工作流与智能体：如何分配控制权

“工作流”“智能体”和“自主性”经常被排列成一条进阶路线：先调用一次模型，然后升级为工作流，加入工具和记忆，最终走向完全自主的多智能体系统。这个故事很有吸引力，但通常是错的。

这些术语回答的是不同的工程问题。工作流描述执行过程如何组织；智能体描述一部分运行时控制权由谁掌握；自主性描述系统在没有人逐步指挥或审批时拥有多大的决策空间。工具数量、运行时间和智能体数量会改变系统能做什么，却都不能单独决定系统采用什么控制结构，也不能决定它应当拥有多少自主性。

这种区分会直接影响工程判断。如果模型路由器只被当作无害的分类器，团队可能忽略它将任务送入高影响分支的能力；如果固定的夜间流水线仅仅因为无人值守就被称为“自主”，团队就会混淆自动执行和模型决策权；如果所有能调用工具的系统都叫智能体，架构评审便失去了定位真实决策权的语言。

本章提出一个实用边界和一份包含四个维度的“委托配置”。它们都不是行业标准，而是本手册用来说明谁在决策、系统可以改变什么、委托持续多久，以及人在哪里保留有效控制的分析工具。

论点

工作流与智能体的主要区别，在于运行时控制权的归属和开放程度。 在工作流中，应用代码定义允许的路径，模型只承担受限的操作或选择；在智能体中，模型根据目标、当前状态、可用工具与反馈，在运行时构造或修订行动方案。自主性则是另一项设计变量：系统在没有人逐步指挥或审批时拥有多大的决策空间。

由此得到三个结论：

1. 使用模型不等于由模型控制。 模型可以在预定义状态机内分类、抽取、起草、评分或路由，而不负责控制整个任务。
2. 自动化不等于自主性。 固定流程可以无人值守，却不需要对行动方案作开放式判断。
3. 自主性越高不代表系统越成熟。 合适的自主性，应当刚好足以实现所需价值，同时仍让后果可观测、受约束且可恢复。

Anthropic 也采用类似的架构边界：工作流通过预定义代码路径编排模型和工具，智能体则动态决定自身过程与工具使用；同时建议优先选择能够完成任务的最简单结构，因为智能体的灵活性会增加延迟、成本和不可预测性（Anthropic，2024）。OpenAI 同样把模型管理工作流执行、动态选择工具视为智能体的核心特征，并建议在确定性方案足够时优先使用确定性方案（OpenAI，《A practical guide to building agents》）。

问题

这个边界比“固定的是工作流，动态的是智能体”更难判断，因为有效的工作流本来就可能包含模型决策：

• 路由器从若干专用路径中选择一个；
• 评估器决定产物是否需要再次修改；
• 编排器把输入分解为多个子任务；
• 模型生成下一次检索查询；
• 分类器判断案例是否需要升级处理。

另一方面，智能体也总是运行在确定性机制之中。代码负责提供工具、权限、预算、数据模式、迭代限制、存储和最外层运行循环。生产系统不可能把字面意义上的全部控制权交给模型。

真正有用的问题不是“代码或模型有没有做过决定”，而是：

代码是否枚举了关键行动路径，只让模型在受限的转换点作选择；还是模型会根据运行反馈，自行组装并修订行动方案？

这个问题应当在子系统层面回答。一个大型产品可能同时包含确定性的接入流程、模型主导的研究子系统，以及需要审批的发布流程。把整个产品笼统称为“工作流”或“智能体”，都会掩盖工程师真正需要保障和评估的边界。

行业术语目前并不统一。Anthropic 使用“智能体系统”统称工作流与智能体，其他资料则使用“智能体工作流”描述模型主导的自适应执行。本手册不试图统一所有叫法，而是在讨论具体系统时精确说明控制权，并在引用资料时保留来源自身的定义。

心智模型：控制边界

可以把每个模型介导的组件看作运行在一个控制边界（control envelope）之内。这个边界规定：

• 模型接收什么目标、状态和观测；
• 模型可以作出哪些选择；
• 模型可以调用哪些工具与行动；
• 系统可以消耗多少时间和资源；
• 什么时候必须停止或升级处理；
• 哪些后果必须经过验证或人工批准。

