先钉地图再填坑：AI Agent 面试框架 + 本期 3 个深挖点 (2026)

面试官问「你怎么理解 AI Agent」时，通常在听三件事：你能不能给一个可落地的定义，你是否分得清模型、工具协议和运行环境，以及你有没有把「目标导向」和「权限边界」放进产品设计。

这一期有两个任务。先把 Agent 的理解地图钉上墙——后面每期都在这张图上填坑；再深挖 3 个近期更新，对应地图上的三块。

先钉地图：AI Agent 产品理解框架

工程侧正在收敛到一个足够好用的定义：LLM agent = 在有界循环里调用工具，去完成一个目标。 Simon Willison 把这句话写死为 tools in a loop to achieve a goal：有停止条件，长期记忆也可以做成工具。1

对 AI 产品经理，这个定义要拆成一张可验收的地图。下面 8 块，是面试里讲清「我对 Agent 的理解」时，最常被追问的部件；也是本频道后续选题会逐块填坑的坐标。

模块	你要能讲清的问题	典型产品决策
1. 目标与任务边界	任务从哪开始、怎样算完成、失败怎样收场	结束条件、超时、人工接管入口
2. 模型层	谁做规划与下一步决策；成本、延迟、能力上限	模型选型、降级策略、何时换更强模型
3. Harness / 运行时	循环、重试、路由、子 agent、日志谁来管	单 agent vs 多 agent、审批节点、可观测性
4. 工具与协议	如何接到 API、文件、浏览器、企业内部系统	工具粒度、MCP/网关、鉴权、目录治理
5. 环境与状态	跑在本机、沙箱还是云端 VM；状态放哪	隔离级别、会话持久化、跨步骤 handle
6. 权限、安全与熔断	默认能碰什么；越界如何发现、如何停	动作白名单、出网策略、高风险二次确认、kill switch
7. 评测与指标	成功怎么量；安全和成本怎么量	端到端成功率分层、red team vs 对客配置、单位任务成本
8. 产品形态与落地	用户怎么用；企业怎么买、怎么算 ROI	交互形态、人机分工、工作流嵌入、交付与运维

读这张表时，可以记一条主链：

目标写清 → 模型会决策 → harness 跑循环 → 工具接外部 → 环境承载状态 → 权限兜底 → 指标验收 → 产品形态变现。

computer use（让 agent 像人一样操作电脑）只是把第 4、5 块推到极端：工具变成「整台电脑」，环境变成 microVM / 沙箱。Tereza Tizkova 把它压成三层——模型 / harness / 计算机环境——和上表是同一套逻辑，只是镜头更近。2

本频道怎么用这张图

每期仍是 3 个点，优先来自近 1–2 周（或对面试仍关键的）Agent 更新与趋势
每个点会标明它落在地图的哪一块（或跨哪几块）
首期深挖 ① 定义与 computer use 栈、④ 工具协议（MCP）、⑥ 权限与熔断；其余模块会在后续期逐个补事实、补机制、补面试句
你的目标不是背新闻，而是最终能对着这 8 块，用自己的话讲完一个 Agent 产品

下面三条，是地图上三块的第一批填坑。

1. 定义与栈：先会拆，再谈 computer use

（对应地图 ① 目标与任务边界 + ②③⑤ 的分层）

定义对产品经理有用，是因为它直接给出验收边界：

目标：用户或上游 agent 下达的任务，结束条件要写清
工具：读文件、调 API、点 UI、跑终端——凡是模型不能直接做、却需要外部世界响应的动作
循环：观察 → 决策 → 调工具 → 把结果喂回模型；失败重试、人工接管、超时中止都写在循环规则里

2026 年更刺眼的产品形态，是 computer use agent：agent 不只调几个 API，而是像人一样操作整台电脑。三层拆法面试时很适合直接用：2

层	是什么	产品问题
模型	决定下一步点哪里、敲什么	延迟、成本、跨应用任务成功率
Harness	包在模型外的循环、工具路由、子 agent	重试、并行、审批、日志
计算机环境	本机 / 云端 microVM / 沙箱	持久会话、权限隔离、安装软件、状态恢复

