设计原则
八个论点指导 Agent NAS 的每一项取舍；七个赌注说明它押了什么、押错了会怎样。一份希望几年后仍然成立的设计，应当说明自己什么时候会错。
1. 访问的单位是运行，不是账号
现在的做法是给智能体一个长期令牌，或者一个人类账号：2026 年 4 月那次事故里的令牌，“为管理域名而建，却能做任何事”。一次运行有开始、结束、目的和责任人，是天然的授权与追责单位。
排除： 共享密钥、长期令牌和借来的人类账号。
2. 撤销比预防便宜
预防（审批、分类器、提示里的规则）一定会漏：分类器有漏报，人更差，模型也会违背写在提示里的原则。让错误可撤销（分支、软删除、快照），比让每个动作都正确容易得多，也更容易验证。附带一条：恢复路径必须在被保护对象的爆炸半径之外，所以快照由所有者持有，不在任何租约的权限之内。
排除： 把“在提示里写一句要人确认”当作控制措施。
3. 权限按任务出借，不按身份授予
一次运行拿到的是一张窄域、有期限、有预算的租约；长期钥匙只留在编排器或所有者手里，模型永远看不到。
排除： 长期、宽泛、常驻的权限。
4. 笔记是真相，智能是缓存
记忆应当是人能读能改的文件；索引、嵌入和摘要都是可丢弃、可重建的派生物。这样检索算法可以换，记忆不会丢；投毒与删除也变得可以处理。
排除： 无法检查、无法迁移的不透明记忆库。
5. 来源是贯穿一切的主线
每条记忆、每个派生物、每次合并，都能回答“它从哪来、被什么影响过”。来源既是审计的基础，也是投毒治理、信任标签和遗忘的基础。
排除： 没有来源的记忆。
6. 策略是确定性的，模型只能收紧
授权决定由代码做出，不由模型的“意见”做出。分类器或 LLM 可以建议“这一步需要审批”，但永远不能批准。
排除： 让模型自己判断某件事能否放行。
7. 存储保持无聊，创新放在契约上
不造引擎；文件优先，因为模型最熟悉的接口就是文件；协议会换，六个名词不会。
排除： 以 AI 为由发明新的存储引擎。
8. 稀缺的是 token 与人的注意力
读取要有预算；审批要少而具体，并放在人真会判断的地方：计划与合并，而不是每个动作。
排除： 默认返回整个文件；每个动作弹一次窗。
七个赌注与证伪
一份希望几年后仍然成立的设计，应当说明自己押注了什么、什么情况下会错。
| 赌注 | 依据 | 如果错了 |
|---|---|---|
| B1 智能体会继续把文件系统与 Git 当作主要的工作介质 | 多个主流运行时已经转向文件。 | 若转向专用的“记忆 API”，Agent Home 退化为导出格式；其余概念不依赖文件，仍然成立。 |
| B2 “一次运行”仍是自然的授权与追责单位 | 编排器普遍按任务或会话启动沙箱。 | 若出现长期常驻的自治进程，租约改为滚动续期加预算，概念保留。 |
| B3 提示词注入在可预见的将来不会在模型层被根除 | Meta 的表述；分类器的漏报率；多项攻击研究。 | 若被根除，Trust Labels 变成纵深防御里的一层，成本很低。 |
| B4 人的注意力仍是稀缺资源 | Anthropic 披露的数据。 | 若全自动足够可靠，Human Gate 由策略预授权取代，审计仍然保留。 |
| B5 存储层是执行来源与污点的合适位置 | 记忆安全研究强调写入时的来源；OpenClaw 在运行时内部做过同样的事。 | 若各运行时都自己做好，NAS 只需保存标签，角色变薄。 |
| B6 跨运行时、跨智能体共享的记忆会成为真实需求 | 多智能体协作；框架迁移的成本。 | 若记忆继续是各框架的私有功能，Agent Memory 的价值主要在个人与小团队的可迁移性。 |
| B7 协议会换，但“文件加工具”两个口会稳定 | MCP 的版本迁移；A2A 1.0。 | 换适配器即可；这也是适配器隔离的原因。 |
预期保持稳定的，与预期会变的
| 预期保持稳定 | 预期会变化 |
|---|---|
| 六个名词 | 具体的协议与传输 |
| Home 的目录约定 | 嵌入模型与检索算法 |
| 四个承诺 | 令牌格式 |
| “导出即退出”的保证 | 智能体框架与人机交互界面 |
引用本页
为读者、搜索引擎和智能体提供稳定的网址与建议的引用格式。
- Markdown 版本
- https://agentnas.com/zh-cn/principles/index.md
- 建议引用格式
- Agent NAS project. “设计原则.” agentnas.com, 2026-11-11. https://agentnas.com/zh-cn/principles/