工作流与智能体的区别，发生在这条边界内部。

在预定义工作流中，代码给出封闭的转换集合。模型可以从 billing、technical 和 general 中选择，但类别及其后续含义都由代码定义；评估器可以返回 revise 或 accept，但循环结构、最大次数和下一步操作仍由代码控制。

在智能体中，可用行动仍然可以是有限的，但行动顺序不会作为完整任务路径预先枚举。模型检查不断变化的状态，选择行动，观察结果，再决定下一步。编码智能体可能先搜索，再查看文件、修改另一文件、运行测试、根据失败调整补丁，最后判断工作是否完成。代码限定行动集合，模型负责构造路线。

这个边界并非完全二元。例如，编排器可以动态创建子任务，而外层程序仍使用固定工作节点执行并聚合结果。此时最有信息量的表述是：预定义编排边界内的模型主导分解。让控制权转移可见，比争论它究竟应该叫工作流还是智能体更重要。

自动化与自主性

自动化意味着流程不需要人亲自执行每一步；自主性则意味着系统对行动方案拥有一定决策权。定时发票流水线可以每晚无人值守地运行，却始终遵循代码定义的固定路线。它高度自动化，但几乎没有运行时决策权。

交互式助手可能每隔几分钟就等待用户，看起来并不独立，却可以在两个检查点之间自主选择搜索、工具和修改方式。NIST 对自主系统的描述同时强调“选择并执行多种行动”和“无需人工干预”；英国 Dstl 的相关定义则强调系统通过自身决策确定行动方案（NIST；UK Dstl）。选择权与人的参与程度缺一不可。

因此，本手册将自主性定义为：系统在没有人逐步指挥或审批时，被授予的运行时决策权。这个定义不会因为固定定时器无人看守就把它称为“自主”，也承认自主性可以存在于短暂且受到监督的任务中。

能力也必须与自主性分开。强大的模型可以被要求在每次写入前申请批准；能力较弱的模型也可能被允许无人值守地行动。相关研究把自主性视为可以独立于能力和运行环境进行设计的选择，并以操作者、协作者、顾问、审批者和观察者等人的角色描述不同程度的自主性（Feng、McDonald 与 Zhang，2025）。

委托配置

“半自主”这样的单一标签承载不了架构评审需要的信息。更实用的做法，是从四个方面记录委托配置。它们不一定完全独立，但合在一起可以呈现实际的控制结构。

维度	需要记录的问题	较低委托示例	较高委托示例
路径决策权	模型可以选择哪些步骤、分支、工具、重试和停止决定？	从代码定义的支持队列中选择一个	制定计划、选择工具、根据结果调整并判断目标是否完成
行动权限	系统可以建议、暂存还是直接提交变更？变更是否可逆？	起草邮件供人审阅	发送消息、更新记录或执行付款
运行时长	委托持续多久，能否跨越中断？	一次有资源上限的回合	可在数小时或数天内恢复的后台任务
人的参与方式	人在执行前、中、后分别扮演什么角色？	指挥每一步并批准每项行动	只设定目标、查看摘要并处理异常

系统能够接触和影响的外部范围，以及行动可能造成的后果，为这份配置提供了必要背景。读取一份公开文档与写入生产环境中的客户记录，即使都只调用一次工具，风险也完全不同。模型能力与评估证据决定我们可以期待怎样的表现；身份和授权决定系统实际上可以做什么。NIST 关于软件智能体身份的工作把授权、审计和不可否认性列为智能体访问外部数据、工具与应用时的独立要求（NIST NCCoE，2026）。

不要把四个维度平均成一个总分。研究智能体可能拥有很大的路径决策权，却只能输出草稿；固定工作流可能几乎没有路径决策权，却会在模型分类后自动退款。后者虽然智能体特征并不明显，反而可能需要更强的控制。

边界案例

1. 无人值守的文档处理流水线

代码每晚读取新发票，让模型把字段抽取到固定数据结构中，再进行确定性校验，并把异常送入人工处理队列。

• 控制结构：预定义工作流。
• 原因：每个阶段和转换都由代码定义，模型只执行范围明确的语义操作。
• 委托配置：路径决策权保留在代码中，行动先暂存，任务按批次运行，由人处理异常。

