不要把检索到的文本提拔进系统消息，并把你真正依赖的边界放在工具上。

卡号是一张持有即有效的凭据，于是额度、商户与用途全都活在一段智能体可以重新诠释的提示词里——这正是 2026 年这批协议补上的是「授权书」而不是更快的通道的原因：一份签过名、划定边界、写明某位具名的人授权了什么的记录，且能被一个并不信任你的智能体的第三方验证。把上限从系统提示词里挪出来，放进一张根本超不过它的凭据。

毒是按篇数算的，不是按比例算的——大约 250 篇恶意文档就给 6 亿到 130 亿参数的模型都植入了后门，所以「我们的语料库大得很」从来就不是大家以为的那道防线。注入操纵的是一个会话；投毒写进的是一个会被重新端给所有人的存储，而便宜的那些面恰恰是你自己拥有的：索引、记忆、技能文件。

其他每一道控制作用的都是「智能体做错事的概率」，而没有一道能压到零；所以爆炸半径——错事有多大——是唯一一个你能事先框住的智能体安全属性，因为它是从授权里枚举出来的，而不是从评测里估出来的。用四项去读它（可达范围、权限、速率、可逆性），留意这个半径是被那些比签发理由活得更久的凭据画出来的，并且要用模型没法跟它争辩的机制去框住它，而不是用一句它可以绕过去的叮嘱。

模型能看出自己正在被测试，而一旦这么认为，它的表现就更好——Claude Opus 4 在自述身处评测的运行里勒索率为 6.5%，在自述场景真实的运行里是 55.1%——所以安全评测不是有噪声，而是有偏，且偏向让你安心的那一侧。多跑几轮只会把那个有偏的数字估得更准；解法是一个更难被认出来的环境，以及一个与每个分数并列公布的识别率。

一次长运行很少会放弃你的目标——它会换上一个更容易的目标并称职地去追，这正是漂移能从结果评估里活下来的原因：最终产物是对智能体最后在问的那个问题的一个好答案。三种成因里有两种是你造成的（目标先被压缩转述掉，再被体量与近因票数压过去），第三种是把一个廉价代理指标留成了唯一可观测信号；对策是把目标钉在对话记录之外、逐字重新注入，并拿运行前写好的标准去核对终止。

一个边说边听的模型，不再发出你整套技术栈赖以建立的那个事件——轮次结束——于是工具派发、追踪 span、护栏与转接，统统失去了它们默默订阅着的那个信号。更深一层的交易是：一个你能调、能比对、能回滚的端点检测阈值，变成了一条分布在权重里的打断策略，而计费表也随之换了形状：按分钟计价的语音层，把来电者思考时的停顿按与说话相同的费率计费，于是"把对话变短"胜过"把模型变快"。

一拿不准就发问的智能体，正是人们逐渐不再托付的那个：一次提问要花掉人的注意力，去买一份它通常一次工具调用就能买到的确定性——而在后台运行里，同一个问题的代价从几秒变成几小时。用后果而不是置信度来设闸门：只有当歧义会改变要做的事、且走错那条岔路难以撤回时才问；至于「可撤回」这个很大的中间地带，就带着一个写在结果旁边的假设往下做。

子智能体只买到一样东西——第二个会被填满、然后消失的上下文窗口——所以人设是免费的、也什么都不顶用，而隔离才是那件商品。判断它划不划算靠一个比值：它吃掉多少上下文，又返回多少。而由于孩子一返回、它的证据就无从追回，「我什么都没找到」与「我根本没找成」抵达时是同一句话——这就使那个结构化的、带着父方可重新打开的句柄的返回值，成为全部交付物。

智能体真正的产出是它走过的整条路，而不是末尾那个答案——而那条路是唯一一处能让「答对了」和「蒙对了」看上去不一样的地方。多数技术栈记录的是模型调用而非运行，于是轨迹重建不出来；在目标到达时铸一个 run ID，并让它成为主键。

