什么是 AI Agent：从对话到行动
Chatbot 回答问题，Agent 完成任务。拆解感知-决策-行动闭环、Agent 的最小要素与真实能力边界。
Chatbot 与 Agent 的本质区别
一个常见误解是把”能对话的 AI”都叫 Agent。但 Chatbot 与 Agent（智能体）的分界线其实清晰：对话的终点是一段文字，Agent 的终点是一个被改变的世界状态。
Chatbot 的闭环是”你问—它答”：用户提问，模型生成回复，结束。无论回答多精彩，系统状态没有变化——邮件没发、订单没查、文件没改。
Agent 运行的是另一个循环：感知—决策—行动。感知环境（读消息、查状态），决策下一步（调用哪个工具、还是结束任务），执行行动（发邮件、写数据库、操作软件），然后感知行动结果，进入下一轮。循环持续到任务完成。同样一句”帮我处理这封邮件”，Chatbot 会给你一段”建议这样回复”的文字，Agent 会真的把回复发出去。
一个便于记忆的判据：如果一个 AI 系统只能让你知道些什么，它是 Chatbot；如果它能让你不必亲自做某件事，它才在 Agent 的领地里。
Agent 的最小要素：模型 + 工具 + 循环
把营销词剥掉，一个 Agent 在工程上只需要三个要素：
- 模型：负责每一步的决策——理解任务、选择工具、组织参数、判断结果。大语言模型的能力边界（幻觉、推理局限）直接构成 Agent 的能力边界，参见《大语言模型：从词元到智能》。
- 工具（Tools）：模型本身只能生成文本，不能碰真实世界。工具是它伸向世界的手：搜索、发邮件、查数据库、调 API。机制上称为工具调用或函数调用（Function Calling），详见《工具调用与 MCP：Agent 的双手与通用接口》。
- 循环（Loop）：把”决策—行动—观察结果—再决策”自动串起来的控制流。循环的存在是 Agent 与”单次调用模型”的分水岭——没有循环，模型只能一次性回答；有了循环，它能多步推进、中途纠偏。
额外的第四要素是记忆：工作记忆承载当前任务（上下文窗口），长期记忆沉淀跨会话的信息，见《上下文窗口与记忆：大模型的工作记忆之谜》。这三个半要素如何组装成可靠系统，见《Agent 架构解剖》。
当前 Agent 的真实能力边界
对 Agent 的宣传常年在两个极端之间摆荡：一边是”全自动替你打工”，一边是”只会一本正经地点错按钮”。诚实的水位在中间：
能做好的：边界清晰、步骤有限、结果可验证的任务。查资料并汇总、按模板填表、监控指标并在越限时告警、走一个固定的审批流程。这类任务的共同点是——错了能被发现，或者错了代价很小。
做不稳的：开放目标、长链条、需要判断”什么是好”的任务。“帮我做个市场分析”这种任务的难点不在执行，而在过程中的无数隐性决策，模型替你做的每一个隐性决策都是一次风险敞口。
结构性风险：授权越大，失控代价越高。Agent 拥有删库、对外付款这类不可逆操作的权限时，一次幻觉或一次提示注入（Prompt Injection）攻击就足以造成真实损失。权限最小化与人工确认卡点是工程必需，不是可选项。
观点：价值不在”自主”，而在”可靠的行动闭环”
本篇观点：Agent 的产业价值不来自”自主性”的高低，而来自”行动闭环”的可靠性。
“自主”是个容易讲故事但难交付的词；而”闭环”是可度量的工程属性——任务完成率多少、错误如何被发现、失败如何回滚。一个自主等级很低、但每一步都有校验和确认的报销审批 Agent，价值远高于一个宣称全自主、但十次里错三次的研究助理。评估 Agent 时应该问的不是”它能自己走多远”，而是”它走的每一步，我敢不敢让它落地上”。
小结
- 分界线：Chatbot 产出文字，Agent 改变世界状态。
- 最小要素：模型 + 工具 + 循环，记忆是重要的第四要素。
- 能力水位：封闭、可验证的任务可靠；开放、长链条的任务不稳；权限与不可逆操作是主要风险源。
- 评估 Agent 看闭环可靠性，不看自主性叙事。