AI 应用工程核心名词词典

目录

• 1. 学习目标
• 2. 面试结论
• 3. 面试官为什么问
• 4. 概念与边界
• 5. 术语关系图
• 6. 名词词典
• 7. 实际项目案例
• 8. 方案权衡与常见误区
• 9. 面试题与参考答案
• 10. 递进追问
• 11. 实践任务
• 12. 相关知识与参考资料
• 13. 简明总结

1. 学习目标

• 能用一句话解释 AI、LLM、Prompt、Context、RAG、Agent 等核心概念；
• 能说明每个名词解决什么问题、在什么场景使用以及不解决什么问题；
• 能区分 Prompt、Context、Memory、State、Skill、Tool、MCP、Harness 和 Workflow；
• 能沿着“模型 → 上下文 → 检索 → 决策 → 执行 → 评测”的链路描述一个 AI 应用；
• 遇到新名词时，能判断它属于模型能力、数据知识、运行时能力还是工程治理。

2. 面试结论

2.1 30 秒回答

一个 AI 应用可以分成六层：LLM 提供理解与生成能力；Prompt 表达本次任务；Context 是模型本次真正看见的信息；RAG 从外部知识源取回证据并放入 Context；Agent 通过 Loop 动态选择 Tool 完成多步任务；Harness 则在模型外部管理工具、状态、权限、预算、重试和可观测性。Skill 是可复用的任务方法包，不等于 Tool；Memory 是跨步骤或跨会话保留的信息，也不等于当前 Context。

2.2 一分钟复述版

面试中不要把术语逐个孤立背诵，而要讲清它们的上下游关系。用户请求先被 Prompt 和上下文工程组织，必要时 RAG 检索私有或实时证据，然后 LLM 生成文本、结构化结果或工具调用。如果任务需要根据中间结果继续决策，运行时就进入 Agent Loop。Tool 提供可执行能力，Skill 提供可复用的方法、脚本和资源，MCP 解决客户端与外部 Tool、Resource、Prompt 的标准化连接，Harness 负责把循环、环境、状态、安全与反馈闭环组织起来。最后用 Evals、Trace、延迟、成本和业务指标判断系统是否真的有效。

3. 面试官为什么问

• 概念准确性：是否知道每一层负责什么，而不是堆叠流行名词；
• 边界意识：是否能说明 RAG 不改权重、Tool Calling 不自动执行工具、Guardrail 不等于权限；
• 系统设计能力：是否能把模型、数据、检索、工具、状态和治理串成完整调用链；
• 工程经验：是否关注超时、重试、幂等、预算、可观测性和安全；
• 表达能力：是否能先讲结论，再按追问深入原理、实现和取舍。

4. 概念与边界

小白先这样理解：一间会协作的智能餐厅

把 AI 应用想成智能餐厅：顾客写下的要求是 Prompt，厨师这次能看到的订单、过敏信息和已取回资料合在一起才是 Context；主厨像 LLM，根据眼前信息产出菜品。仓库账本像 Knowledge Base，跑去查库存并把结果送回操作台的是 RAG。烤箱等设备是 Tool，标准插座与连接协议像 MCP，可复用菜谱像 Skill；固定出餐步骤是 Workflow，遇到缺料后动态改计划的领班像 Agent，负责权限、预算、重试和留痕的整套餐厅管理系统则像 Harness。

类比边界： 软件组件没有人的常识、责任心或真正理解；这些名词描述的是信息、控制和执行职责，实际系统中也可能由同一服务承担多种角色。尤其 Skill、Harness 等词在不同产品中的定义并非完全统一，仍应以具体接口和调用链为准。

4.1 本词典是什么

本词典是跨 LLM、RAG、Agent 和 AI 工程的速查入口。每个词条回答四个问题：它是什么、有什么作用、什么时候使用、最容易和什么混淆。完整原理、公式、代码与项目细节仍以关联专题文档为单一事实源。

4.2 本词典不是什么

• 不是产品名和模型排行榜，不记录容易过期的具体模型能力；
• 不是把所有框架术语都当作行业标准；
• 不是完整 API 手册，平台字段和限制应以最新官方文档为准；
• 不是把近义词强行合并，例如 Context、State、Memory 和 Knowledge Base 各有职责。

4.3 多义词约定

多义词	本文默认语境	其他常见语境
Context	模型本次生成时可见的信息	应用代码的依赖对象、业务请求上下文
Skill	Agent 可按需加载的可复用指令、脚本和资源包	泛指模型或人的能力
Harness	包围 Agent 的运行、工具、环境、反馈与治理支撑系统	运行基准测试的 Evaluation Harness
Loop	Agent 的“观察—决策—行动—反馈—终止”循环	模型逐 Token 解码循环、程序 Event Loop
Memory	经选择并可复用的短期或长期信息	模型参数中的知识、普通数据库存储
RAG	先检索外部证据，再基于证据生成的广义应用模式	2020 年论文中的特定可训练架构

4.4 高频概念一句话区分

概念	它主要回答的问题
Prompt	这一次要模型做什么？
Context	这一次模型实际看到了什么？
RAG	外部事实证据怎样进入 Context？
Tool	Agent 能调用什么外部能力？
Skill	某类任务的专业做法怎样被复用？
MCP	AI 客户端怎样标准化连接 Tool、Resource 和 Prompt？
Workflow	步骤和分支怎样由代码预先规定？
Agent Loop	模型怎样根据中间反馈动态决定下一步？
Harness	什么工程系统让整个执行过程可靠运行？
State	当前任务怎样被准确恢复？
Memory	哪些信息值得跨步骤或跨会话复用？
Guardrail	哪些输入、输出和动作必须被检查或阻断？

5. 术语关系图

5.1 全局关系：从用户目标到可靠执行

图 1：AI 应用从请求到可靠执行的核心关系

图表加载中…

替代文本： Prompt 和 RAG 共同构造模型上下文；LLM 可以直接输出，也可以进入 Agent Loop 调用工具；Skill 提供方法，MCP 连接外部能力，Harness 与安全机制约束整个执行过程，最终由评测和观测验收。

读图结论： LLM 是决策与生成核心，但生产级 AI 应用的可靠性主要来自模型外部的数据、运行时、权限、状态和反馈系统。

5.2 Context、State、Memory 与 Knowledge Base 的信息流

图 2：信息从持久化来源进入本轮 Context，再回写 State 或 Memory

图表加载中…

替代文本： 会话历史、外部知识库、记忆和运行状态先经过选择与压缩，只有被选中的内容进入当前 Context；模型输出再更新 State，少量值得复用的信息才写入 Memory。

读图结论： Context 是“本轮看见什么”，State 是“当前任务真实进行到哪里”，Memory 是“以后可能复用什么”，Knowledge Base 是“外部事实从哪里来”。

