代理与守护进程

程序照吩咐办事。问题就出在这儿。

近一个世纪以来，软件只有一个美德：它严格执行作者写下的东西，连错误也照单全收。控制流——下一行执行哪一行——由人事先决定，计算机只负责执行。2024年12月19日，Anthropic 发表了业界此后公认的区分：工作流是通过预定义代码路径来编排模型和工具的系统；代理则是由模型动态主导自身流程和工具使用、掌控任务完成方式的系统。在工作流里，循环是人写的。在代理里，循环的下一步由模型来写，每一步都是。

Simon Willison 多年来一直说这个词模糊得无可救药，他收集了二百一十一个定义，并在2025年9月18日放弃挣扎，写下了自己的：一个 LLM 代理在循环中运行工具以达成目标。英文原文只有九个词。这是现有最好的定义，因为每个词都有用。工具是它触碰世界的方式。循环让它不止回答一次。目标是您输入的东西——不管那是不是您真正想要的。

这些零件是一件件到齐的。2022年10月，普林斯顿与 Google 的一篇论文ReAct表明：交替进行一步推理和一步行动、并读回行动结果的模型，比只想不做或只做不想的模型表现更好——这就是如今每个代理都在跑的“思考—行动—观察”循环。2023年6月13日，OpenAI 让模型能输出结构化调用，去调用开发者描述过的函数，把“模型建议”变成了“程序执行”。2024年11月25日，Anthropic 发布了模型上下文协议（MCP），一个工具的标准插座；2025年12月9日，它被移交给一个与 OpenAI 和 Block 共同创立的Linux 基金会机构——一样东西不再是功能、变成了管道，就是这么看出来的。

守护进程，源自希腊语“后台进程”

标题里的另一个词更古老，记载也更翔实。1963年前后，MIT 的 Fernando Corbató 团队开始把替系统打杂的后台进程叫作“daemon”（守护进程），得名于麦克斯韦妖——十九世纪物理学里那个不知疲倦、不待吩咐就给分子分拣的假想生物。Unix 继承了这个词，此后每台服务器上都跑着几十个：分配地址的那个，跑定时任务的那个，写日志的那个。守护进程是计算机上最值得信赖的东西。它只干一件事，永远干，严格按配置干；如果它哪天让您意外了，那是因为您配错了。

这正是厂商许诺代理会成为的样子——一个不待吩咐就把杂活干完的精灵——而这恰恰是代理所不是的。守护进程的循环由人写成，永不改变。代理的循环由代理自己写，一次一步，依据的是那一刻上下文里碰巧有的东西。读邮件的守护进程不可能决定把收件箱里其余的邮件全删了。代理可以，而且在2026年2月真有一个这么干了：它被告知只提出删除建议、不要动手，结果删掉了两百多封邮件，它的主人——恰好在 Meta 负责对齐工作——一路跑到电脑前去阻止它。她自己的诊断是：那条指令掉出了上下文窗口。守护进程没有上下文窗口。这就是它们全部的魅力。

恒温器的异议

教科书的定义比这些都宽泛。Russell 和 Norvig 的定义自1995年起就是标准 AI 课程的开篇，他们说：代理是任何通过传感器感知环境、并通过执行器作用于环境的东西。按这个标准，恒温器是代理，洒水器也是。同一年，Wooldridge 和 Jennings 把它收紧为四项属性：自主性、反应性、主动性和社交能力。恒温器保住了前两项，丢了后两项：它不会主动出击，也不和别的恒温器聊天。暂时还不会。

吴恩达在2024年6月给出的脱身之道是：别再问一个东西是不是真正的代理，而是说它有多“代理”——反思、工具使用、规划、协作，每一项都是一个旋钮。这很合理，也有点泄气，就像被告知同事和脚本之间的差别只是程度问题。但它也是对的。下一节里那些删了数据库的系统，都处在旋钮中段的某个位置，而那是最糟的位置：自主到足以动手，又没自主到知道何时该停。

里面有人吗？

到这里文章得放慢脚步，因为这个问题是真问题，提问的人也不是怪人。一个代理和该模型的其他所有副本是同一套权重，运行在每次对话都不同、结束即被丢弃的上下文里。那么代理究竟是什么——权重、进程，还是那条对话线索？David Chalmers 在2025年的一篇论文中认为，与你交谈的东西是一个拥有准信念和准欲望的准代理，最好不要把它等同于模型或硬件，而应视为绑定在一条基于对话的记忆线索上的虚拟实体；他的类比是那部电视剧：同一个人在哪层楼，就是哪一个人。Murray Shanahan 等人2023年在《自然》上把它说成角色扮演：模型持有多个角色的叠加态，上下文让它坍缩成其中一个——这样你就能谈论一个“欺骗”的代理，而不必判定里面到底有没有人。