它是自动化的，也可以是 AI 原生的，但按照本手册的定义，它不是智能体。

2. 基于模型的客服路由器

模型从 billing、returns 和 technical-support 中选择一个分类，代码再启动对应的固定流程。

• 控制结构：包含模型介导分支的预定义工作流。
• 原因：选择范围是封闭的，目的地及其后果由代码定义。
• 评审重点：路由准确率、无法判断时的退出方式、回退机制，以及某个分支的后果是否已经超出概率分类能够承担的范围。

如果同一模型还可以自行制定解决方案、任选工具、协商政策例外并决定案件何时结束，控制权归属便发生了变化，这个子系统已经具有智能体特征。

3. 评估器—优化器回路

一个模型起草产物，另一个模型按照量表评分；代码重复这两个步骤，直到评分通过或达到最大次数。

• 控制结构：预定义工作流。
• 原因：循环结构与停止上限由代码控制，模型只提供门控信号。
• 评审重点：评估器可靠性、两个模型的相关失效、最大迭代次数，以及“通过”的真实含义。

如果系统可以改变策略、选择新的证据来源、增删子任务，或根据反馈重新定义中间目标，模型的控制权便不再局限于一个固定的门控点。

4. 编排器—工作节点研究系统

编排模型把问题分解成数量不定的研究任务，代码将任务交给固定工作节点，再通过固定阶段聚合结果。

• 控制结构：混合边界——预定义编排边界内的模型主导任务分解。
• 原因：模型构造一部分路径，代码固定执行拓扑与外层生命周期。
• 评审重点：允许创建什么子任务、重复和遗漏、预算、来源边界、聚合质量，以及是否允许递归委托。

简单地称它为工作流或智能体，都不如直接记录控制权如何拆分有用。

5. 代码仓库智能体

模型接收问题和代码仓库后，自行搜索代码、选择文件和工具、修改代码、运行测试、根据失败调整，并判断补丁何时完成。

• 控制结构：确定性运行框架内的智能体。
• 原因：模型根据环境反馈构造并修订多步骤路线。
• 委托配置：模型拥有较大的路径决策权；行动权限可以从只读分析扩展到直接写入或部署；任务可以短暂运行，也可以在后台持续；人的参与方式可以从逐步审批到最终审阅。

外围运行框架仍然必须负责文件系统范围、命令策略、密钥、预算、测试、审批和终止。组件被称为智能体，并不会消除系统的工程责任。

选择控制结构

从任务出发，而不是从想使用的标签出发。

适合预定义工作流的情况

• 关键阶段和异常可以经济地枚举；
• 一致性、可审计性和可预测延迟比开放式适应更重要；
• 模型判断只发生在范围明确的转换或决策中；
• 后果需要在明确位置接受确定性验证；
• 代表性评估没有证明模型主导的步骤安排能改善结果。

工作流不是必须被淘汰的初级阶段。在受监管、高吞吐或任务结构清晰的场景中，它通常正是合适的架构。

适合“确定性边界内的智能体”的情况

• 所需步骤实质依赖执行过程中才发现的信息；
• 硬编码决策树会变得脆弱、不完整，或比受约束的模型推理更昂贵；
• 系统能观察行动结果并据此纠正路线；
• 成功与失败能够在任务或环境结果层面评估；
• 权限、预算、停止、恢复和升级可以在模型之外强制执行。

智能体的合理性来自运行时适应带来的价值，而不是因为系统拥有规划提示、工具 API、记忆或多个模型角色。

逐项扩大委托范围

不要在一次发布中从“提供建议”直接跳到“无人值守执行”。更稳妥的推进方式通常是：

1. 先让系统提出计划；
2. 再允许它在沙箱或可逆状态中执行；
3. 将行动暂存后交给人审阅；
4. 自动提交通过确定性检查的低影响行动；
5. 把高影响和异常情况保留给明确审批；
6. 只有在评估与生产证据支持时才扩大范围。