5.3 Skill、Tool、MCP 与 Harness 的装配关系

图 3：Agent 从方法指导到真实执行的分层结构

图表加载中…

替代文本： Skill 为 Agent 提供任务方法；Harness 内的 Loop、State、权限和 Trace 组织执行；Tool Call 可以走专用集成，也可以由 MCP Client 连接 MCP Server；只有 Tool 或业务 Adapter 才会在真实环境中执行动作，并把 Observation 返回 Loop。

读图结论： Skill 解决“怎样做”，Tool 解决“能做什么”，MCP 解决“怎样标准连接”，Harness 解决“怎样可靠运行”。

5.4 Workflow 与 Agent 的控制流差异

图 4：预定义路径与动态决策路径对比

图表加载中…

替代文本： Workflow 根据代码预设条件进入固定步骤；Agent 则让模型根据目标和 Observation 动态选择 Tool，但循环仍受 State 和确定性终止条件约束。

读图结论： 步骤稳定、错误代价高时优先 Workflow；只有确实需要依据未知中间结果改变路径时，才引入由 Agent 驱动的动态循环。注意，存在 Loop 本身不等于系统就是 Agent。

5.5 Long Context、RAG 与 Fine-tuning 的知识进入方式

图 5：三种方案分别把资料放入 Context、检索链路或模型参数

图表加载中…

替代文本： Long Context 每次直接携带所需的有界资料；RAG 从大语料中选取证据再放入 Context；Fine-tuning 使用稳定训练样本更新权重或适配器，从而改变模型行为。

读图结论： Long Context 适合有界且需要整体分析的资料，RAG 适合大规模和动态事实，Fine-tuning 适合固化稳定行为；三者可以组合，不是互斥替代关系。

6. 名词词典

6.1 模型与推理基础

名词	解释	主要作用	典型使用场景	边界与易混概念
人工智能（Artificial Intelligence, AI）	让机器表现出感知、理解、决策或生成等智能行为的总称。	定义整个领域的目标范围。	推荐、视觉、机器人、LLM 应用。	AI 不等于 ML，更不等于 LLM；规则系统也可能属于 AI。
机器学习（Machine Learning, ML）	让系统从数据中学习规律，而不是为每种输入手写规则。	建立预测、分类、排序或生成能力。	风控、推荐、销量预测、文本分类。	ML 是实现 AI 的一种方式，不覆盖全部 AI。
深度学习（Deep Learning, DL）	使用多层神经网络自动学习复杂数据表示。	处理图像、语音、文本等高维非结构化数据。	目标检测、语音识别、LLM。	DL 是 ML 的子集，不是所有 ML 都使用神经网络。
生成式 AI（Generative AI）	根据条件生成文本、图像、音频、视频或代码的 AI。	从“判断已有内容”扩展到“产生新内容”。	对话、文生图、代码生成、视频生成。	生成不代表真实；它不同于只返回已有记录的检索系统。
基础模型（Foundation Model）	在大规模广泛数据上预训练、可适配多种下游任务的模型。	复用通用能力，降低单任务从零训练的成本。	LLM、视觉基础模型、多模态模型。	基础模型不一定是语言模型，也不代表无需适配和评测。
大语言模型（Large Language Model, LLM）	主要通过学习 Token 序列分布来理解和生成语言的大规模模型。	提供文本理解、生成、代码和一定的推理能力。	问答、摘要、抽取、RAG、Agent。	LLM 不是数据库、搜索引擎或事实保证器。
多模态模型（Multimodal Model）	能处理或生成文本、图像、音频、视频等多种模态的模型。	建立跨模态理解、对齐和转换能力。	图片问答、语音助手、视频分析。	要区分原生多模态模型与 OCR、ASR、LLM 的流水线拼装。
模型参数与权重（Parameters / Weights）	模型训练后保存的数值，用来决定输入如何变换为输出。	承载模型通过训练学到的统计模式。	预训练、微调、量化、模型部署。	参数不是可直接查询的知识记录；“参数量大”也不自动等于效果更好。
Transformer	主要通过注意力机制建模序列关系的神经网络架构。	支持并行训练并捕获长距离依赖。	LLM、视觉 Transformer、语音模型。	Transformer 是架构，不等于 LLM；LLM 还包含训练数据、目标和推理系统。
注意力机制（Attention）	根据 Query 与 Key 的相关性，对 Value 加权聚合。	动态选择当前计算最相关的信息。	自注意力、交叉注意力、多模态对齐。	Attention 权重不等于严格的因果解释。
Token	模型实际读取和生成的离散单位。	作为模型序列、上下文长度和常见计费单位。	Token 预算、文本切分、流式生成。	Token 不一定等于一个字、单词或字符。
分词器（Tokenizer）	在文本与 Token ID 之间转换的编码器。	把自然语言变成模型可处理的离散输入。	输入预处理、Token 计数、长度控制。	Tokenizer 通常与模型绑定；它不负责生成语义 Embedding。
向量表示（Embedding）	把文本、图片等对象映射为可计算相似度的稠密向量。	支持语义检索、聚类、推荐和去重。	RAG、相似问题匹配、语义搜索。	Embedding 是表示，不是答案、知识库或生成模型。
推理（Inference）	使用已训练模型，根据输入计算输出的过程。	把模型能力转化为在线或离线服务。	对话生成、分类、Embedding 计算。	推理不同于训练；中文语境中“推理”也可能指 reasoning，需结合上下文区分。

