长任务Agent设计规范，让工作流真实落地

一、概述：三件事 × 三次交互

1.1 为什么是这三件事

处理一个复杂任务，系统必须完成三件性质截然不同的事——理解拆解、分配执行、监控验证——缺一不可，且顺序无法颠倒。

这不是方法论的选择，而是信息论上的必然：

• 理解拆解发生在信息不完整阶段，目标是将模糊的用户意图转化为有向无环图（DAG）；如果跳过这一步直接执行，子任务边界不清，后续任何修复代价都会放大。
• 分配执行是调度问题，核心是用最少的 agent 数量覆盖所有能力需求，同时最大化并行度；这个阶段的质量取决于拆解的精度。
• 监控验证必须贯穿执行过程，而非等到最终输出才介入；一个错误在链路末端发现，修复成本是在源头发现的 n 倍。

1.2 三次交互的边界

用户不关心系统内部的调度细节，但他们需要在两个关键时刻介入：一是确认系统理解了自己的意图（交互1），二是确认 agent 的分工是否合理（交互2）。其余时间，用户等待最终交付。

交互1：用户输入问题 → 系统输出工作流 + agent 清单
交互2：用户审核方案 → 调整/确认 agent 边界与编排逻辑
交互3：系统装填蒙版 → 执行 → 交付工作成果

交互2 的设计意图：
交互2 是用户修改系统理解的最后窗口。一旦确认，执行阶段的方向修正成本极高。这一次交互展示的是 agent 清单（每个 agent 的职责边界、蒙版摘要、输入/输出规格），而非代码或底层实现细节。用户需要能看懂并能给出有效反馈。

交互3 内部的回溯闭环：
执行中发现的阻碍，优先在交互3 内部通过重规划解决，而非直接退回交互2。判断是否需要退回的唯一条件：问题根因是 D类（拆解错误）且回溯深度已达硬上限，此时原有 DAG 不可修复，必须由用户重新确认任务边界。

二、理解与拆解：DAG 构建

2.1 意图解析

用户输入通常是自然语言，存在歧义、隐含前提和遗漏条件。意图解析阶段的目标是将其转化为无歧义的任务描述。

意图解析的输出包括：

• 核心目标：用户最终想要什么（一句话描述）
• 约束条件：格式、时限、质量标准、禁止事项
• 隐含前提：用户以为显而易见但未明确说出的假设
• 歧义点列表：系统无法单方面消解的歧义，在交互1 中显式呈现

示例：

用户输入："帮我写一份竞品分析报告"

意图解析结果：

核心目标：输出一份结构化竞品分析文档
约束条件：（未指定）
隐含前提：对象是用户所在行业的竞品（待确认）
歧义点：
  - 竞品范围（国内/国际？几家？）
  - 分析维度（功能/价格/市场份额/用户口碑？）
  - 输出形式（Markdown/PPT/Word？）

交互1 中，系统将工作流草案和这些歧义点一并呈现给用户，请其在交互2 中确认。

2.2 子任务 DAG

DAG（有向无环图）是任务拆解的标准形式。每个节点是一个子任务，边表示依赖关系（上游输出是下游输入）。

DAG 构建规则：

1. 最小粒度原则：每个节点只做一件事，输入输出类型明确
2. 依赖显式化：所有依赖必须写入边，禁止隐式依赖（"你懂我意思就行"是错误来源）
3. 可并行识别：没有依赖关系的节点可以并行，DAG 构建时应主动识别并标记
4. 边界节点声明：第一个节点（入度为0）和最后一个节点（出度为0）必须显式标注

常见拆解错误（D类阻碍的前身）：

三、蒙版激活梯度

3.1 核心思想：为什么不是开关

直觉上，给 agent 设置能力范围的最简单方式是"开关"：允许使用的知识域写进白名单，其余拒绝。这个思路在软件系统中是合理的，但在 LLM agent 里行不通。

根本原因：LLM 的知识是连续分布的，不是模块化的。

一个在训练时见过大量数学文献的模型，无法在推理时"不想数学"——它的数学知识以分布式权重的形式存在于整个网络，没有一个可以断开的开关。强行用 prompt 说"你不懂数学"，模型可能会声称不懂，但在生成内容时仍会受到数学知识的影响。

