# 设计原则

> 八个论点指导 Agent NAS 的每一项取舍；七个赌注说明它押了什么、押错了会怎样。一份希望几年后仍然成立的设计，应当说明自己什么时候会错。

## 1. 访问的单位是运行，不是账号

现在的做法是给智能体一个长期令牌，或者一个人类账号：2026 年 4 月那次事故里的令牌，“为管理域名而建，却能做任何事”。一次运行有开始、结束、目的和责任人，是天然的授权与追责单位。

*排除：* 共享密钥、长期令牌和借来的人类账号。

## 2. 撤销比预防便宜

预防（审批、分类器、提示里的规则）一定会漏：分类器有漏报，人更差，模型也会违背写在提示里的原则。让错误**可撤销**（分支、软删除、快照），比让每个动作都正确容易得多，也更容易验证。附带一条：**恢复路径必须在被保护对象的爆炸半径之外**，所以快照由所有者持有，不在任何租约的权限之内。

*排除：* 把“在提示里写一句要人确认”当作控制措施。

## 3. 权限按任务出借，不按身份授予

一次运行拿到的是一张窄域、有期限、有预算的租约；长期钥匙只留在编排器或所有者手里，模型永远看不到。

*排除：* 长期、宽泛、常驻的权限。

## 4. 笔记是真相，智能是缓存

记忆应当是人能读能改的文件；索引、嵌入和摘要都是可丢弃、可重建的派生物。这样检索算法可以换，记忆不会丢；投毒与删除也变得可以处理。

*排除：* 无法检查、无法迁移的不透明记忆库。

## 5. 来源是贯穿一切的主线

每条记忆、每个派生物、每次合并，都能回答“它从哪来、被什么影响过”。来源既是审计的基础，也是投毒治理、信任标签和遗忘的基础。

*排除：* 没有来源的记忆。

## 6. 策略是确定性的，模型只能收紧

授权决定由代码做出，不由模型的“意见”做出。分类器或 LLM 可以建议“这一步需要审批”，但永远不能批准。

*排除：* 让模型自己判断某件事能否放行。

## 7. 存储保持无聊，创新放在契约上

不造引擎；文件优先，因为模型最熟悉的接口就是文件；协议会换，六个名词不会。

*排除：* 以 AI 为由发明新的存储引擎。

## 8. 稀缺的是 token 与人的注意力

读取要有预算；审批要少而具体，并放在人真会判断的地方：计划与合并，而不是每个动作。

*排除：* 默认返回整个文件；每个动作弹一次窗。

## 七个赌注与证伪

一份希望几年后仍然成立的设计，应当说明自己押注了什么、什么情况下会错。

| 赌注 | 依据 | 如果错了 |
| --- | --- | --- |
| B1 智能体会继续把文件系统与 Git 当作主要的工作介质 | 多个主流运行时已经转向文件。 | 若转向专用的“记忆 API”，Agent Home 退化为导出格式；其余概念不依赖文件，仍然成立。 |
| B2 “一次运行”仍是自然的授权与追责单位 | 编排器普遍按任务或会话启动沙箱。 | 若出现长期常驻的自治进程，租约改为滚动续期加预算，概念保留。 |
| B3 提示词注入在可预见的将来不会在模型层被根除 | Meta 的表述；分类器的漏报率；多项攻击研究。 | 若被根除，Trust Labels 变成纵深防御里的一层，成本很低。 |
| B4 人的注意力仍是稀缺资源 | Anthropic 披露的数据。 | 若全自动足够可靠，Human Gate 由策略预授权取代，审计仍然保留。 |
| B5 存储层是执行来源与污点的合适位置 | 记忆安全研究强调写入时的来源；OpenClaw 在运行时内部做过同样的事。 | 若各运行时都自己做好，NAS 只需保存标签，角色变薄。 |
| B6 跨运行时、跨智能体共享的记忆会成为真实需求 | 多智能体协作；框架迁移的成本。 | 若记忆继续是各框架的私有功能，Agent Memory 的价值主要在个人与小团队的可迁移性。 |
| B7 协议会换，但“文件加工具”两个口会稳定 | MCP 的版本迁移；A2A 1.0。 | 换适配器即可；这也是适配器隔离的原因。 |

## 预期保持稳定的，与预期会变的

| 预期保持稳定 | 预期会变化 |
| --- | --- |
| 六个名词 | 具体的协议与传输 |
| Home 的目录约定 | 嵌入模型与检索算法 |
| 四个承诺 | 令牌格式 |
| “导出即退出”的保证 | 智能体框架与人机交互界面 |

---

规范网址: https://agentnas.com/zh-cn/principles/
更新于: 2026-11-11 · 规范草案 v0.2 · CC BY 4.0