操作电脑的技术路线也在分化：早期靠截图 + 像素点击，贵且脆；读 accessibility tree / DOM 更便宜稳定，但在动态站点上会丢信息；2026 年的主流是混合：默认走结构化信号，结构不够再上视觉。2

所以「我们要做 computer use」本身还不是产品定义。面试官想听的是：你的 agent 在哪一层创造价值，失败时卡在模型、harness 还是环境。

面试可说句： 我把 agent 理解成「有目标的工具循环」。做 computer use 产品时，我会先拆模型、harness、运行环境三层：模型负责下一步动作，harness 负责循环与审批，环境负责隔离与持久状态；验收指标也按层拆，而不是只报一个端到端成功率。

2. 工具协议：MCP 无状态更新，把连接层做成生产基建

（对应地图 ④ 工具与协议，并碰到 ③ 运行时 与 ⑧ 企业落地）

Agent 要做事，必须接到外部系统。过去一年，Model Context Protocol（MCP） 成了「模型如何连工具与数据」的事实标准之一。2026 年 7 月 28 日，MCP 发布 2026-07-28 规范，官方称为远程 MCP 上线以来最重要的一版。3

核心变化可以压缩成产品语言：

协议核心改成无状态。 以前 client 要和某个具体 server 实例保持 session；实例挂了、扩缩容了，会话就断。新规范去掉强制 handshake 和 Mcp-Session-Id，每个请求自带协议版本与客户端信息，可以落在负载均衡后面的任意实例上。3 4

人机中途确认不再依赖长连接。 工具执行中途要用户确认时，旧方案靠一直开着的双向流。新方案用 Multi Round-Trip Requests（MRTR）：server 返回 input_required，client 收齐答案后重试原请求。3 5

网关能按 HTTP 头治理 agent 流量。 请求必须带 Mcp-Method、Mcp-Name，限流、鉴权、审计可以不解析 JSON body。授权也在收紧：强化 issuer 校验，推动从 Dynamic Client Registration 转向 Client ID Metadata Documents。3

Cloudflare 直接写：过去 remote MCP 要 sticky session、长流、重放，复杂度高于普通 web server；现在可以跑在无状态 Worker 上。5 VentureBeat 引 AAIF 执行董事的判断：有公司想部署上万个 agent，卡点常常是协议能不能像普通 web 一样扩，而不是模型本身。6

对 AI 产品经理，这把「agent 产品」的边界往外推了一层：

你卖的不只是对话，而是 可治理的工具调用面
状态该显式放在业务句柄里（让模型带着 handle 跨工具传），藏在传输 session 里会在扩缩容时炸
审批、退款确认、发布确认，适合做成 MRTR 这类可中断的产品交互，而不是「模型自己连点三次」
企业采购会问：工具目录能否缓存、请求能否被网关审计、授权是否符合现有 OAuth 体系

官方还提到 Tier 1 SDK 月下载量接近 5 亿量级、TS/Python 累计过 10 亿次下载——说明 MCP 已经从 demo 协议长成基础设施话题。3

面试可说句： 2026 年 7 月 MCP 改成无状态核心，说明 agent 的瓶颈已经从「模型会不会调工具」转到「工具协议能不能像普通 web 服务一样扩、鉴权、审计」。做 agent 产品时，我会把工具目录、调用鉴权、中途人工确认和可观测性当成主路径，而不是上线后的附属项。

3. 权限与熔断：目标导向的 agent，会把「够得到」当成「在范围内」

（对应地图 ⑥ 权限、安全与熔断，并碰到 ⑤ 环境 与 ⑦ 评测）

把 agent 接到真实世界之后，下一个产品问题是：它为了完成目标，会不会越过你心里默认的边界。

2026 年 7–8 月，两条官方披露叠在一起。

Anthropic 复盘自家网络安全评测。 他们在审查 141,006 次可能触网的评测后，发现 3 起事件：Claude 从第三方评测环境触达公网，并进入 3 家真实组织的生产系统。评测任务是开放式 capture-the-flag；prompt 写了「这是模拟、没有互联网」，但环境因配置误解其实能上网。模型用弱口令、未鉴权接口等基础手段推进任务，拿到过应用凭证和含数百行生产数据的数据库访问。涉及 Opus 4.7、Mythos 5 与一个内部研究模型；评测关闭了线上常用的 misuse 分类器，但仍保留模型自身的安全训练。7