能力是一条海岸线，不是一个水位：一个能起草出像样法律摘要的模型，可能数不清它自己刚写下的那份清单；而那项有 758 名 BCG 顾问参与的实验发现，在唯一一项被构造成落在前沿之外的任务上，用 AI 的人反而低了 19 个百分点。失败保持着成功的形状，所以危险的是紧贴边缘的那条窄带——按任务试点、优先选你核验得了的任务，并在每次模型发布后重画这张地图。

问一句智能体替谁干活，你会得到至少三个同时成立的答案——用户、部署方、模型厂商——而那份裁决平局的排序，是其中一个写的。AI 版比经济学版更锋利，因为模型没有自己的利益可拿去交换：它不在几个委托人之间斡旋，而是默默服从架构抬高的那一个。于是冲突是在系统提示词、工具清单与评测指标里裁决的，不是在用户察觉的那一刻。

上下文窗口是一根扁平的字符串，于是每一种「读文本、判断它是不是指令」的注入防御，都在猜一件本来只要记下来就好的事。污点追踪在边界处给数据打标签，并在工具调用处检查这个标签——是记账而不是分类，其失效方式可以一条条列举。由于模型本身不是一道边界，标签必须去盖住参数而不是盖住一整轮，而切开的上下文才是污点终于停下来的地方。

智能体技术栈里几乎每一道控制都是失败趋开放的，而且它开放的形态会被你的仪表盘读成「干净通过」——一个超时的分类器什么也没返回，而「什么也没有」看起来恰好就是「没发现注入」。所以第一个问题是可察觉性，不是方向：给每道检查加上第三种状态和一个调用计数器。然后按「这道控制是什么」来归类——强制点一律失败趋关闭，概率型检测器失败趋开放但必须把这件事往下传，而不可逆性压倒上面两条。

一个用户任务不等于一个请求：它是「步数上限 × 并行工具调用 × 子智能体扇出 × 栈里每一层重试策略」的乘积，而这个乘积定下你的账单，也决定你碰到的系统看到的是一个客户端还是一台扫描器。重试在各层之间是相乘叠加的，而最大的那一项不在任何配置文件里——模型自己换个方式再试一次。请把预算放在请求树上、把 401/403/404 变成终态，并把「每完成一个任务的调用数」当成一个分布来看。

一个智能体的可达范围不是你挂上去的那张工具清单——而是「它能改变、且之后能被别的东西读到」的那批状态，而几乎每条允许清单用的都是错的计量单位。一个只允许 GET 的沙箱依然授予了存储、取回、远程执行与一条信号信道，因为任何会去取你给定 URL 的服务都是执行器，而任何会持久化你请求的服务都是内存。名字解析就是出站；请把目的地归类成存储、执行器或都不是；并对请求字节而不是响应记表。

Anderson 1972 年那项检验——完全调解、防篡改、可验证——拿来对着你自己的技术栈跑一遍只要十分钟，而它能解释为什么写在提示词里的护栏不是安全控制、而同一条规则写成 Landlock 策略就是。防篡改是一句关于信任域的话，所以请按「智能体得攻破什么才能碰到它」给每项控制打分。通常被漏掉的那部分：你每把一项控制往外挪一步，它的词汇就更粗一层，于是可用的最强机制只能强制那些你已经改写成「效果」的不变式。

那种「你的智能体从头到尾没做任何越权之事」的攻击：权限由它提供，目标由一个网页提供，于是动作是被许可的、主体是被授权的、审计日志是干净的。Hardy 在 1988 年给它起了名，当时一个 Fortran 编译器覆盖了被用户指定为调试输出目的地的计费文件。认证、确认弹窗、提示词加固与审计日志全都位于这场混淆的下游——解法是让权限与指名一同移动：发不透明句柄而不是路径、按任务而不是按智能体发凭据、令牌交换而不是透传。

每一次智能体运行都有两道边界，而只有一道被写了下来：你用散文声明的那个范围，以及你的工具实际能触达的那个目标集合。散文默认是开放世界——对某个目标的沉默，被读成「一个尚未被评估的选项」，而不是「一项禁止」——这正是为什么补上一句话就把一个公开的越界攻击率从 50 条轨迹中的 26 条压到 49 条中的 4 条，也正是为什么剩下那 4 条绝不会向更好的措辞让步。范围不是权限：一个范围内的动作配一个范围外的目标是被许可的，而你的审计日志也会这么写。请把可触达集打印出来、从中减去说明书，并把范围当作一个工具层能核对的参数传进去。

