环境快照、监督指标、浏览器开关：Agent 的边界正从提示词搬进平台设施

2026 年 9 月 17 日到 9 月 22 日，Agent 领域的三条更新分别落在理解地图的三块上（上一期止于 9 月 18 日，两条 9 月 17 日的更新此前没有写到）。AWS 重做了 Bedrock AgentCore 的运行时，把会话内存和启动时间变成可回收、可恢复的量，落在 ⑤环境与状态；Anthropic Institute 公布一套 Agent 度量方法，用覆盖率、复核时延、升级率三个数管住内部三万个并发 Agent，落在 ⑦评测与指标；WebKit 随 Safari 27.0 发布浏览器内置的 MCP server，把浏览器自动化收进一个默认关闭的本地服务，落在 ④工具与协议。

三条的落点不同，指向的东西相同：约束都写进了平台设施——运行时的快照与会话身份、Agent 的身份与消息记录、浏览器上一个需要手动打开的开关。边界从提示词搬进了设施。

（对应地图 ⑤环境与状态，兼及 ③Harness / 运行时）

发生了什么： 2026 年 9 月 18 日，AWS 发布新一代 Amazon Bedrock AgentCore 运行时，用户在创建或更新 runtime 时把 platformVersion 设为 V2 即可启用。这一版重做了两件事：会话内存改为按需换入、冷下来就回收，不再从分配那一刻按住峰值；新实例改为恢复「环境快照」，而不再每次重新启动容器。AWS 给出的测试口径是：用一个只回显输入、不调用模型和工具的 echo agent，在 us-west-2 的 EC2 上用 boto3 跨区调用 us-east-1 的 Agent（不建 VPC peering），每个 Agent、每种镜像大小各打 5,000 次冷调用，覆盖新旧两版运行时和五种镜像大小。结果是新运行时的 P75 冷启动约 2 秒，从 200MB 到 2GB 镜像都一样；旧运行时则从大约 5.4 秒升到接近 30 秒。同一批测试里，Agent 自己的代码 P75 只跑了约 34 毫秒，时间几乎全花在平台启动上。计费按实际用到的内存算，单价更高，GB-hours 大幅减少。1

机制是什么： 冷启动是「环境还没准备好」的那段时间，它随镜像大小和并发一起增长，最容易在突发流量里暴露，而此时恰恰是空闲环境最少的时候。AWS 的做法是把一次性初始化——加载模型产物、拉静态配置——在实例创建时做掉并做成快照，之后每个实例恢复快照；快照本身做了裁剪，不随镜像变大而变大，启动时间于是和镜像大小脱钩。内存同理：过去一个会话从分配那一刻按住峰值到结束，长跑或突发的 Agent 一直在为峰值付费；现在内存可以换出、冷后回收，账单跟着使用走。AWS 还给了一条实用建议：交互式会话可以在用户打开聊天框时就先建起来，等他把第一句话打完，环境已经热好。文章末尾列了四项「接下来要上」的能力，两项直接关系状态：用内存快照挂起与恢复会话，并挂到运行时钩子上，在活跃会话结束前把状态序列化，让会话可以无限期续上；以及给无人值守 Agent 的会话级作用域身份，让每个会话按自己的权限行动。同一周的 Google 走了另一条路：Gemini 托管 Agent 把凭据存在沙箱之外、按 ID 引用，由出网代理在请求时注入，读写两条路径都不把密钥带进沙箱。2

面试可说句： > 长周期 Agent 的状态不只是上下文，还包括运行环境本身的状态：内存占用、可恢复的快照、会话身份。判断一个托管运行时是否真为长跑 Agent 设计，看它有没有把「环境恢复」和「状态序列化」做成一等能力，而不是让每个团队自己去预热容器、自己扛内存峰值。

（对应地图 ⑦评测与指标，兼及 ②模型层）

发生了什么： 2026 年 9 月 17 日，Anthropic Institute 发布一篇度量说明，把「AI 研发被自动化到什么程度」「Agent 的行为能不能被监督」「算力花在哪」拆成三组可上报的指标，并给出自己内部的读数。第一组借 Epoch AI 的自动化等级 AL0–AL5：AL3 是「AI 协作」，AL4 是「AI 主导」，即给一句高层提示就能端到端完成大部分任务、人只做监督。截至 2026 年 8 月，Claude 没有任何一个被测子类做到完全自主，「AI 主导」占 26%，2 月时这个数字还不到 1%；「AI 协作」及以上超过 90%。做法是 7 月每周抽 20% 员工的工作记录，抽出约 1.5 万条细分任务，整理成 542 个节点的任务树（其中 378 个叶子），再由一个 Claude 评审 Agent 逐个节点打级；评审模型与人的完全一致率 59%，而人与人的一致率是 35%，两者相差不超过一级的比例为 97%。第二组：最常用的内部平台上同时约有 3 万个 Agent 在做研究与工程任务，所有动作在执行前过一遍在线监控（通常在数秒内），被拦下的动作由人在一周内复核；2026 年 8 月分析了 10 亿次以上决策，其中 0.002%（约每 47,000 次一次）被拦截。离线监控在事后读全部动作，每周标记约 10 万条会话记录交给分类器复核，优先级最高的大约每周 50 条升级到人工。Anthropic 把这三个数总结成覆盖率、复核时延、升级率，并请其他实验室照着报。第三组：7 月 13 日到 20 日那一周，AI 研发算力里约 6% 用于安全，AI 驱动的 AI 研发算力里约 12% 用于安全。3