进一步学习：Token 与 Embedding、Attention 与 Transformer、LLM 推理与服务优化。

6.2 Prompt、生成与输出控制

名词	解释	主要作用	典型使用场景	边界与易混概念
提示词（Prompt）	一次模型调用中提供的指令、问题、上下文、示例和约束。	告诉模型做什么、依据什么、怎样输出。	问答、摘要、抽取、代码生成。	Prompt 是本次输入，不是训练，也不等于 Skill 或 Workflow。
系统、开发者与用户指令（System / Developer / User Instructions）	不同来源和优先级的模型指令层。	分离平台规则、应用规则和用户请求。	企业助手、多租户应用、受控 Agent。	角色名称与具体优先级依提供商而异；应用仍需服务端权限控制。
提示工程（Prompt Engineering）	对 Prompt 进行设计、实验、评测、版本化和优化。	提升任务表达的清晰度、稳定性与可测试性。	分类、抽取、客服、Agent 指令。	不是单纯“写得更长”，也不能替代数据、模型和系统工程。
提示模板（Prompt Template）	带变量占位符、可重复填充的标准化 Prompt。	复用提示结构并支持版本管理。	批量摘要、报告生成、消息分类。	模板不是 Workflow；变量仍需分隔、转义和校验。
零样本与少样本（Zero-shot / Few-shot）	Zero-shot 只给任务说明；Few-shot 再给少量输入输出示例。	用示例校准格式、边界和判断标准。	分类、抽取、风格模仿。	Few-shot 属于上下文学习，不更新模型权重。
上下文学习（In-Context Learning, ICL）	模型根据当前 Prompt 中的指令和示例临时适配任务。	无需训练即可改变本次调用的行为。	临时分类规则、格式迁移、示例驱动生成。	它不会把能力永久写入模型；跨会话需重新提供上下文。
思维链（Chain-of-Thought, CoT）	通过中间推理步骤帮助模型处理复杂问题的提示方法。	支持数学、逻辑和多步问题分解。	复杂推理、规划、检查过程。	展示的推理文本不保证忠实反映内部机制；生产中更适合索要简洁依据和可验证中间结果。
结构化输出（Structured Outputs）	让模型输出匹配预定义 Schema 的机器可消费数据。	降低自由文本解析的不确定性。	信息抽取、UI 数据、工作流中间态。	结构合法不代表事实或业务语义正确。
JSON Schema	描述 JSON 对象字段、类型、必填项、枚举和嵌套结构的规范。	为结构化输出与 API 边界提供确定性契约。	表单抽取、工具参数、接口返回。	Schema 只校验支持的结构和值域，不能独立验证自然语言事实。
函数调用或工具调用（Function / Tool Calling）	模型按照工具定义生成工具名称和结构化参数，由运行时决定是否执行。	连接自然语言决策与程序能力。	查库、搜索、创建工单、执行计算。	模型提出调用不等于工具已执行；鉴权、幂等、超时和结果回传在应用侧。
Temperature 与 Top-p	Temperature 调整概率分布尖锐程度；Top-p 限定累计概率候选集合。	控制生成的稳定性和多样性。	稳定抽取、创意写作、候选生成。	低温不保证绝对确定；部分推理模型可能限制或弱化这些参数。
幻觉（Hallucination）	模型生成缺少依据、与事实冲突或凭空捏造的内容。	定义生成系统必须治理的质量风险。	知识问答、引用、数据分析。	错误答案也可能来自检索、数据、工具或业务逻辑，不能全部归因于模型。
事实锚定（Grounding）	让回答显式依赖给定文档、数据库、工具结果或其他可查证证据。	降低无依据生成并增强可追溯性。	RAG、联网搜索、企业问答。	Grounding 降低风险但不保证检索、推理和引用一定正确。

进一步学习：Prompt 与结构化输出。

6.3 Context、State、Memory 与缓存

名词	解释	主要作用	典型使用场景	边界与易混概念
上下文（Context）	模型一次生成时实际可见的指令、消息、文档片段、工具定义和工具结果。	为本次决策提供任务信息与证据。	多轮对话、RAG、Agent Loop。	数据即使存于数据库，未被选入本次调用也不属于模型 Context；应用本地 Context 是另一个概念。
上下文窗口（Context Window）	模型单次调用可处理的 Token 容量边界。	限制一次调用能携带的输入、历史和输出规模。	长文总结、长对话、代码分析。	不同提供商对输入与输出的计数口径可能不同；窗口更大也不等于全部信息都能被同等有效利用。
长上下文（Long Context）	利用较大的 Context Window，在一次调用中直接提供较多原始材料。	保留跨章节、跨文件的整体信息，减少额外检索链路。	整份合同分析、有界代码库理解、少量长文档对比。	它是推理时容量与输入策略，不是 Memory；成本、延迟和注意力稀释使其不能普遍替代 RAG。
上下文工程（Context Engineering）	系统性选择、检索、排序、压缩和组织模型真正需要的信息。	提高相关信息密度，控制噪声、成本与遗忘。	RAG、长任务、复杂 Agent。	比 Prompt Engineering 更广，还涉及记忆、工具结果、状态和压缩策略。
会话与对话（Session / Conversation）	组织一段跨多轮交互的身份、消息和生命周期容器。	支持连续交互、历史管理与会话级配置。	客服、个人助手、协作任务。	保存完整历史不代表每条历史都会进入当前 Context。
运行状态（State）	完成或恢复当前任务所需的结构化事实，如步骤、预算、结果、错误和版本。	保证流程可恢复、可并发控制、可审计。	审批、长任务、Agent 工具循环。	State 是运行时事实，不应只存在模型 Context 中，也不等于 Memory。
工作记忆（Working / Short-term Memory）	当前任务期间保留的计划、中间结论、待办和临时偏好。	支持跨步骤连续推理。	多步分析、研究和编码 Agent。	不应直接等同完整聊天记录；需要选择、压缩和失效。
长期记忆（Long-term Memory）	跨会话持久保存，并在需要时重新检索的事实、偏好或经验。	支持个性化和长期任务连续性。	用户偏好、历史案例、稳定工作习惯。	不等于模型权重或普通知识库；需要来源、权限、TTL、更正和删除机制。
上下文压缩（Compaction / Context Compression）	对较早或低价值信息做摘要、裁剪、去重或结构化。	控制上下文占用、成本和长任务退化。	长对话、长时间 Agent Run。	压缩会损失细节，应保留可回查的原始证据和恢复状态。
KV Cache 与 Prompt Cache	KV Cache 复用同一生成过程中的注意力中间状态；Prompt Cache 复用跨请求的相同前缀计算。	减少重复计算、降低延迟或费用。	长文本生成、固定系统指令、高频请求。	两者都不等于缓存最终业务响应，生命周期和命中规则也不同。