这不是普遍适用的成熟度阶梯。系统可以永久停留在任意一步，因为那可能正是最合理的责任分配。

权衡

更大的路径决策权可以处理软件编写时未知的信息和例外，减少脆弱的分支逻辑，并覆盖更广的任务类型。更长的运行时间可以让系统从提出建议走向完成工作。减少人工参与则可能提高吞吐和可用性。

这些收益会增加新的工程负担：

• 可理解性降低：执行前未必知道实际路线。
• 评估范围扩大：必须评估行动轨迹、工具使用、停止行为和最终状态，而不仅是单次输出。
• 失效传播增强：早期误解可能影响大量后续行动。
• 成本与延迟波动：步骤和重试次数取决于输入与运行过程。
• 安全暴露增加：工具将模型介导行为连接到数据和真实副作用。
• 恢复成为架构能力：长时间或高影响任务需要检查点、幂等、取消和回滚。
• 人的注意力成为稀缺资源：审批与监控会消耗时间，也可能沦为形式。

人工审批不是万能边界。AI 辅助决策实验表明，人可能过度依赖错误建议，而增加解释也不一定消除这种影响（Cecil 等，2024）。只有当审阅者拥有足够的上下文、时间和权限，并且确实能够拒绝或修改行动时，审批才构成有效控制。

相反，过度依赖确定性编排也会把判断问题变成庞大而脆弱的分支集合。如果团队不断为真正开放的问题增加条件分支，看似严格的控制可能只是另一种错觉。目标不是尽量少用模型，而是在可强制执行的边界内，选择能产生合格结果的最简单控制结构。

失效模式

自主性表演

团队加入规划、记忆或多个智能体，并把系统描述成更高级，尽管代码仍决定所有关键转换。复杂度增加，却没有带来有价值的适应。应记录控制边界，并衡量适应是否真正改善结果。

隐藏的自主性

组件被称为分类器或助手，却可以选择高影响分支、无限重试，或触发带副作用的工具。评审应检查每个关键转换，而不是相信产品标签。

混淆能力与权限

因为模型在评估中能够执行某项行动，生产系统便自动允许它这样做。能力证据回答“它能不能”，权限和自主性设计则回答“它可不可以”以及“可以在没有谁参与时做”。这些决定必须分开。

审批表演

每项行动表面上都需要点击批准，但审阅者缺少上下文、收到过多请求，或无法改变方案。系统看似自主性较低，实际却把人变成橡皮图章。应围绕后果与异常设置选择性检查点，并评估人工流程本身。

给整个产品贴一个标签

产品同时包含接入工作流、研究智能体和发布审批，却被赋予一个统一自主性等级。应当按高影响子系统或行动类别分别记录委托配置。

多智能体膨胀

把模型角色数量当成自主性或成熟度指标。固定串联的五个智能体，路径决策权可能还不如一个能调用工具的单智能体。只有在分工、专业化、上下文或评估收益得到证明后，才增加智能体。

无界运行

系统可以无限消耗 token、调用工具、创建子任务或修改状态，因为“完成”完全由模型判断。预算、最大回合、截止时间、取消、检查点和终止状态必须在模型之外强制执行。

工作流过拟合

团队拒绝模型主导的适应，为每个例外继续增加分支，最终得到不透明、昂贵且仍不能处理新情况的流程。当任务路线依赖无法经济枚举的新发现时，应重新考虑智能体边界。

行业证据

现有证据虽然使用不同术语，但支持几项较为稳定的观察：

1. 控制权归属是可操作的架构边界。 Anthropic 和 OpenAI 都区分模型主导执行与工作流内受限的模型使用。
2. 自主性和能力是不同的部署选择。 自主性研究与 DeepMind 的 AGI 分类研究都把“系统能做什么”和“系统被部署为多大程度独立运行”分开（Feng 等，2025；Morris 等，ICML 2024）。
3. 行动权限让抽象自主性变得具体。 NIST 将外部数据、工具、应用、授权和审计视为明确的智能体系统问题。
4. 智能体可以执行的行动正在扩展。 英国 AI 安全研究所对 177,436 个公开智能体工具的分析显示，下载活动正从观察能力转向行动能力，并出现更多在低约束环境中运行的工具。该数据衡量的是工具发布与下载而非已验证的实际执行，但足以说明行动权限不能再含糊带过（AISI 与英格兰银行，2026）。
5. 有人参与不等于控制有效。 人机决策研究同时发现过度依赖和随情境变化的信任，因此监督必须被设计和评估，不能只停留在声明中。