因此，蒙版的设计目标不是禁止，而是：

1. 控制激活梯度：调节各知识域在生成中的权重
2. 强制声明泄漏：当非主激活域知识被调用时，必须留下记录

这两点合在一起，才能实现可追溯、可审计的知识边界管理。

3.2 形式化定义

设总知识空间 K = {k₁, k₂, ..., kₙ}，对每个 agent Aⱼ 和每个知识域 kᵢ，定义蒙版激活值：

m(Aⱼ, kᵢ) ∈ [-1, 1]

  m =  1       → 主激活域（核心能力区，自由调用）
  m =  0       → 静默域（不主动激活，泄漏风险存在）
  m = -1       → 抑制域（显式反激活，注入抑制 prompt）
  m ∈ (0, 1)  → 背景域（半激活，可被动触发但需声明）
  m ∈ (-1, 0) → 弱抑制域（不鼓励，不绝对禁止）

三个激活域按阈值划分：

主激活域  M_main   = { kᵢ | m(Aⱼ, kᵢ) > θ_main }
背景域    M_bg     = { kᵢ | θ_bg < m(Aⱼ, kᵢ) ≤ θ_main }
静默域    M_silent = { kᵢ | m(Aⱼ, kᵢ) ≤ θ_bg }

默认阈值：θ_main = 0.7, θ_bg = 0.3

阈值设置的考量：

• θ_main = 0.7：留出 0.3 的缓冲带，防止主激活域过于狭窄导致任务完成率下降
• θ_bg = 0.3：低于此值的知识域，即使被激活，也应被视为噪声，需要强制阻断
• 两个阈值可以按任务类型调整，但调整必须在装填阶段完成，执行中不可动态修改

3.3 泄漏声明规则

当 agent Aⱼ 在推理中使用了 kᵢ 且 kᵢ ∉ M_main(Aⱼ)，必须按以下规则处理：

规则1：kᵢ ∈ M_bg → 允许使用，但必须在输出中标记：
  [蒙版泄漏 | agent=Aⱼ | 域=kᵢ | 强度=m(Aⱼ,kᵢ)]

规则2：kᵢ ∈ M_silent → 先判断：
  a. 该知识对当前任务必要 → 不能抑制，回溯到分配层调整蒙版
  b. 该知识是模型自发激活 → 抑制 prompt 触发，阻断本轮推理

为什么规则1 允许但要求标记，而不是直接拒绝？

背景域知识（M_bg）的存在本身是合理的：agent 的核心能力往往需要周边知识作为支撑，完全切断会导致生成质量下降。标记泄漏的目的是让验证层知道"这段输出用了非主激活域知识"，进而在置信度判断时给出适当折扣，而非直接判定为错误。

泄漏标记格式示例：

...根据该公司2023年财报（[蒙版泄漏 | agent=A3 | 域=财务分析 | 强度=0.45]），
其营收增速为18%，与行业均值持平...

3.4 双路径生成

路径1（主路径）：M_main 内封闭生成
路径2（泄漏路径）：M_main + M_bg 开放生成，标记所有泄漏

输出优先取路径1。当路径1无法完成时，启动路径2并附带泄漏报告。

路径切换判断逻辑：

• 路径1 失败的判定条件：生成中止（无法产出结构完整的输出）或生成输出与任务要求的核心维度完全不匹配
• 路径2 的泄漏报告须包含：泄漏域列表、各域激活强度、泄漏总量（用以评估置信度折扣力度）
• 路径2 的输出自动进入 L2 标准验证，不可直接绿灯放行

四、置信度判断机制（物质还原验证）

4.1 定位：生成层与验证层的分工

蒙版梯度管生成层——控制 agent 在生成内容时的知识域激活范围。

置信度判断管验证层——在内容生成完毕后，审查输出的事实可靠性。

两个机制各司其职，但相互触发：蒙版泄漏会提高验证层的审查强度，验证层发现的问题可能反过来要求调整蒙版（见第五章交叉链路）。

4.2 为什么不用交叉一致性

传统多 agent 验证的主流方案是"交叉一致性"：让多个 agent 独立完成同一任务，对比输出的一致性程度，一致性高则视为可信。

这个方案有一个根本缺陷：它是形式验证，不是实质验证。

三个模型可以同时犯同一个错误——例如，它们都读到了一篇被广泛引用但本身存在事实错误的文献，交叉比对结果高度一致，但结论是错的。

本规范采用实质验证：将结论下沉到事实层，逐一追查论据的物质基础。核心问题不是"别人也这么说吗"，而是"这件事在现实世界里存在吗"。

4.3 四步验证流程

输入：子 agent Aⱼ 的输出结论 C

Step 1 — 论点-论据拆解
  C → { (p₁, E₁), (p₂, E₂), ..., (pₙ, Eₙ) }
  每个 pᵢ 是一个论点，Eᵢ = {eᵢ₁, eᵢ₂, ...} 是支撑 pᵢ 的论据集合