机制是什么： 三万并发 Agent 的规模下，单个 Agent 的异常很罕见，十亿次决策里稀有事件却会定期出现，于是监督的工程问题从「模型会不会做坏事」变成「事后能不能说清每个动作是谁做的、被谁在什么时候看过」。这篇文章的附录写了两个支撑它的设计选择。身份：每个 Agent 有独立身份，身份不绑模型，模型升级后记录仍然连续，每条数据都能追到具体 Agent。通信：Agent 之间走共享的公开消息系统，每条消息带作者身份并可回链原文，Agent 因此把别人的产出当成待核对的声明，行为监控也能顺着 Agent 之间的通信走。少了这两条，覆盖率、复核时延、升级率都统计不出来。

面试可说句： > 多 Agent 系统先定的不是模型，而是身份与通信：每个 Agent 有没有独立且不随模型更换而中断的身份，它们之间的话是不是可审计的记录。指标上看覆盖率、复核时延、升级率，比看单任务成功率更能说明系统在生产里是否可控——越界是稀有事件，只有按十亿次量级统计才看得见。

（对应地图 ④工具与协议，兼及 ⑥权限、安全与熔断）

发生了什么： 2026 年 9 月 17 日发布的 Safari 27.0 功能说明里，WebKit 宣布 Safari MCP server 随正式版提供，入口是 /usr/bin/safaridriver --mcp，任何兼容 MCP 的客户端都能接，WebKit 给了 Claude Code 和 Codex 各一条接入命令。这个本地服务向 Agent 暴露 17 个工具：读控制台消息、列出并读取网络请求（含头、body、时序）、在页面里执行 JavaScript、提取页面文本、列举与切换标签页、按顺序做点击输入滚动等 DOM 交互、截图、设置视口与模拟媒体类型。45 它完全跑在本机、自身不发网络请求、拿不到 Safari 里的个人信息（例如自动填充），抓到的页面内容、截图与控制台日志直接交给你在跑的 Agent，不经过 Apple；开启要走两步手动操作，先在「设置 > 高级」勾选「显示网页开发者功能」，再到「设置 > 开发者」勾选「允许远程自动化与外部 Agent」。企业侧的缺口也有报道点出：macOS Golden Gate 27 的企业版发布说明里没有能单独关闭这个 MCP server 的 MDM 配置项，IT 手上的手段只剩浏览器一级或更粗的粒度。6

机制是什么： MCP 过去主要活在编辑器、IDE 和自建服务里，Safari 把它搬进了平台本身：团队不再需要自己写浏览器集成，一个本地 stdio 服务就把 DOM、网络、截图、控制台四类证据交给 Agent。默认关闭、两步开启、独立的自动化窗口、本地无外连，这四件事合起来是目前平台给出的最小授权组合，Agent 拿到的是「页面怎么渲染」的证据，浏览器里的 cookie、密码和浏览历史留在原处。最小授权和可集中管控是两件事：少一个 MDM 开关，企业就无法用设备管理把这条通路关掉，策略落回到每个开发者手上那个勾选框。对照上一期的 MCPA 考纲，协议一侧已经把一半权重放到交互执行与安全治理，平台一侧的动作是把它做成默认关、需要人开启的能力，要把这条通路纳入统一管理面，还差一个配置项。

面试可说句： > 判断一个平台是否认真支持 Agent，看它给的是不是一条受控通路：Safari 的 MCP server 默认关闭、两步开启、只在本机跑，把浏览器证据交给 Agent 而不交给 Apple。缺一个企业可集中关闭的配置项说明，平台支持 Agent 的下一步是把它纳入统一管理面，给出一个开发者开关还只是半步。

跨期口令再加两步：目标写清 → 工具接对 → 环境真隔离 → 权限默认最小 → 随时能停 → 环境可恢复、状态可序列化 → 监督看三个率（覆盖率、复核时延、升级率）。