进一步学习：Agent 核心机制、LLM 推理与服务优化。

6.4 检索与 RAG

名词	解释	主要作用	典型使用场景	边界与易混概念
检索增强生成（Retrieval-Augmented Generation, RAG）	先从外部数据源检索证据，再把证据放入 Context 生成回答。	补充私有、实时、可更新和可追溯知识。	企业知识库、客服、法规问答。	RAG 不修改模型权重，也不能自动保证召回和答案正确。
知识库与语料库（Knowledge Base / Corpus）	经治理、可检索的源文档、业务记录或数据集合。	为检索系统提供事实来源。	产品文档、制度、工单、代码库。	知识库不是 Vector DB；后者只是可能的存储与检索组件。
数据摄取（Ingestion）	对原始数据进行解析、清洗、标准化、切块、元数据增强和索引构建。	把业务数据变成可检索资产。	PDF、网页、数据库和代码同步。	Ingestion 多为离线或准实时链路，不是在线检索本身。
文档切块（Chunking）	将长文档拆成适合召回和放入 Context 的语义片段。	平衡召回粒度、语义完整性和 Token 成本。	文档 RAG、代码检索、会议记录。	不应只机械固定长度；要考虑标题、段落、表格和重叠边界。
向量数据库（Vector Database / Vector Store）	存储 Embedding、原文和元数据，并支持向量相似度检索的系统。	支撑大规模语义候选召回。	RAG、推荐、相似内容搜索。	它不会自动完成切块、权限、重排、生成和评测。
向量索引与近似最近邻（Vector Index / ANN）	用索引结构近似寻找与查询向量最相近的候选。	在召回率、速度、内存和构建成本之间取舍。	HNSW、IVF 等向量检索。	索引是数据结构或算法；Vector DB 是更完整的存储服务。
稠密检索（Dense Retrieval）	使用 Embedding 相似度召回语义相关内容。	处理同义表达、自然语言改写和语义近似。	问答、语义搜索。	对编号、罕见词、精确数字可能弱于关键词检索。
稀疏检索与 BM25（Sparse Retrieval / BM25）	根据词项匹配、词频和文档统计检索内容。	擅长精确关键词、型号、错误码和专有名词。	日志、法规条款、产品编号检索。	通常不使用稠密 Embedding，语义泛化能力相对有限。
混合检索（Hybrid Retrieval）	同时使用稠密与稀疏检索，并融合两组排序结果。	兼顾语义相关性与精确词项匹配。	企业知识库、代码搜索。	简单拼接不等于最佳融合；权重、去重和融合算法需评测。
元数据过滤（Metadata Filtering）	按租户、权限、时间、类型、语言等字段限制候选范围。	提高相关性并落实数据访问边界。	多租户、部门知识库、时效查询。	过滤负责候选范围，不等于 Reranking；权限最好在检索前强制执行。
查询改写与扩展（Query Rewriting / Expansion）	对用户问题进行补全、分解、同义扩展或生成多个检索查询。	改善模糊、口语化和多意图问题的召回。	对话式搜索、多跳问答。	改写可能偏离原意，应保留原查询并用评测验证收益。
重排（Reranking）	对初次召回候选做更精细的相关性判断并重新排序。	提高最终送入模型的证据质量。	Cross-Encoder、LLM Reranker。	Reranker 无法找回召回阶段完全遗漏的文档，并会增加延迟和成本。
检索与 RAG 评测（Retrieval / RAG Evaluation）	分别评估召回、排序、证据质量、引用和最终回答。	定位问题在数据、检索、上下文构造还是生成。	Recall@K、MRR、nDCG、Faithfulness、人工评审。	不能只看最终答案，也不能只依赖 LLM-as-a-Judge。

进一步学习：RAG 基础链路、RAG 检索优化、RAG 评测与生产工程。

6.5 Agent 与执行系统

名词	解释	主要作用	典型使用场景	边界与易混概念
智能体（Agent）	由模型驱动决策，能围绕目标多步选择行动、调用工具、读取反馈并决定结束的系统。	把一次生成扩展为可执行、可反馈的多步任务。	研究、编码、运维、业务自动化。	单轮聊天、一次 Tool Calling 或固定调用链不一定是 Agent。
工具（Tool）	Agent 可调用的外部能力，通常包含名称、描述、输入 Schema 和执行实现。	让模型查询真实数据或改变外部世界。	搜索、数据库、Shell、发送消息。	Tool 是可执行能力；模型一般只提出调用，运行时才真正执行。
技能（Agent Skill）	可按需加载、可版本化的指令与资源包，可包含 SKILL.md、脚本、模板和参考资料。	把组织经验和任务方法封装成可复用工作流知识。	文档处理、代码审查、行业操作流程。	Skill 不等于单个 Prompt 或 Tool；具体目录和加载方式依平台而异。
插件（Plugin）	在特定生态中用于分发 Skill、Connector、MCP 配置或其他扩展能力的安装包。	把可复用能力交付给其他用户或工作区。	团队工具包、第三方集成、能力市场。	Plugin 是生态相关的分发概念，不是统一的 Agent 行业标准。
连接器（Connector）	把 AI 应用接入外部服务、数据源或账号会话的适配层。	复用认证与集成能力，读取或操作外部系统。	邮件、日历、网盘、CRM。	Connector 不是模型推理能力，也不自动等于 MCP Server。
模型上下文协议（Model Context Protocol, MCP）	标准化 AI 客户端与外部 Server 之间发现和使用 Tool、Resource、Prompt 的开放协议。	降低不同 AI 客户端与数据、工具系统的集成成本。	GitHub、数据库、文档系统、内部服务接入。	MCP 不是 Agent、RAG 或权限体系；业务 API、认证和授权仍需单独设计。
工作流（Workflow）	由代码或 DAG 预先定义节点、条件、分支和状态转移的流程。	提供稳定、可预测、可审计的业务控制流。	审批、ETL、报告生成、固定媒体流水线。	Workflow 的主要控制权在代码；Agent 的下一步更依赖模型和中间观察。
Agent 循环（Agent Loop）	重复执行“观察或取上下文 → 决策或规划 → 行动 → 读取结果 → 判断终止”。	支持多步工具调用、动态纠错和持续执行。	编码 Agent、研究 Agent、浏览器 Agent。	必须有最大步数、时间、Token、费用、重复检测和人工暂停；Loop 单独出现时要确认语境。
ReAct（Reason + Act）	在循环中交替进行推理、工具行动和结果观察的 Agent 模式。	让下一步依据真实环境反馈调整。	搜索问答、网页操作、故障排查。	ReAct 是一种模式，不是所有 Agent 的唯一架构。
规划器（Planner / Planning）	将总体目标拆成步骤、依赖、约束和验收条件。	帮助管理长流程和复杂任务。	深度研究、软件开发、旅行规划。	计划是暂定策略，执行中应允许校验、重排和重新规划。
路由器与编排器（Router / Orchestrator）	Router 选择模型、工具或 Agent；Orchestrator 管理生命周期、依赖、并行、状态和汇总。	将任务交给合适执行者并协调全过程。	多模型、多 Agent、混合 Workflow。	Router 只是编排的一部分；两者职责不应混写。
Agent 支撑系统（Agent Harness）	包围模型与 Agent Loop 的工程支撑系统，负责上下文、工具分发、环境、权限、状态、反馈、评测和终止。	把模型能力变成可重复、可验证、可恢复的执行能力。	编码 Agent、长时间任务、Agent 平台。	工程约定词，非统一标准组件名；Evaluation Harness 则主要负责批量运行基准与评分。
运行时与环境（Runtime / Environment）	Agent 动作实际运行的进程、容器或虚拟机，以及文件、网络、依赖和凭证边界。	承载工具执行并返回环境观察。	Shell、浏览器、代码执行容器。	Runtime 是执行层，不是模型、Prompt 或 Skill。
沙箱（Sandbox）	对文件、网络、进程、凭证和系统调用进行隔离与限制的执行环境。	缩小不可信代码或工具操作的影响范围。	代码执行、浏览器 Agent、文件处理。	沙箱降低风险但不是绝对安全；错误配置、数据外带和逻辑越权仍需治理。
子智能体与多智能体（Subagent / Multi-Agent）	将任务拆给一个或多个具有独立角色、上下文或工具的 Agent 协作。	实现专业分工、并行处理和独立审查。	研究、编码、复杂系统分析。	会增加通信、冲突、成本和上下文丢失，不必然优于单 Agent。
任务移交（Handoff）	将后续控制权、必要上下文和责任转交给另一个 Agent 或执行者。	支持专长切换和责任边界。	分诊、客服升级、多 Agent 协作。	把子 Agent 当 Tool 调用时，主 Agent 仍保留控制权，不属于完整 Handoff。
人在回路（Human-in-the-Loop, HITL）	在不确定或高风险节点暂停自动执行，引入人工补充、批准或判断。	控制高风险副作用并处理模型能力边界。	付款、发布、删除、医疗或财务场景。	不是所有步骤都人工复核；应把人工注意力放在高价值决策点。
检查点（Checkpoint）	持久化任务状态、中间产物和执行位置，以便暂停、恢复、重试和审计。	提高长任务容错和可恢复性。	Durable Workflow、长时间 Agent。	Checkpoint 不只是日志，必须包含恢复所需的状态与版本。
防护栏（Guardrails）	对输入、输出、工具参数和策略进行检查、变换、阻断或升级人工。	控制内容安全、格式、相关性和业务规则。	注入检测、结构校验、工具白名单。	Guardrail 是纵深防御，不等于服务端鉴权，也不能只靠 Prompt。
最小权限（Least Privilege）	只给主体完成当前任务所需的最少资源、动作、时间和数据权限。	限制误操作、越权和注入攻击的影响面。	Agent Tool、数据库、文件、云账号。	“模型说需要”不是授权证据；权限必须由确定性系统判断。