Step 2 — 论据分层
  对每个 e ∈ Eᵢ：
    ├─ 可验证事实 → 进入物质还原
    ├─ 推理推导   → 递归拆解其依赖的事实基础
    └─ 经验判断   → 标记为 soft-claim，置信度权重折扣

Step 3 — 物质还原
  对每个可验证事实 e：
    ├─ 事实存在且准确  → verified
    ├─ 事实存在但偏差  → 标记偏差度 δ(e)
    ├─ 事实不存在      → falsified → 触发不合格
    └─ 事实无法验证    → uncertain → 标记置信度折扣

Step 4 — 判定
  ├─ 存在任意 falsified  → 不合格
  ├─ 仅 uncertain + verified → 合格（置信度折扣）
  └─ 全 verified → 合格（全置信度）

Step 2 中"推理推导"的递归处理：

推理推导本身不是事实，但其有效性取决于前提事实是否成立。因此递归拆解到最终的叶节点，叶节点必须是可验证事实或 soft-claim，不存在纯逻辑的无穷推导链。

偏差度 δ(e) 的说明：

偏差度是 0 到 1 的连续值，0 表示与事实完全一致，1 表示与事实完全相反。偏差度不直接触发不合格，但会计入论点 pᵢ 的置信度权重，并在最终判定中影响总置信度分数。

4.4 分层触发（成本控制）

全量物质还原成本高，按三级触发：

L1 — 轻量验证（默认对所有输出执行）
  ├─ 结构化字段完整性检查（必填字段是否齐全）
  ├─ 输出格式合规检查（是否符合约定的输出 schema）
  └─ 表面矛盾检测（同一输出内部是否存在自相矛盾）
  │
  ├─ 通过 → 绿灯放行，不进入 L2
  └─ 不通过 → 触发 L2

L2 — 标准验证（L1 不通过时触发）
  ├─ 论点-论据拆解（Step 1-2）
  ├─ 物质还原关键论据（抽样 30-50%，优先抽取支撑核心论点的论据）
  │
  ├─ 通过 → 合格（置信度折扣标注）
  └─ 不通过 → 触发 L3

L3 — 深度验证（L2 发现 falsified 时触发）
  ├─ 全量论据物质还原
  ├─ 监督 agent 介入
  ├─ 上游 + 下游独立 agent 介入
  └─ 结果：合格 / 不合格 → 重做

L2 抽样策略说明：

不是随机抽样，而是优先级抽样：

1. 支撑核心论点（权重最高的 pᵢ）的论据优先还原
2. 来自泄漏路径（路径2）的论据优先还原
3. 包含强确定性断言（"一定"、"必然"、"从未"）的论据优先还原

4.5 三级介入机制

一旦判定不合格（任意 falsified），启动三级介入：

监督 agent（过程视角）
  ├─ 复盘 Aⱼ 的执行日志（每一步 prompt 输入 + 输出）
  ├─ 判断：违规使用了静默域知识？执行步骤跳步？指令理解偏差？
  └─ 输出：故障原因分类 + 改进建议

上游 agent（输入视角）
  ├─ 检查 Aⱼ 收到的输入是否完整且正确（与预期输入规格对比）
  ├─ 判断：上游传递了错误数据？前置条件未满足？输入格式不符？
  └─ 输出：输入侧问题定位 + 责任归属

下游 agent（消费视角）
  ├─ 检查 Aⱼ 的输出是否可被下游消费（依下游的输入规格验证）
  ├─ 判断：格式错误？字段缺失？语义不可解析？类型不匹配？
  └─ 输出：输出侧问题定位 + 消费障碍描述