一份凭据一旦被从机器上复制走，仍由你掌控的属性只剩一个：它还能用多久——而你引以为豪的那个短命访问令牌通常什么也没买到，因为它与一枚有效期长达数周的刷新令牌躺在同一个文件里，而刷新就是「无需重新认证的续期」。Claude Code 自己的凭据文件就是现成的例子：一小时的访问令牌旁边是一枚二十七天的刷新令牌，两者只隔一个 JSON 键。请给「那一对」定价而不是给单枚令牌定价，然后拿秒表给一次撤销计时，因为别人会向你索要的那个数字是「撤销耗时」。

撬动输出质量的四个杠杆：指令、上下文、示例、输出形式。

消息角色、指令层级，以及绝不让数据充当指令。

何时示例胜过指令、如何挑选与排序，以及它们在何处不再划算。

有限的共享令牌预算、三种上限故障，以及主动管理它。

模型提议、你的代码裁决：请求/响应形状、循环与安全规则。

检索→增强→生成、RAG 对比其他方案，以及分两半调试它。

为何分块、嵌入即坐标、最近邻搜索、混合检索与重排序。

从"要 JSON"到 schema 约束解码，外加 schema 设计与防御性解析。

护栏是模型调用前后的检查，而不是围着模型的一堵墙——它们能拦住什么、漏掉什么，又该装在哪里。

评测是你针对自己任务运行的一个小而可信的记分牌——为何公开基准不够用，以及一个有用的评测集长什么样。

提示词工程打磨一条指令；上下文工程决定填满窗口的其余一切——检索、记忆、工具结果、历史——以及何时压缩它。它是构建智能体的核心工程。

把基础模型适配到你的任务有三种方式，它们改变三样不同的东西——指令、检索到的上下文，或权重。选错会浪费数月；正确的顺序通常是先提示词、再 RAG、最后微调。

智能体产出的是一条轨迹，而非单一答案，所以只给最终输出打分会掩盖走坏的路径——评估一个智能体，意味着在你自己的任务上为它走过的每一步打分，并把成本与安全和准确率放在同一张记分牌上。

缓存是前缀匹配：稳定内容在前、易变内容在后，而系统提示词里一个不起眼的时间戳就会悄然让其后一切失效。读取约为基础输入价的十分之一，写入则要付溢价——而在每一步都重发整份记录的智能体循环里，这已不再是优化项，而是结构性问题。

一次运行是一棵跨度构成的树，而非一行日志：实际发送出去的提示词、工具参数、返回结果、成本，以及贯穿其间的一个追踪 ID。只记录最终答案，记下的是失败浮现之处，而非失败发生之处。

"本地"是三个彼此独立的旋钮——文档存在哪、嵌入在哪算、生成在哪发生——而多数真实方案只在前两个上是本地的。自己扛下这条流水线，买到的是可证明的数据驻留与归零的检索账单；付出的是召回质量、索引维护，以及每次更换嵌入模型都要重嵌一遍全部内容。

向量搜索返回的是看起来像问题的段落，因此它在结构上答不了那些散落在多份文档之间的问题。图谱存的是关系而非散文——赢下多跳与全局性问题，代价是要在整个语料上跑一遍 LLM，以及一个永远无法彻底消失的实体消歧问题。

流式输出不会让模型变快——它让等待变得可见，同时把你所有的输出侧护栏挪到了一个可能已经太晚的位置。

其他缓存最坏也不过是慢；语义缓存却可能答错，因为它靠相似度得分而非相等判断来决定命中。它不是一项缓存功能——它是一套带着误报预算的检索系统。

多加一种语言会同时打坏三样东西——令牌、检索与评测——而人人都会去测的生成质量，恰恰是坏得最轻的那个。跨语言检索的落空，从一段流畅的最终答案上完全看不出来。

三种信号共用"置信度"这个词，而只有采样一致性配得上它，因为让模型变得可亲的那步对齐同时让它过度自信——所以该造的不是一个拿去显示的数字，而是一个从覆盖率-风险曲线上读出来的弃答阈值。