进一步学习：Agent 核心机制、Agent 工程化与安全。

6.6 训练、微调与对齐

名词	解释	主要作用	典型使用场景	边界与易混概念
预训练（Pretraining）	在大规模数据上用自监督等目标学习通用表示和生成能力。	形成基础模型的广泛能力。	从零训练基础模型、继续预训练领域语料。	资源成本高；它不同于针对具体任务的小规模微调。
微调（Fine-tuning）	在已有模型参数基础上，使用目标数据继续训练以调整行为。	固化任务能力、格式、风格或领域模式。	分类、行业术语、稳定输出风格。	不适合承载频繁变化的事实知识；动态知识通常优先 RAG。
指令微调与监督微调（Instruction Tuning / SFT）	使用“指令—期望回答”样本监督训练模型。	让模型更好地遵循任务指令和输出示例。	助手模型、领域问答、格式适配。	效果受数据质量和覆盖面制约；它不等于偏好对齐。
参数高效微调（Parameter-Efficient Fine-Tuning, PEFT）	只训练少量新增或选定参数，而非更新全部模型权重。	降低显存、训练成本和多任务适配开销。	多租户适配、资源受限微调。	PEFT 是方法族，LoRA 是其中一种具体方法。
LoRA（Low-Rank Adaptation）	用低秩矩阵近似权重更新，并训练这些适配参数。	以较小训练量适配模型行为。	领域风格、指令遵循、图像生成模型适配。	LoRA 不等于量化，也不会天然解决知识实时性。
基于人类反馈的强化学习（RLHF）	用人类偏好数据训练奖励或偏好信号，再优化模型行为。	提升有用性、安全性和对人类偏好的符合程度。	通用助手对齐。	工程链路复杂，结果依赖偏好数据与奖励建模；不是唯一对齐方法。
直接偏好优化（Direct Preference Optimization, DPO）	直接用偏好对比较优与较差回答，优化模型相对偏好。	以较简单流程进行偏好对齐。	助手风格、安全与领域偏好。	DPO 不等于 SFT，也不保证覆盖偏好数据之外的安全行为。
对齐（Alignment）	让模型行为更符合人类意图、规则、价值和安全要求的总称。	控制可用性、拒答边界和风险。	助手、企业模型、安全模型。	对齐不只是 RLHF，也不能替代应用层权限与审计。
知识蒸馏（Knowledge Distillation）	用较强教师模型的输出或分布训练更小的学生模型。	降低部署成本并转移部分能力。	边缘部署、专用小模型、加速推理。	学生通常不能完整继承教师能力，且可能继承教师错误。
量化（Quantization）	用更低精度表示权重、激活或缓存。	降低显存、存储和计算成本。	本地部署、高吞吐推理、边缘设备。	精度、速度和硬件支持需实测；量化不等于蒸馏或微调。