为什么选上游+下游，不是随机指派两个 agent：

三角覆盖设计确保：三者的盲区互不重叠，联合诊断覆盖故障链路的全部维度。任意一个单独介入，都有系统性漏检的风险。

4.6 重做策略

重做 ≠ 原样重跑

原样重跑的问题：如果根因未修复，再次执行只会重现同一个错误，浪费算力且延误交付。

重做步骤：
1. 定位根因（监督 agent 输出）
2. 修正根因：
   ├─ 输入问题     → 修正上游输出，原 agent 重做
   ├─ 蒙版问题     → 调整激活梯度，原 agent 重做
   ├─ 能力缺口     → 更换 agent 或扩展蒙版（见5.2）
   └─ 过程问题     → 注入 process guard（执行约束 prompt），原 agent 重做
3. 重跑 + L2 验证（重做后的输出强制进入 L2，不得走 L1 绿灯）
4. 仍不合格 → 挂起，等待人工介入

人工介入的触发阈值：

满足以下任一条件，系统自动挂起并通知人工：

• 同一节点重做次数 ≥ 3 次
• 回溯深度达到硬上限（默认 3 层）
• L3 验证后仍判定不合格
• 监督 agent 判定故障原因为"任务本身不可完成"

五、阻碍识别与回溯协议

5.1 阻碍分类

阻碍识别的目标是把"出错了"转化为"哪类错、怎么修"。四类阻碍的判定标准和修复策略不同，必须在识别后立即分类，而非用统一的重试逻辑笼统处理。

A类 — 瞬态故障（Transient）
  判定标准：同一输入重跑能过（故障与输入无关）
  典型场景：API 超时、模型服务不可用、并发写冲突
  修复策略：原地重试，指数退避，不改变任何输入或蒙版
  上限：重试 3 次后降级为 B类或 C类重新评估

B类 — 参数失配（Parametric）
  判定标准：agent 能力足够，但入参或指令不匹配
  典型场景：prompt 未覆盖边缘情况、上下文被截断、输入格式错误
  修复策略：回溯到父节点，修正参数后重新派发（不换 agent，不动蒙版）
  注意：B类和 C类的判定边界在实践中容易混淆——
    关键问题是"换一组正确的参数，现有 agent 能完成吗"
    答案是 → B类；答案否 → C类

C类 — 能力缺口（Capability Gap）
  判定标准：当前蒙版下 agent 不具备必要能力，无论输入如何调整都无法完成
  典型场景：需要数值计算但 agent 仅文本能力，需要实时数据但 agent 无工具调用权限
  修复策略：回溯到分配层，换 agent 或扩展蒙版（后者进入5.2的交叉链路）
  注意：扩蒙版可能引入新的泄漏风险，见5.2

D类 — 拆解错误（Decomposition Error）
  判定标准：子任务划分本身有问题，不是执行层的错
  典型场景：隐式依赖未写入 DAG、拆分过细导致上下文断裂、节点边界划定错误
  修复策略：回溯到规划层，重新拆解 DAG
  触发条件：当同一 DAG 路径的多个节点连续发生 B类或 C类阻碍时，应升级评估是否为 D类

5.2 回溯层级与回滚边界

层级          回滚范围                   兄弟节点处理
────          ────────                   ────────────
节点级        只回滚当前节点              不影响（独立执行）
父节点级      回滚父节点 + 所有子节点     父节点下全部失效，需重新派发
路径级        回滚整条依赖链              链上全部失效，链外保留
全局级        回滚整个 DAG               全部失效，相当于从头开始

关键约束：

1. 回溯层级必须显式声明：禁止自动推断回溯范围。"我觉得回滚父节点就够了"是工程陷阱——不确定时选更保守（更大范围）的回溯层级。
2. 兄弟节点的"无辜性"判断：兄弟节点是否可以存活，判定标准是输出是否对故障节点有依赖，而非物理位置上的远近。完全独立的兄弟节点可存活；有任何逻辑依赖的兄弟节点，一律随父节点回滚。
3. 回溯深度硬上限：默认 3 层。到达上限强制挂起，等待人工介入。这个上限不是性能约束，而是系统自我保护机制——无限递归回溯会使整个执行状态变得不可追溯。
4. 回溯日志规范：每次回溯必须记录完整信息：

{
  "timestamp": "2026-06-22T11:30:00Z",
  "node_id": "A3",
  "fault_type": "B",           // A/B/C/D
  "rollback_level": "父节点级",
  "root_cause": "prompt 未覆盖多语言输入场景",
  "fix_action": "扩展 prompt 覆盖范围，重新派发",
  "second_run_result": "pass"  // pass / fail / pending
}