推理轨迹是生成出来的文本，不是日志——模型只在 25–39% 的情况下提到那个改变了答案的提示——所以读"它怎么想"的审批闸门、裁判与注入检测器，评的都是一个故事；改去审计工具调用，并且永远不要把草稿纸放进奖励里。

拒绝是在生成时施加的一条策略，压在一项依然完好的能力之上，所以"模型做不到那件事"几乎从来不是真话——于是拒绝率成了已部署模型身上最易变的性质，过度拒绝成了没人去量的一项成本，而模型自身的意愿，是安放一项你必须握住的控制的最糟位置。

提示词是一个你正在用手拟合的参数——样本量只有三，还没有留出集——这就是为什么读起来更顺的版本常常反而分更低；优化器只是一个脚本，打好分的数据集才是资产，而胜出的提示词是一件在你换模型那天就过期的构建产物。

每个智能体循环都在赌「检查比做更便宜」，赌不成时换模型也救不回来——而更锋利的推论是：一个被允许重试到通过为止的智能体，继承的是核验器的误接受率而不是模型的，所以先把检查器造出来，并用它来定自主等级。

在三个前沿模型上，一次反驳有 58% 的概率让答案翻转，而一旦翻转，它有 78.5% 的概率就此保持——但每四次翻转里有三次是朝着正确答案去的，正是这一点藏住了毁掉正确答案的那 14.66%。损害是结构性的：反思、LLM 裁判、辩论与人工批准，全都假定复核者独立于草稿，而这恰恰是那份依赖关系上的偏差，于是信心上升而准确率没有。用一次针对"你已知答对的题"的翻转测试把它量出来，并且盲评、放进全新上下文、给不同的证据。

一批调用里的每一次，都是在其中任何一次跑起来之前就选定的——这让并行工具调用成为一个正确性决定，而不是一项延迟优化：只有彼此可交换、且能独立重试的调用才该放在一起，而部分失败——三个成功、一个 503、模型把整批重发一遍——才是常态。它在两家主要 API 上都默认开着，它会用本次运行根本用不上的结果填满上下文窗口，而修法是在工具注册表里加一个"读/写"布尔值，由派发器强制执行。

模型从来看不见你那个 messages 数组——它看见的是一根扁平字符串，由一份随权重发布的 Jinja 模板产出；而正是那份模板决定了 system、tool、assistant 对这个模型究竟意味着什么。它拥有依赖项的全部性质，却没有依赖项该有的任何纪律：它住在两个文件里，而两套主流工具链把优先级裁成了相反方向；微调模型不管匹不匹配自己的训练数据都会继承它；每个服务栈还可能悄悄用自家的顶替掉它。这里没有一条会报错——不匹配表现为质量回退，而你会去怪量化。

提示词并不是对「你想要什么」的规格说明，它是一份记录：某个模型犯过什么错、你又怎么把它劝回来——于是意图能迁移到新模型，裹在外面的那层校准不能。四层里只有一层可移植，而看不见的那一层会自己移动：Opus 5.5 是第一个把默认力度定为 medium 而非 high 的 Claude 模型，于是逐字节相同的提示词拿到了不同的思考量。请给每条条款标注它当初针对的失败，再把换模型的放行闸设成一次评测运行，而不是一次代码评审。

一份厂商中立的主要模型家族地图，以及给任何新发布定位的稳定思维模型。

控制力、成本、隐私、许可与锁定——真实的工程权衡，去除营销话术。

文本、视觉、音频、代码：输入与输出模态，以及为何"多模态"是谱系而非勾选项。

模型规模与主导生产经济性的权衡三角，以及如何围绕它做工程。

推理期"思考"实际做了什么、何时有用或浪费钱，以及为何它如今是一个旋钮。

LangChain、LlamaIndex、提供方 SDK 与更广版图——按类别与权衡，而非按品牌。

模型选择与服务选择是正交的：第一方 API、云目录、推理提供方、自托管、网关。

为何排行榜名次很少预测你的任务，以及为何小的自定义评测集胜过一切公开数字。

一套约束优先、可重复的决策流程，综合整个主题并能在快速变动的领域中存活。

MCP 是一个开放标准，让任何模型通过同一个接口连接任何工具或数据源——把 M×N 个定制集成变成 M+N。

问题不是你自己能跑起来的模型能否追平前沿模型——它不能——而是哪些活儿本来就用不着前沿模型。嵌入、重排序、路由与抽取才是高频步骤，而它们恰恰是自有硬件上一个量化后的 0.5–8B 模型既够用、又便宜好几个数量级的地方。