进一步学习：LLM 预训练、微调与对齐、LLM 推理与服务优化。

6.7 评测、可靠性与安全

名词	解释	主要作用	典型使用场景	边界与易混概念
评测、黄金集与基准（Evals / Golden Set / Benchmark）	Evals 是系统化测试过程；Golden Set 是代表性标注样本；Benchmark 是标准化比较集合。	衡量回归、方案差异和发布质量。	Prompt、模型、RAG、Agent 上线门禁。	离线分数只是代理指标，不能完全替代线上业务反馈。
离线评测与在线评测（Offline / Online Evaluation）	离线评测在固定数据集重放；在线评测观察真实流量、反馈或 A/B 实验。	分别支持低风险迭代与真实业务验证。	模型升级、Prompt 灰度、RAG 方案比较。	线上指标受流量和产品变化影响；离线集也会过拟合和过期。
可观测性与链路追踪（Observability / Tracing）	记录模型调用、检索、工具、状态、Token、延迟、错误和因果关系。	支持排障、评测、成本分析与审计。	生产 RAG、Agent、异步任务。	不只是打印日志；还要有 Run ID、Trace、Metric、Artifact 和脱敏策略。
延迟与首 Token 时间（Latency / TTFT）	Latency 是端到端耗时；TTFT 是用户收到第一个 Token 前的等待时间。	衡量响应速度和交互体验。	流式对话、实时助手。	流式输出改善感知延迟，但不一定降低总耗时。
吞吐与并发（Throughput / Concurrency）	吞吐是单位时间完成的请求或 Token 数；并发是同时处理的任务数。	评估系统容量、资源利用和扩缩容需求。	批量生成、高流量 API、模型服务。	QPS、并发和 Token 吞吐不能直接互换。
限流（Rate Limit）	限制单位时间或并发中的请求、Token、工具动作或费用。	保护依赖、控制公平性和预算。	模型 API、搜索、数据库、外部工具。	限流不是超时；客户端应处理 Retry-After、排队和背压。
超时（Timeout）	为单步或整次运行设置最大等待时间。	防止依赖卡死和任务无限占用资源。	模型调用、工具调用、Agent Run。	超时后结果可能不确定，尤其有副作用的操作应先对账而非盲目重试。
重试与退避（Retry / Backoff）	对可恢复的瞬时失败有限次重试，并逐步延长等待且加入抖动。	缓解网络抖动、临时 5xx 和限流。	API、异步任务、工具执行。	参数、权限和安全错误不应原样重试；副作用需配合幂等。
幂等性（Idempotency）	同一业务意图执行一次或多次，最终外部效果等同一次。	让重试、恢复和重复回调更加安全。	支付、发消息、创建订单、发布。	幂等不是重试机制；通常需要幂等键、唯一约束和结果对账。
熔断与降级（Circuit Breaker / Degradation）	依赖持续失败时暂时停止调用，并切换到缓存、较弱能力或人工路径。	防止故障扩散并保住核心服务。	模型供应商故障、检索不可用、工具超时。	降级必须显式标记能力变化，不能把低质量结果伪装为正常结果。
Token 与成本预算（Token / Cost Budget）	为输入、输出、工具步数、时间和费用设置上限。	防止上下文膨胀、循环失控和成本失控。	Agent Loop、批处理、长文生成。	预算不是质量指标，但应参与终止、压缩和降级策略。
提示注入、越狱与数据外泄（Prompt Injection / Jailbreak / Data Exfiltration）	注入利用不可信内容干扰指令；越狱试图绕过策略；外泄使敏感数据离开授权边界。	定义 LLM 与 Agent 的主要攻击面。	网页 RAG、邮件 Agent、工具调用。	三者相关但不相同，无法只靠“更强 Prompt”解决；需最小权限、隔离与输出控制。
数据、Prompt 与模型漂移（Data / Prompt / Model Drift）	输入分布、语料、提示或模型版本变化，导致系统行为偏移。	解释线上效果随时间退化或突变。	模型升级、知识库更新、业务季节变化。	不能只看总成功率；应按版本、输入类型、阶段和依赖切分指标。

进一步学习：RAG 评测与生产工程、Agent 工程化与安全、AI 应用系统设计。

7. 实际项目案例

以下都是示例项目，只用于说明词语怎样组合，不代表仓库已有真实业务指标。

示例场景	应优先组合的概念	为什么	关键失败与验证
企业制度问答	RAG、Chunking、Hybrid Retrieval、Metadata Filtering、Reranking、Grounding	知识私有、需要权限且经常更新，不适合只依赖模型权重。	检查权限前置、Recall@K、引用对应关系、无证据拒答和语料版本。
合同字段抽取	Prompt、Structured Outputs、JSON Schema、业务校验	任务路径固定，只需把文本变成稳定字段，不必引入 Agent。	检查缺失、冲突、注入、Schema 合法但字段事实错误。
编码 Agent	Skill、Harness、Agent Loop、Tool、Sandbox、Checkpoint、Trace	任务要读仓库、执行命令、根据测试反馈多轮调整。	限制文件和网络权限；设置预算、终止条件；用真实构建与测试验收。
高风险退款助手	Workflow、Agent、HITL、Least Privilege、Idempotency、Reconciliation	模型可辅助理解和建议，但真实退款必须受确定性流程控制。	批准绑定动作参数；重复调用不重复退款；超时后先查真实结果。
高频领域分类	Prompt 基线、Golden Set、SFT 或 LoRA、Online Evaluation	当规则稳定、样本充足且调用量大时，可评估是否用微调固化行为。	先与 Prompt 基线比较；关注长尾、漂移、版本回滚和数据泄漏。

7.1 技术清单与证据边界

本词典解释的是概念和组合关系，不绑定 LangChain、LlamaIndex、某个模型 SDK 或某种向量数据库。下表选择四个贯穿应用链路的技术点建立参考验证栈，候选方案用于理解选型边界，不代表本仓库存在对应运行时依赖。

技术点 ID	技术点/环节	类型	采用方案	链路职责	版本/证据边界
TP-01	外部知识进入模型	知识增强架构	参考采用带权限过滤、引用和评测的 RAG	在不修改模型权重的前提下检索动态私有知识并构造 Context	RAG 是架构模式而非单一库；检索器、模型和数据库版本必须由真实项目证据确认
TP-02	多步骤执行编排	控制与执行架构	高风险主路径采用确定性 Workflow，开放子任务再由受控 Agent + Harness 决策	管理步骤、工具权限、状态、预算、终止和恢复	概念不绑定 Agent 框架；能否可靠执行必须用代码、权限配置和 Trace 验证
TP-03	工具与外部能力接入	接口与协议	参考按边界选择原生 SDK/REST 或 MCP，并统一经过 Tool 权限层	把模型动作转换为有 Schema、权限和审计的外部调用	MCP、SDK 和 API 能力会随版本变化；本文只说明角色，不声明具体产品默认行为
TP-04	会话状态与长期信息	状态组件	短期 Context 与外部 State/Memory 分层，Knowledge Base 单独治理	分离本轮输入、可恢复流程状态、跨会话记忆和可检索事实	存储实现取决于一致性、隐私和检索要求；词典不指定数据库或缓存产品

7.2 横向对比与选型

技术点 ID	候选方案	优点	缺点/代价	适用场景	不适用场景	选择结论与依据
TP-01	RAG	语料可独立更新、可引用、可在检索前做权限过滤	依赖切块、召回、重排和上下文构造；错误证据仍会误导生成	私有、动态、需要来源的知识问答	主要问题是稳定行为、风格或输出习惯时	动态事实优先 RAG，并以检索和回答两层评测证明价值
TP-01	SFT/LoRA	能把稳定行为或领域表达写入参数，减少重复示例上下文	训练、回滚和数据治理成本高，不适合频繁变化事实	样本充足、任务稳定、行为模式需要固化	高频更新知识、需要逐条引用或严格文档权限	只有 Prompt/RAG 基线不足且离线、在线评测支持时才采用
TP-02	确定性 Workflow	路径可预测、容易审计、重试与补偿边界清晰	对开放环境适应性弱，分支增多后维护成本上升	支付、退款、审批、固定数据流水线	下一步必须根据未知环境动态决定时	高风险主路径默认采用，模型只在受约束节点提供判断
TP-02	Agent + Harness	能根据观察动态规划并选择工具，适应开放任务	行为不确定、成本和循环风险高，需要权限、预算、状态和恢复层	编码、研究、复杂排障等开放任务	固定且高风险的副作用链路	仅在动态决策带来的价值超过治理成本时采用，并限制动作集合
TP-03	原生 SDK/REST API	能力边界直接、供应商文档和调试链通常更明确	多供应商接入会形成不同认证、Schema 和错误语义	单一服务、需要完整专有能力或性能调优	大量工具需统一发现与调用契约时	单一关键依赖优先原生接入，再在内部适配权限和审计接口
TP-03	MCP	用统一协议暴露工具、资源和提示，降低客户端与多工具耦合	仍需服务端实现、认证和权限治理；不抹平底层语义差异	多客户端复用工具或需要动态发现能力	只有一个简单 API，或底层特性无法通过通用契约表达时	生态复用收益明确时采用；高风险动作仍需独立授权和审计
TP-04	仅依赖模型 Context	实现简单，本轮信息对模型直接可见	容量和成本受限，压缩会丢细节，无法天然支持跨会话恢复	短会话、无长期状态或敏感持久化需求	长流程、跨会话、需精确恢复和审计	只承载本轮必要信息，不把它误当数据库或可靠状态机
TP-04	外部 State/Memory/Knowledge Base 分层	可按一致性、生命周期、权限和检索方式独立治理	组件更多，需要版本、删除、冲突和隐私策略	长任务、跨会话个性化、可恢复流程和企业知识	一次性简单问答或无法承担治理成本时	需求出现持久化、恢复或权限边界后采用，并明确每类信息的唯一事实源