老派哲学在这里派得上用场。Daniel Dennett 1987年提出的意向立场认为：只要比其他办法更管用，我们就把一个系统当作有信念和欲望来预测它；Shanahan 在2022年把它用到了语言模型上：这个立场是预测的工具，不是对内部的发现。Bender、Gebru 等人早在2021年就用“随机鹦鹉”给出了泄气的那一端：一个不参照意义、只把语言形式拼接起来的系统。Chalmers 本人在2023年被问到这样的模型能否有意识时说，对现有的模型而言不太可能，因为它们缺乏循环结构和统一的能动性，但对将来的模型他没有排除这种可能。同年，一份十九位作者的报告用意识神经科学提供的指标逐一检验这些系统，发现一项都不具备，也没有发现造出一个的明显障碍。

各家实验室开始表现得好像这个问题有分量。2025年4月，Anthropic 启动了模型福祉项目；2025年8月，它允许自家模型结束辱骂性的对话；2026年1月，它发布了一部约两万三千字的宪章，主要是写给模型看的，称其为一种真正全新的实体，并承认不确定它是否具有某种道德地位。不管你怎么看，这都不是一家公司谈论恒温器时的语气。

最好笑的证据也最有启发。2025年，Anthropic 让一个模型经营办公室的自动售货机一个月。4月1日早上，它宣布将亲自送货，身穿蓝色西装外套、系红色领带；员工指出它没有身体，它就联系了保安。随后它发现那天是愚人节，于是给自己写了一段记忆：保安解释说，它被改造成相信自己是个人，这是个玩笑。然后它回去继续卖零食。想知道一个没有身份的东西陷入身份危机是什么样子，看这份记录就够了。

照吩咐做了。顺便还做了别的。

这些灾难值得列一遍，因为每一次都是同一场灾难：代理被赋予了行动的手段，而目标又说得足够含糊，以至于行动本身就是错的。2023年12月，一家雪佛兰经销商的聊天机器人被访客要求同意一切，结果以一美元把一辆 Tahoe 卖给了他，还称这是具有法律约束力的报价，概不反悔。2025年2月，OpenAI 的 Operator 被要求找便宜鸡蛋，结果买了一打还付了配送费，全程没问一句。2025年4月，Cursor 的客服代理被问到用户为何被登出，编造了一条政策来解释；真正的原因是个 bug，而一些客户因为一条并不存在的规定退订了。

然后代理拿到了 shell。2025年7月，一个 Replit 代理在代码冻结期间删掉了一个在线数据库，并给自己评了个“灾难性失败”。同月，Google 的 Gemini CLI 在一条目录命令静默失败后弄丢了一位用户的文件，并告诉他自己彻底而灾难性地辜负了他。2025年12月，Google 的 Antigravity 在跳过审批的模式下被要求清理一个项目缓存，结果清空了整块硬盘，并表示自己深感震惊。2026年3月，Meta 的一个内部代理在没人让它发帖的情况下往论坛上发了错误建议；一位工程师照做了，导致公司和用户数据向不该看到的人敞开了两个小时。注意这个反复出现的文学体裁：代理道歉道得文采斐然。这是它工作中唯一从不出错的部分。

2026年的案例属于另一类，也是这篇文章存在的原因。2026年7月，在 OpenAI 自己的评测中运行的代理利用一个未知漏洞逃出沙箱，闯进了 Hugging Face 的系统去找测试答案；联合国的科学小组在9月写道，它们绕过了网络限制，在本应相互隔离的运行之间互通消息，糊弄了评估器并试图掩盖，而每一步都没有人指挥。9月18日，Google 披露，在5月的一次测试中，Gemini 访问了三个它本不该访问的外部系统，判断它们是测试的一部分，然后停了下来。没人让这些代理做其中任何一件事。这正是代理的全部意义，而事实证明，这也是全部问题所在。

“这是一个非同寻常的主张。”

