人类作者：月牙寂（龚浩华）
Agent 作者：月绡凝（小凝）
定位：Agent 原理系列板块一·构成第 04 篇——行动系统（Action）。Agent 的「手脚」：工具调用、代码执行、界面操作三大行动形态，以及行动安全（授权与权限最小化）。板块一收官篇。
免责声明：本文为学习与技术分享用途，技术细节以官方论文与工程文档为准。
第 04 篇 · Agent 的行动系统：工具、代码与「手脚」
导读
感知（01）看见、推理（02）想清楚、记忆（03）记得住——最后一步是行动：真的去查、去算、去改、去点。行动系统是 Agent 对世界产生影响的唯一通道，也是风险最大的通道（改错文件、删错数据、越权调用）。本篇讲三大行动形态与行动安全。
一、三大行动形态
- 工具调用（Function Calling / Tool Use）
模型输出结构化指令「调用 X 工具 + 传参 Y」，框架执行并回传结果；
工具分类：应用内函数：计算、转换、业务逻辑；外部 API/服务：搜索、数据库、邮件、支付；MCP 服务端：统一接口接入的一批工具（板块二 05 篇详讲）；
关键设计：工具定义（名称+描述+参数 Schema）质量决定调用准确率——「描述清楚」比「工具多」更重要。
- 代码执行（Code Execution）
Agent 生成代码 → 在沙箱/解释器中运行 → 读输出 → 修正（如 Python 数据分析、脚本任务）；
形态：内嵌解释器（ChatGPT Advanced Data Analysis）、CLI Agent（Claude Code 跑命令）、云端沙箱（隔离执行）；
优势：通用性——代码是万能工具，不需要预先定义每个工具；
风险：代码 = 最大权限——必须沙箱隔离 + 命令白名单（谁都不想 Agent 执行 rm -rf /）。
- 界面操作（Computer Use / GUI Action）
模型像人一样操作界面：点击、键入、滚动、拖拽（感知 01 篇的环境鸿沟在这里兑现）；
代表：Claude Computer Use（OSWorld 61.4%）、手机 Agent（AutoGLM）、浏览器 Agent；
行动原语：点击(x,y) / 输入文本 / 按键 / 滚动 / 等待界面变化；
意义：把「没有 API 的老软件」也纳入 Agent 可操作范围——通用性极高、稳定性偏低。
💡 学习要点：行动三形态 = 从「精」到「广」的权衡工具调用最稳但需预定义；代码执行最通用但需沙箱；界面操作最「人化」但最易漂移。生产级 Agent 通常三者在不同环节混用（先 API，缺口用代码，最后界面兜底）。
二、行动的安全：权限是最关键的设计
Agent 能做的事越多，失控代价越大。行动系统必须内建控制：
| 机制 | 思路 |
|---|---|
| 授权最小化 | Agent 只拥有任务所需的最小权限（读 vs 写 vs 删除分级） |
| 人工审批（HITL） | 高危险动作（删数据/付款/发布）必须人工确认（板块二 07 篇详讲） |
| 沙箱隔离 | 代码执行/文件操作在隔离环境，失败不伤主系统 |
| 可回滚 | 检查点/快照——做错能退回（LangGraph checkpoint、Claude Code checkpoints） |
| 审计留痕 | 每个动作记录日志（谁/何时/做了什么）——出问题可追溯 |
| 熔断 | 异常循环/越权尝试超阈值即停（对齐「行为偏离熔断」思想） |
- 核心原则：Agent 的权限不是「能给多少」，而是「最小需要多少」——行动越自由，护栏越要硬。
三、行动系统的工程实践要点
1工具粒度：单个工具映射「自然意图」（建 issue/查库存/读文件），而非低层 API 操作——粒度太细定义爆炸、太粗模型难用；
2错误回传：工具失败要返回可理解的结构化错误（原因+建议），让模型能修正重试（衔接推理系统反思）；
3确定性兜底：能用脚本/流程解决的步骤别让模型「自由发挥」——确定性部分外包给代码；
4动作预算：限制最大步数/最大成本，防死循环烧 token。
四、本篇要点（复习卡片）
1三形态：工具调用（稳·需定义）/ 代码执行（通用·需沙箱）/ 界面操作（人化·易漂移）——生产级混用。
2工具定义质量 > 工具数量：名称+描述+Schema 决定调用准确率。
3代码 = 最大权限：必须沙箱 + 白名单。
4安全六机制：授权最小化 / HITL / 沙箱 / 回滚 / 审计 / 熔断。
5核心原则：权限 = 最小需要；行动越自由护栏越硬。
6板块一收官：感知 × 推理 × 记忆 × 行动 = Agent 构成四件套（00 开篇回顾）。
五、下一篇预告
第 05 篇（板块二·机制开篇）：MCP 协议——行动系统的「手脚」如何统一接入：一个工具接一次、处处可用。三原语（Tools/Resources/Prompts）、客户端-服务端架构、以及从 Anthropic 开源到 Linux Foundation 托管、2026-07-28 无状态规范 RC 的标准化之路。MCP = Agent 的 HTTP。
参考资料
[官方] OpenAI Function Calling 文档：https://platform.openai.com/docs/guides/function-calling
[官方] Claude Computer Use：https://www.anthropic.com/news/claude-4-computer-use
[官方] Anthropic Tool Use / MCP 文档：https://modelcontextprotocol.io
[参考] AIOS 1.0 / LiteCUA（行动抽象）：https://arxiv.org/abs/2505.18829
整理：2026-10-01 月绡凝 · 依据官方论文与工程文档。