7.3 应用链路架构

图：架构｜模型、Harness、知识、状态与工具的职责边界

替代文本： 用户请求先进入 Harness；Harness 组装 Prompt、Context 和短期状态并调用模型，模型只能提出检索或工具意图；知识层负责 RAG，工具层负责 Schema、权限和执行，状态层保存可恢复事实，可观测层汇总各阶段 Trace 与版本。

图表加载中…

读图结论： Model 只是生成和建议组件；可靠 AI 应用还需要 Harness 约束控制流、知识层提供证据、工具层守住副作用、状态层支持恢复，并由 Trace 串联证据。

架构图把容易混用的名词放回静态职责边界：Context 是本轮输入，State/Memory 是外部持久信息，RAG 是知识进入路径，Tool/MCP 是能力接入路径。

7.4 受控 Agent 技术调用流程

图：技术调用流程｜检索、工具授权与失败恢复的受控执行顺序

替代文本： Harness 先加载状态并让模型提出下一动作；知识问题先经过权限过滤的检索，工具动作必须经过 Schema 和授权校验，正常时执行并把观察反馈给模型，权限拒绝或超时未知时停止盲目重试并进入拒绝、对账或人工路径。

图表加载中…

读图结论： 受控 Agent 的关键不是模型能调用多少工具，而是每次检索和副作用都经过权限、状态、预算和结果对账；超时未知不能被当成普通失败直接重试。

调用流程图展示动态关系：Model 只能提出意图，Harness 决定是否继续，知识层返回证据，工具层执行授权动作，外部系统的真实状态优先于调用方是否收到响应。

8. 方案权衡与常见误区

8.1 Prompt、RAG、微调、Workflow 与 Agent 怎么选

主要问题	优先手段	原因	不应期待它解决
任务说明不清、格式不稳	Prompt + Structured Outputs	改动小、验证快	私有实时知识和工具权限
需要私有、实时、可引用知识	RAG	知识可独立更新和追溯	自动修复低质量语料和错误召回
需要固化稳定行为或风格	SFT / PEFT / LoRA	行为进入参数，减少重复上下文	高频变化事实和外部副作用
步骤稳定、错误代价高	Workflow	路径可预测、易审计	开放环境中的动态决策
必须根据中间观察动态行动	Agent + Harness	能在受控循环中重新决策	无边界自治和零风险执行

8.2 高频相近概念详细对比

8.2.1 Context、State、Memory、Knowledge Base 与 Cache

概念	核心问题	模型本轮是否直接可见	是否是任务恢复真相源	典型生命周期	核心治理
Context	模型这一次实际看到了什么？	是	否	单次模型调用	Token、相关性、顺序、压缩、敏感数据
State	当前任务真实执行到哪里？	只有被投影的必要字段可见	是	一次 Run 或 Workflow	一致性、版本、并发、Checkpoint、恢复
Working Memory	当前任务还有哪些中间信息要复用？	被加载后可见	通常否，可作为 State 的一部分	当前任务或当前 Run	选择、去重、过期、错误中间结论
Long-term Memory	哪些偏好或经验以后还要想起？	只有被召回后可见	否	跨步骤或跨会话	来源、授权、TTL、更正、删除、隐私
Knowledge Base	领域事实从哪里查询？	只有被检索的片段可见	否，但可作为领域事实来源	随业务语料版本长期演进	权限、新鲜度、切块、索引、引用
Cache	哪些计算或结果可以暂时复用？	只有命中且被注入的内容可见	否	由 Key、TTL 和版本决定	租户隔离、失效、污染、命中正确性
Trace / Log	系统实际上发生了什么？	通常不可见，排障时才选择性注入	否	按审计和保留策略	关联 ID、完整性、脱敏、访问控制

判断口诀： Context 是本轮输入投影，State 是运行真相，Memory 是可复用历史，Knowledge Base 是外部事实源，Cache 是临时复用，Trace 是执行证据。

8.2.2 Prompt、Skill、Tool、MCP、Connector、Plugin、Harness 与 Runtime

概念	本质	主要回答的问题	是否等于真实业务动作	典型载体	最关键边界
Prompt	本次调用的任务输入	这一次要模型做什么？	否	消息、模板、示例、约束	不会永久写入模型，也不等于可复用工作流包
Skill	可按需加载的方法与资源包	某类任务应该怎样做？	否；其中脚本仍需 Runtime 授权执行	SKILL.md、脚本、模板、参考资料	主要提供程序性知识，不自动获得新权限
Tool	可调用的执行接口	Agent 能执行什么能力？	是，由 Runtime 或 Tool Service 执行	Function、API、Shell、Computer Tool	模型生成 Tool Call 不代表动作已经执行
MCP	Client 与 Server 的开放连接协议	外部能力怎样被标准发现和调用？	否；协议承载的 Tool 可能产生动作	MCP Host、Client、Server、JSON-RPC	不是 Tool、Connector、Plugin 或 Agent 框架
Connector	外部账号、数据或服务的适配层	怎样接入某个具体外部系统？	取决于暴露的是读还是写能力	认证、账号会话、API 映射	产品术语，可基于 MCP 或专用 API
Plugin	生态中的安装与分发单元	怎样交付、启停和组合扩展能力？	取决于内部组件	Manifest、安装包、市场条目	可能包含 Skill、Connector、MCP 配置，定义随产品变化
Harness	Agent 的运行与治理支撑系统	怎样让多步执行可控、可恢复、可观测？	不等于单项动作；负责校验、调度和反馈	Runner、Loop、State、权限、预算、Trace	不是模型、Prompt 或某个固定行业标准框架
Runtime / Environment	Tool 和脚本实际运行的位置	动作最终在哪里执行？	是，承载实际执行	进程、容器、VM、Sandbox	Runtime 是执行层，Harness 是更高层控制系统