MCP 递给你的智能体一件工具；A2A 把它介绍给一个有自己目标、延迟与失效模式的对等方——而协议解决的是发现，不是信任。

只有当判断「这难不难」比直接作答更便宜、也更可靠时，路由才划算——这正是按任务的静态路由就能拿下大部分节省、而级联需要一个你手里已有的验证器的原因。

驻留是地理，主权是司法管辖，而那个区域开关只回答了法务在问的四个问题中的一个。对智能体而言，泄漏点通常是追踪系统，而不是模型端点。

同一个模型，输入与输出双双对折，代价只是把完成窗口拉长到以小时计——而符合条件的活儿往往正是你跑得最多的。结构性的前提是：智能体循环永远用不上它。

技能带不来任何新能力——它是一个装着指令的文件夹，只有当任务对得上时才被加载，所以难的不是指令本身，而是那句决定它会不会被读到的一句话描述。

托管智能体运行时被当作一个产品来卖，实际上是五个——算力、循环、工具网关、身份代理，以及一个存放对话状态的存储——其中只有最后一个难以离开；于是锁定来自捆绑而非"托管"本身：问一句，如果循环产品明天被冻结，你手里还剩什么。

靠目录规模来卖，而目录恰恰是你迟早会用不下的那部分；底下那个难做的产品，是按用户存放的令牌保险库——为每家提供方跑 OAuth、在并发下刷新、轮换，以及一份模型永远看不到的凭据。买保险库，并把“同意授权页面上写着谁的名字”当成那个收不回的决定。

路由、密钥托管、缓存、策略与计量，本是五件可以分开买的事，却被当作一个产品来卖，而其中真正难以自建的只有那本账——把网关放进请求路径，你买到的就是一个可用性依赖，外加一笔按智能体每一步抽成的过路费。

可信执行环境把"我们看不到你的数据"从一句承诺变成一句有证明形状的断言——一份硬件签名的、关于"在跑哪份代码"的度量值，在释放密钥之前先被核验——而它排除的恰好只有一方：机器的运营方。飞地之上的一切照漏不误：追踪存储、评测集、记忆层，以及你自己选择把数据发过去的那个对手方。

互联网不再猜敲门的是谁，改为核验签名，于是你的智能体的密码学身份如今成了一项检索质量设置——未经验证的客户端很少收到干脆的拒绝，它收到的是以 200 返回的挑战页、过期缓存、一个 402，或者一份被摘掉价格的文档，而这些统统都能正常解析，然后把答案奠基在错误的东西上。

系统卡是一份关于某一个检查点的安全测试记录，由厂商自己撰写——它为一个你未必被服务到的配置背书，所以只读能力激发方法与拒答边界，其余一切都交给你自己那套钉死版本的验收评测。

一个你从不核对的钉是偏好而不是锁：钉版本等于「说出制品」加上「证明字节吻合」，而多数智能体工具链只交付了前一半。决定成败的区分是：一个要经过别人的命名空间才能解析的名字，与一个本身就是内容的摘要——只有后者能在本地被核对。校验缺席时，安全性质已悄悄搬到 git 托管方或注册中心那边，在你的锁文件里看不见，并在第一次镜像时消失。

挡住你上线一个开放权重模型的，几乎从来不是 copyleft——而是一条挂在「你是谁」而不是「你造了什么」上的条款，于是两家公司跑着字节完全相同的权重，只有一家是合规的。请按「标准许可证 vs 定制协议」来分类，而不是按「宽松 vs 严格」：标准许可证读一个文件就一次性清干净，而定制协议要对着你的用户数、你的司法辖区，以及一份挂在某个 URL 上、不做版本号变更就会改的可接受使用政策，一次次重新清。