想想一个很常见的任务：让 Agent 查客户、按规则出报价、把邮件草稿写好。
活听着不复杂。模型挑了最强的，知识库也塞了不少材料。跑出来一看，第一封邮件就让人不敢发。
客户刚续过约，Agent 还在按新客报价；折扣底线明明写在审批规则里，它没看见；该找销售总监确认的单子，它顺手就把话说满了。
现在模型都这么强了，怎么干点正事还跟刚入职第一天一样？
我觉着，这事不能全怪模型。
它不是笨，它是不知道该接哪份活
人接手一份工作，第一天也不会直接让他去给大客户报价格。
你会先交代客户是谁，合同走到哪了，什么钱能让，什么钱不能让，出了岔子找谁。
老员工脑子里还装着一堆说不出口的东西：这个客户上次为什么不高兴，那位总监对折扣有多敏感，月底哪些数字不能乱动。
Agent 没有这些。
很多企业以为给它接个知识库就够了。把产品手册、SOP、历史文档往里一扔，RAG 跑起来，感觉已经很先进。
可知识库只回答了一个问题：我能搜到什么资料。
它没回答另外几个更麻烦的问题：这次任务现在进行到哪一步？眼前这个客户能不能用这条规则？我有没有权限做这个动作？做完以后，谁能查到我依据了什么？
这几样加起来，才是上下文。
所以我不太认同“上下文就是多塞一点 Token”这种说法。文件再多，也替代不了任务状态和业务边界。你给一个新人看完公司网盘，也不等于他明天能独立签合同。
真正会让 Agent 翻车的，通常是这四种失忆
第一种，忘了事实。
客户的最新订单、库存、合同版本，可能分别躺在 CRM、ERP 和共享盘里。Agent 只搜到一份三个月前的 PDF，然后自信地开始干活。这个错最像“答错题”，其实是拿错了题干。
第二种，不懂规则。
“老客户可以让两个点”，后面往往还有半句：“续约前 30 天不行”“低于毛利线要财务确认”。
规则不是一段漂亮文字，它有条件，也会变。只把制度丢进知识库，Agent 很容易只捞到前半句。
第三种，越权。
能查客户，不代表能改价格；能起草邮件，也不代表能点击发送。这个道理在公司里谁都明白，轮到 Agent 时却常常被忘掉。大家光想着让它多干活，没先想清楚它哪一步必须停下来等人。
第四种，不留记录。
它给谁报了什么价，引用了哪份政策，哪个人点了批准，后来怎么被改回来的。如果这些没有日志，出一次问题，大家只能围着聊天记录猜。这样的系统跑得再快，也没人敢交核心业务。
OpenAI 最近推出的 Data agent，讲的也不只是“用自然语言问数据”。
它把企业数据和访问控制放在一起，让员工能追着一个问题查下去、形成可分享的结果。官方介绍
另一边，做编程 Agent 的产品也在补这些基础设施：沙箱、人工审批、网络权限、凭据隔离、审计日志。
Agent 一旦从“给答案”变成“替你动手”，风险点就不在它会不会说话。
风险在于它能碰什么，碰完留不留痕。OpenAI 的安全实践
别先造一个全能员工，先交出去一件小事
那该怎么做？我给的建议一直很土：先找一件高频、低风险、结果能核验的活。
比如“每天把 20 条客户反馈归类，生成跟进建议，但不直接发给客户”。
把这件事跑顺之前，别急着接更多系统。先把四件东西补齐：
- 事实从哪来。 哪个系统才算最新，数据多久同步一次，冲突时信谁。
- 规则怎么用。 哪些是硬红线，哪些需要按条件判断，规则更新后怎么让 Agent 知道。
- 权限停在哪。 它能读什么、能写什么，哪一步必须让人点确认。
- 结果怎么复盘。 每一次引用、判断、动作和人工修改，都能回看。
这不是给 Agent 增加束缚，是给它一张靠谱的交接单。
跑一两周，看看它最常卡在哪里：是资料总过期，还是规则写得太含糊；是人工确认太多，还是它经常把异常当正常。先修这个环节，再给它扩大任务范围。
很多团队反过来干：先喊“数字员工”，然后发现它不能用，再回头补数据、权限和流程。钱花了两遍，团队也被折腾得不想碰 AI。
模型会继续进步，交接单不会自己长出来
模型更强当然是好事。它能读更长的材料，会用更多工具，遇到复杂任务也更能扛。
但企业里最值钱的那部分信息，恰恰不在公开网页上。它散在系统、会议纪要、审批习惯和老员工的脑子里。谁来整理，谁来定权限，出了问题谁来负责，这些活还得人干。
所以，老板别只问“哪个模型最强”。
先看看你准备交给它的那份工作，到底有没有说清楚。
如果你们已经在上 Agent，不妨在评论区说说：它第一次翻车，是忘了事实，没懂规则，还是越了权限？
—— 第四生产力 ——
专注企业级 AI 工程实践：RAG｜Agent｜推理优化｜集群调优