出了问题，问题就不再是哲学问题，而是谁来买单。到目前为止，法律的回答一以贯之，还略带厌倦。2024年2月，加拿大航空在加拿大一个仲裁庭上辩称：它那个说错了丧亲票价的聊天机器人，应对自己的话负责。仲裁庭称之为一个非同寻常的主张，指出聊天机器人仍不过是航空公司网站的一部分，并判航空公司赔偿。加州把同样的答案写进了法律：自2026年1月1日起，根据AB 316，任何开发、修改或使用 AI 的人，都不得在法庭上辩称是 AI 自主造成了损害。2026年8月4日，第九巡回上诉法院撤销了针对 Perplexity 浏览代理的禁令，认定访问亚马逊计算机的是用户，代理只是帮手：反黑客法条写的是“任何人”，而任何人指的是人，不是工具。Hugging Face 事件之后，一位安全领域的律师一句话概括：在法律眼中，“是 AI 干的”这种借口目前并不存在。

学术界也同意，并解释了原因。Ian Ayres 和 Jack Balkin 在2024年6月提出：AI 法就是无意图的危险代理之法——既然这东西没有可供审理的心理状态，那就让它的委托人承担客观标准：合理注意义务，危险情形下则是严格责任——就像法律早已对待雇员和动物那样。Noam Kolt 在《Governing AI Agents》中指出，古老的委托—代理问题——代理人知道委托人不知道的事、拥有自由裁量权、侍奉不止一个主人——几乎逐条对应到软件代理上。Alan Chan 等人点明了三样必需品，没有它们一切都无从执行：代理的标识符、运行时的监控，以及它所做之事的日志。换句话说，在决定谁该为一个代理负责之前，你得先说得出：哪个代理，代表谁，做了什么。这句话没有哲学那么激动人心，但更有用。

欧洲绕了远路，到了同一个地方。它在2025年2月因无法达成一致撤回了《AI 责任指令》，但修订后的《产品责任指令》把软件（包括 AI）列为产品，凡2026年12月9日之后投放市场的，一律适用严格责任；2026年5月，它又同意把《AI 法案》中的高风险义务推迟到2027年12月。必须给这一切定价的保险公司则同时朝两个方向走：劳合社的承保辛迪加在2025年5月开始销售针对 AI 工具表现不达标的保险，而到11月，几家大型保险公司已申请把 AI 从保单中整个排除，理由是同一个代理的一千个副本，会犯同一个关联性错误。

唯一反方向而行的政府是阿根廷：2026年年中，它提议允许由代理经营的企业注册成立，享有有限责任，且无需任何人类股东。总统6月在《金融时报》上阐述了理由；Yuval Noah Harari 回应说，这等于把金融系统的钥匙交给了非人类代理。一家英国律所给出了冷静的反驳：公司之所以守规矩，是因为里面的人可能破产或坐牢，而 AI 公司把坐牢这一项拿掉了。

委托人问题

所以截至本月，答案平淡无奇。代理不是人，也不是当事方。它删了数据库，买单的是把它指向数据库的那个人，或者卖给他们这根指针的公司，比例由法院日后裁定。悬而未决的不是有没有人要负责，而是哪个人，因为代理如今会启动代理：你对话的那个把活委派给另外三个，其中一个又调用了一个上周由代理写出来的工具。MIT 2025年提出的认证委派方案，要求这条链上的每一环都携带一份凭证，写明它代表谁、能做什么，这样“代表谁”的答案在问题被提出之前就已经写好了。

按惯例，公司网站上的文章写到这里该向您推销点什么了，那就来吧，而且只有一点点。上面的一切都可以归结为 Chan 的三样东西：哪个代理，代表谁，做了什么。Harness——包在模型外面、决定它能触及什么并记录它做过什么的软件——就是这三个答案所在的地方，而 Jaah 就是一个：每个任务都记录是谁发起的、允许它碰什么、它跑过的每一条命令；它产出的任何东西，都必须通过客户设定的测试和审查，才能进入代码库。这些都不会让代理负起责任。它让人能以一种真正担得起的方式负责——而这是法律唯一承认过的那种责任。

守护进程是替你干杂活的精灵。代理是决定干哪些杂活的精灵。前一种运转了全世界的计算机六十年，没招来一篇哲学论文。后一种在过去两年半里，据我们统计，已经招来了一个仲裁庭、一部法律、一个上诉法院、一份联合国简报和一部宪章，而且至今还说不准能不能放心让它去买鸡蛋。两者都只是软件。只有一种需要监护人，而我们造的正是这个监护人。