六、机制衔接

6.1 主循环

主循环是四个机制（拆解、蒙版、验证、回溯）的集成视图，描述一次完整任务执行的全链路：

用户输入
  ↓
交互1：理解拆解 → 子任务 DAG + agent 清单（含蒙版摘要）
  ↓
交互2：用户审核 → 确认方案 / 提出修改
  ↓
交互3：装填蒙版 → 并行执行各节点
  ↓
  ├─ 验证门 L1
  │   ├─ pass → 继续下一节点
  │   └─ fail → 阻碍识别
  │       ├─ A类 → 原地重试（指数退避）
  │       ├─ B类 → 父节点回溯，修正参数，重新派发
  │       ├─ C类 → 分配层回溯（换 agent / 扩蒙版 → 进入5.2交叉链路）
  │       └─ D类 → 规划层回溯（重拆 DAG，视情况退回交互2）
  │
  ├─ 验证门 uncertain（L1 标记不确定）
  │   └─ 进入 L2 标准验证
  │       ├─ L2 pass → 置信度折扣标注 → 继续
  │       └─ L2 fail（发现 falsified）→ 进入 L3
  │           └─ L3：全量还原 + 三级介入
  │               ├─ L3 合格 → 置信度折扣标注 → 继续
  │               └─ L3 不合格 → 重做（按4.6策略）
  │                   └─ 重做仍不合格 → 挂起人工介入
  ↓
全节点完成 → 汇聚最终输出 → 交付用户

6.2 蒙版梯度与置信度判断的交叉

C类阻碍（能力缺口）有两种修复路径：换 agent 或扩蒙版。扩蒙版是成本较低的选择，但引入了新的知识域激活，有产生泄漏的风险。以下是完整的交叉链路：

C类阻碍触发蒙版调整
  → 将某知识域 kᵢ 从 M_silent 提升到 M_bg
  → 执行时走泄漏路径（路径2），所有 kᵢ 的使用标记泄漏声明
  → 输出强制进入 L2 标准验证
  → 若 L2/L3 发现 falsified，且根因追溯指向新引入的泄漏域 kᵢ：
      → 说明"扩蒙版修能力缺口"对当前任务不适用
      → 回退策略：不回退蒙版（已有泄漏日志），改为更换 agent
      → 记录本次失败路径，防止下次对同一类任务再次尝试扩蒙版策略

这条交叉链路防止了什么：

没有这条链路，系统可能陷入以下循环：

1. C类阻碍 → 扩蒙版 → 执行
2. 扩蒙版引入新泄漏 → 验证失败 → 再次扩蒙版
3. 无限扩展蒙版，直到所有知识域全部激活（等于没有蒙版）

"失败路径记录"是防无限循环的关键：系统知道"这种修法对这类任务不管用"，下次遇到相同场景直接跳过扩蒙版，进入换 agent 路径。

6.3 交互2 的重入边界

通常情况下，交互3 内部的所有问题通过回溯闭环解决，不退回交互2。但以下情况例外：

附录A：术语表

附录B：设计决策记录（ADR）

ADR-01：为什么不用开关式权限控制蒙版

背景： 最简单的 agent 能力边界控制方式是白名单——允许的知识域写入白名单，其余拒绝。

决策： 改用连续激活梯度 + 泄漏声明。

原因： LLM 的知识是分布式权重，无法在推理时真正隔离。强制用 prompt 声明"你不知道X"，模型会声称不知道，但知识仍然影响生成内容。连续梯度 + 强制声明的组合，将"无法完全禁止"的事实转化为"可以完全追踪"的机制。

ADR-02：为什么验证层不用交叉一致性

背景： 多 agent 交叉一致性验证是行业常见方案，实现相对简单。

决策： 改用物质还原验证。

原因： 交叉一致性是形式验证，无法检测多个模型同时犯的错误（例如共同引用错误信息源）。物质还原是实质验证，每个论据都必须追溯到现实世界的事实基础。代价是成本更高，因此设计分层触发（L1/L2/L3）来控制验证成本。

ADR-03：为什么三级介入选上游+下游，不是随机两个 agent

背景： 不合格后需要额外 agent 介入诊断，最省事的方式是随机选两个。

决策： 固定选上游 agent + 下游 agent，加监督 agent。

原因： 故障诊断的有效性取决于诊断者的"视角覆盖"。上游持有输入空间，下游持有消费规格，监督持有执行过程——三者恰好覆盖故障链路的全部维度，且盲区不重叠。随机选取的 agent 可能有大量视角重叠，形成诊断盲区。