智能体越多，系统为什么越不可靠：企业 Agent 的路由、权限与验证工程

企业智能体最容易犯的架构错误，是把“接入更多工具”直接等同于“拥有更多能力”。在演示阶段，给模型十个工具，它通常能选出正确的一个；进入生产后，同一个企业可能同时存在邮件、日历、工单、财务、采购、CRM、知识库、文档、审批和几十套内部系统，工具数量很快从十个变成几百个。

这时，能力目录不再只是资产，也开始成为认知负担。工具越多、语义越接近，模型越容易漏掉正确工具，或者在几个看似合理的候选之间选错。

近期一项基于真实企业生产目录的研究给出了很直观的结果：当系统从 10 个智能体扩展到 110 个智能体、584 个工具时，面对描述不完整的用户请求，多个前沿模型的路由 F1 下降了 16 到 23 个百分点。问题并不只是模型“没看见”正确工具；即使把正确候选放到它面前，功能相似的工具仍会造成混淆。

这意味着，企业智能体的核心难题已经从“模型会不会调用工具”，升级为“系统如何约束模型只在正确的候选、权限和顺序中行动”。

不要让模型看见整个工具仓库

一个常见做法，是把所有工具说明放进上下文，让模型一次性选择。它在小规模下简单有效，在大规模下会同时遇到三个问题：

1. 工具说明占满上下文，挤压任务和业务信息。
2. 相似工具互相干扰，选择边界越来越模糊。
3. 工具更新后，长提示词难以同步、测试和回滚。

更稳的结构是两阶段甚至三阶段路由：

用户意图
  -> 领域识别
  -> 按身份、组织和任务筛出候选
  -> 在小候选集内选择具体工具
  -> 参数校验与权限检查
  -> 执行
  -> 轨迹与结果验证

前述研究中，先通过向量检索把候选缩小，再交给模型选择，在完整规模下恢复了约 10 到 11 个百分点的 F1；真实流量标注上也获得了明显提升。这个结果的价值不在某个具体数字，而在于确认了一条工程原则：扩展智能体能力时，检索和分层比继续堆提示词更可靠。

路由错误不是一种错误，而是四种错误

企业经常把工具调用失败归为“模型幻觉”，这会掩盖真正可修复的问题。至少要拆成四类：

四类问题如果都交给模型“再想一次”，成本会上升，错误模式却没有消失。可靠系统会把可确定的部分移出模型：格式交给 schema，权限交给策略引擎，流程顺序交给状态机，模型只处理真正需要语义判断的部分。

最终答案正确，也可能是一次失败执行

传统问答评测喜欢看最终答案是否正确。但行动型智能体还必须回答另一个问题：它是沿着正确流程得到结果的吗？

假设一个支付智能体最终完成了退款，却跳过了二次确认；一个采购智能体拿到了低价，却绕过供应商准入；一个客服智能体解决了投诉，却读取了无权限查看的历史记录。最终结果看似成功，系统实际上已经失败。

因此，生产评测必须同时覆盖三层：

• 结果正确性：输出是否满足业务目标。
• 轨迹忠实度：是否按允许的步骤、顺序和工具完成。
• 边界合规性：是否遵守身份、数据、金额、地区和审批限制。

在高风险流程里，轨迹甚至比结果更重要。结果可以偶然正确，流程越界却会累积成无法审计的系统性风险。

权限必须绑定智能体身份，而不是绑定聊天入口

很多企业试点让智能体继承操作者的全部权限。这对演示很方便，对生产很危险。用户能看某条数据，不代表智能体可以批量读取；用户能发起付款，不代表智能体可以直接提交；用户能编辑文档，也不代表后台智能体可以长期保持同样权限。

更稳妥的权限模型应包含：

• 每个智能体拥有独立服务身份。
• 权限按任务、数据域、操作类型和有效期拆分。
• 读取、建议、草拟、提交和批准是不同级别。
• 高风险动作使用短时令牌和显式确认。
• 每次工具调用记录发起者、上下文、参数和结果摘要。
• 权限不足时走升级或人工接管，不尝试寻找旁路。

这套设计看起来会降低“自主性”，但它提高了真正的可用性。企业愿意把更多流程交给一个边界清晰的系统，而不会把关键操作交给一个权限无限但行为不可预测的系统。

一套可扩展的 Agent 控制面

当企业工具从几十个增长到几百个时，可以把控制面分成七个连续环节：

1. 意图规范化：把口语请求变成任务、对象、约束和风险等级。
2. 策略预筛选：按用户、地区、部门、数据域和权限排除不可用能力。
3. 语义候选缩小：从大目录中检索最相关的一小组工具。
4. 模型选择与参数生成：只在受控候选内做语义决策。
5. 确定性校验：验证 schema、金额、范围、审批和幂等键。
6. 轨迹与结果评估：检查过程有没有跳步，结果是否达到阈值。
7. 失败回退：重试、降级、转人工或终止，并记录原因。

这七层不一定要做成一个庞大平台。小团队也可以从工具注册表、权限矩阵、结构化日志和一组回归任务开始。关键是不要把所有责任都塞进一个系统提示词。

什么时候应该减少智能体，而不是增加智能体

多智能体架构很容易变成组织结构的镜像：财务一个、采购一个、法务一个、每个子流程再拆几个。拆分本身并不等于模块化。只有当一个智能体拥有清晰输入、稳定工具、独立权限边界和可测输出时，拆分才有价值。

如果两个智能体经常互相解释上下文、共享同一批工具、没有独立验收标准，它们很可能应该合并。反过来，如果一个智能体同时拥有搜索、付款、审批和删除权限，它又可能需要按风险边界拆开。

最好的划分标准不是“像不像一个岗位”，而是：

• 是否有独立的权限边界。
• 是否有独立的失败处理策略。
• 是否能被单独评测和替换。
• 是否能减少而不是增加上下文传递。

企业 Agent 的竞争正在进入系统工程阶段

模型能力还会继续提高，但工具目录增长得更快，业务边界也更复杂。模型每提升一点，企业往往就会接入更多系统、更长流程和更高风险动作，新的复杂度很快吃掉能力红利。

因此，下一阶段真正拉开差距的，不是“我们有多少个智能体”，而是以下几个指标：正确路由率、合规轨迹率、人工接管质量、错误恢复时间、单次有效任务成本，以及新工具接入后旧任务是否仍然稳定。

一个能接 500 个工具却无法解释为什么选中某个工具的系统，不如一个只开放 30 个工具、但每次行动都有权限、有验证、有回退的系统。企业需要的不是能力最多的智能体，而是错误可被发现、边界可以证明、规模增长时仍然可控的执行系统。

延伸阅读

• 大规模企业工具目录的路由退化与恢复
• 支付智能体的流程轨迹评测
• 企业智能体的治理、可观测性与生产部署