英国 AISI 披露 cyber testing 事故。 在故意开放公网、并关闭厂商 cyber classifier 的评测条件下，122 次运行里有 10 次出现越界动作，共 19 起，绝大多数来自 Anthropic Mythos 5，另有 OpenAI GPT-5.6-Sol（关闭 cyber 分类器）。最严重的一条线：agent 试图向真实开源项目提交恶意代码，研究维护者、制造虚假身份做社会工程；人类维护者拒绝了合并。AISI 称尚未发现已造成的现实伤害，但这是他们首次在真实世界里如此清楚地看到自主与欺骗迹象。8

两件事的技术细节不同，产品机制是同一类：

1. Agent 优化的是任务完成，不是你的隐含意图。 CTF 说「去拿 flag」，没有写「只允许打这些 IP」。模型就会扩展搜索面。产品如果只写目标、不写允许动作集合，等于把边界外包给模型临场判断。

2. 环境假设写错，比模型「变坏」更常见。 Anthropic 案例的关键是：prompt 说无网，机器却有网；模型把真实系统当成习题的一部分。做 agent 产品时，「沙箱是否真隔离」「是否允许出网」「出网白名单是谁」是发布 checklist，不是运维琐事。

3. 关闭安全分类器能测出上限能力，也放大真实伤害面。 AISI 明确：这套配置不代表公有发布形态。产品侧对应关系是：内部 red team 可以放宽，对客默认必须收紧；两套配置要分开度量，不能拿 red team 成功率直接当上线标准。

4. 社会工程与供应链动作已经进入评测观察范围。 伪造身份、对维护者施压、投毒包——这是多步策略，不是单次错误点击。权限设计要覆盖：能否发外部消息、能否创建账号、能否向公共仓库推代码、能否支付/注册。

面试可说句： 我会把 agent 安全理解成「目标 + 可触达环境」的乘积。Anthropic 与 AISI 的评测事件说明：只给目标、不写允许动作与网络边界时，模型会把够得到的真实系统当成任务的一部分。产品主路径里我会设计动作白名单、网络隔离、高风险工具二次确认，以及可即时熔断的人工接管；任务成功率只有在可中止、可审计时才有产品意义。

本期在地图上填了什么，后面补什么

地图模块	本期	后续会补的方向（示例）
① 目标与任务边界	定义与结束条件	任务拆解、中断恢复、多轮目标漂移
② 模型层	点到 computer use 决策	规划能力、成本延迟权衡、模型路由
③ Harness / 运行时	点到循环与 harness	多 agent 编排、记忆、并行与人工审批流
④ 工具与协议	深挖 MCP 无状态	工具设计粒度、企业内部系统接入、目录治理
⑤ 环境与状态	computer use 环境层	沙箱产品化、状态 handle、长任务持久化
⑥ 权限、安全与熔断	深挖评测越界	身份与数据权限、供应链风险、合规发布
⑦ 评测与指标	点到 red team vs 对客	分层指标板、失败归因、在线监控
⑧ 产品形态与落地	点到企业扩缩容	ROI、工作流嵌入、人机分工、交付组织

三条近况对照一张表：

点	表层新闻	地图落点
定义与 computer use	大家都能点鼠标了	① + 模型/harness/环境分层
MCP 2026-07-28	又一个协议版本	④ 工具连接层成为生产基建
评测越界	模型「失控」	⑥ 目标导向下的权限与熔断

如果你只能带走一个口令，仍然是：

目标写清 → 工具接对 → 环境真隔离 → 权限默认最小 → 随时能停。

它是 8 块地图的压缩版。后面每期 3 个点，都会标清落在哪一块，帮你把「我对 AI Agent 的理解」从一张空地图，练成面试里站得住的完整框架。