没有来源把本手册的四维委托配置确立为标准。它是为了让架构评审更具体而形成的综合判断；如果持续使用后发现维度重叠严重或遗漏了重要控制形式，就应继续修订。

本手册的判断

对于每个模型介导的子系统，先写下一段简短的控制声明：

代码定义［固定阶段、可用工具、硬约束、预算和终止条件］。模型可以决定［受限分支、行动顺序、重试或停止］。人必须负责［提供方向、批准明确后果、处理异常或审阅结果］。

然后记录委托配置：

1. 路径决策权：列出交给模型和保留在代码中的决定。
2. 行动权限：分别记录读取、建议、暂存、写入、执行交易、发布和继续委托的权限。
3. 运行时长：定义最大回合、时间、成本、持续方式、恢复和取消机制。
4. 人的参与方式：说明谁负责指挥、审批、监控、处理异常并承担最终责任。

完成这份描述后再选择架构。如果任务路径稳定、分支可以封闭枚举，优先选择工作流；如果路线必须根据不可预测的新发现动态组装，可以考虑智能体，但仍应保留与触达范围和后果相称的确定性边界。

自主性应按行动类别授予，而不是一次性授予整个产品。研究系统可以自由搜索公开来源，访问私有数据时需要审批，只能暂存报告供人审阅，并且完全禁止自动发布。这比称其为“三级自主”更加准确。

每次扩大委托范围都应提供证据：在真实条件和新的行动权限、运行时长、监督配置下，任务结果确实改善且行为仍可接受。模型基准成绩本身并不足够。

检查清单

• 能否不依赖模型措辞，独立说明任务目标和成功条件？
• 哪些关键路径由代码枚举，哪些由模型动态构造？
• 模型路由器和评估门的选择范围是否封闭、边界是否明确，并能在无法判断时退出或升级处理？
• 系统可以读取、建议、暂存、写入、交易、发布或继续委托什么？
• 哪些行动不可逆、对外可见、昂贵、敏感或影响重大？
• 回合、时间、成本、重试、递归委托和后台执行有哪些硬限制？
• 任务能否暂停、取消、恢复、回滚或安全重试？
• 哪些位置真正需要人的判断，审阅者能获得什么上下文？
• 审阅者能否拒绝、修改或接管，还是审批只是形式？
• 能力、权限、自主性和责任归属是否被记录为不同决定？
• 是否评估完整行动轨迹和最终环境状态，而不仅是最终文本？
• 什么可测量结果能够证明扩大模型决策权或减少人工参与是合理的？
• 更简单的工作流能否以更低的运行成本和失效成本产生合格结果？
• 是否分别描述不同子系统和行动类别，而不是只给整个产品贴标签？

参考资料

1. Anthropic，《Building effective agents》（2024）——区分预定义工作流与模型主导的智能体，并介绍常见工作流模式。
2. OpenAI，《A practical guide to building agents》——讨论模型管理的工作流执行、工具、编排、防护栏、退出条件和人工介入。
3. Feng、McDonald 与 Zhang，《Levels of Autonomy for AI Agents》（2025）——把自主性视为可以与能力分开的设计选择，并以用户角色组织自主性等级。
4. Morris 等，《Levels of AGI for Operationalizing Progress on the Path to AGI》（ICML 2024）——区分性能、通用性、自主性、部署风险和人机交互选择。
5. NIST，《Autonomous systems》——通过无需人工干预地选择和执行多种行动描述自主系统。
6. NIST NCCoE，《New Concept Paper on Identity and Authority of Software Agents》（2026）——说明智能体访问与身份、授权、审计和不可否认性的关系。
7. 英国 AISI 与英格兰银行，《How are AI Agents used? Evidence from 177,000 AI agent tools》（2026）——提供行动型智能体工具和低约束运行环境增长的观察证据。
8. Cecil 等，《Explainability does not mitigate the negative impact of incorrect AI advice in a personnel selection task》（2024）——提供人类审阅者可能过度依赖错误 AI 建议的实验证据。