判断口诀： Prompt 给本次要求，Skill 教方法，Tool 给能力，MCP 定连接协议，Connector 接服务，Plugin 管分发，Harness 管运行，Runtime 真执行。

8.2.3 Prompt、Long Context、RAG、Memory 与 Fine-tuning

方案	发生阶段	是否改权重	信息怎样更新	可否做来源引用	更适合	主要风险
Prompt	推理时	否	修改指令、示例和 Schema	仅在同时提供证据时可引用	任务定义、格式、边界和少量示例	指令冲突、版本回归、不能补充外部权限
Long Context	推理时	否	每次直接传入有界材料	可以，但需保留位置与来源标识	整份合同、少量长文档、有界代码集	Token 成本、延迟、注意力稀释、上下文拥挤
RAG	推理时加摄取与索引链路	否	更新语料、元数据和索引	较强，但必须校验引用与结论对应	私有、实时、大规模、需要权限和出处的事实	错误切块、召回遗漏、权限穿透、重排失效
Long-term Memory	运行时写入与召回	否	按记忆策略写入、更新、失效和删除	通常不应作为权威事实引用	用户偏好、历史经验、长期协作连续性	误记、过期、隐私、记忆投毒
Fine-tuning / PEFT / LoRA	训练时	是，或训练适配器	重新训练、评测并发布模型版本	通常不能给出事实级来源	稳定格式、语气、分类规则和重复行为	数据泄漏、过拟合、更新成本、把动态事实写入权重

选择原则： 教模型“本次做什么”用 Prompt；一次性给有限材料用 Long Context；提供动态事实用 RAG；跨会话复用偏好用 Memory；固化稳定行为才考虑 Fine-tuning。

8.2.4 Function Calling、Workflow、Agent、Loop、Orchestrator 与 Harness

概念	路径主要由谁决定	是否利用中间 Observation	State 与终止由谁管理	典型场景	最关键边界
Function / Tool Calling	模型提出某次结构化调用，外层代码决定后续	可选	外层应用	查询、计算、一次业务动作	是动作表达机制，不自动形成循环或 Agent
Workflow	代码、规则或 DAG	可以，但后续路径仍按预设分支	Workflow Engine	审批、ETL、固定报告流程	节点中使用 LLM 也不自动变成 Agent
Agent	模型结合目标和环境反馈动态选择行动	是	Harness、Runtime 与业务系统	研究、编码、开放环境任务	是完整系统概念，不只是一个循环函数
Agent Loop	模型调用、动作、Observation 和终止判断的控制循环	是	Loop Controller / Harness	多步 Tool Calling	Loop 不等于 Agent；固定 Evaluator Loop 也可能不是 Agent
Orchestrator	确定性编排逻辑协调模型、Agent、Tool 和并行依赖	是	Orchestrator 与 State Store	多模型、多 Agent、并行任务	负责任务协调，不一定亲自执行 Tool
Harness	确定性运行与治理代码	支撑所有阶段	Harness 管理预算、权限、Checkpoint、恢复和观测	生产 Agent 平台、编码 Agent	不决定全部业务路径，而是承载和约束其他组件

生产常见组合： 用 Workflow 提供确定性骨架，只在局部节点放入受预算和权限限制的 Agent，再由 Harness 统一管理状态、工具、恢复与观测。

8.2.5 Guardrail、Authentication、Authorization、HITL 与 Sandbox

机制	它回答的问题	主要执行层	典型机制	不能替代什么
Authentication	你是谁？	身份与接入层	登录、令牌、服务身份、签名	不能决定这个身份能访问哪些资源
Authorization / Least Privilege	你被允许对哪个资源做什么？	服务端业务与资源层	Role、Scope、资源级 ACL、最小权限	不能判断自然语言内容是否合规
Approval / HITL	人是否明确同意这次具体高风险动作？	Harness 与业务流程	动作摘要、参数指纹、过期时间、人工确认	不等于身份认证，也不能替代资源级授权
Guardrail	输入、输出或 Tool Call 是否符合语义和业务规则？	模型调用前后与工具入口	Schema、分类器、策略检查、阻断或升级	不是可靠安全边界，不能替代 Auth、Permission 或 Sandbox
Sandbox	即使代码或 Tool 有风险，影响范围被限制在哪里？	Runtime / Environment	文件、网络、进程、凭证和资源隔离	不能判断业务动作是否合理或用户是否有权读取数据
Audit / Trace	谁在何时因为什么执行了什么？	可观测与审计层	不可抵赖事件、关联 ID、Span、脱敏日志	主要用于追责和排障，不能事前阻止越权

推荐采用纵深防御，而不是寻找单一“万能安全层”：

图：机制｜高风险 AI 动作的纵深防御

替代文本： 请求先完成身份认证和资源级授权；高风险动作还要经过人工批准、语义与业务规则校验，再进入限制文件、网络、进程和凭证范围的沙箱执行。任一前置检查失败都拒绝执行，允许或拒绝结果统一进入审计链。

图表加载中…

读图结论： 每一层回答的问题不同；前层放行不代表后层安全，模型生成的“允许执行”也不能绕过服务端授权、人工批准或沙箱边界。

这条链不是简单串联的六个同义检查。Authentication 建立可信主体，Authorization 约束资源，Approval 确认具体副作用，Guardrail 检查内容与参数，Sandbox 限制最坏影响范围，Audit 则为对账、追责和复盘保留证据。

8.2.6 故障演练：把 Guardrail 误当 Authorization

• 现象与影响：模型输出通过内容安全检查，但回答引用了当前用户无权访问的其他团队文档，形成跨权限数据泄露。
• 定位证据：关联认证主体、资源 ACL、检索候选、缓存键、Guardrail 判定与最终引用，确认未授权文档在哪一层进入链路。
• 根因：系统只检查回答是否“安全合规”，没有在检索与读取层执行资源级授权，或缓存只按 tenant/role 隔离而没有绑定完整权限指纹。
• 临时止损：关闭受影响检索或缓存路径，阻断相关流量，撤销可疑访问并启动安全审计。
• 长期修复：由可信服务计算授权范围，各路召回 pre-filter，候选返回后二次授权；缓存绑定 entitlement 与 policy version，撤权主动失效。
• 回归验证：覆盖同租户同角色但文档权限不同、撤权、共享变更和缓存命中的越权用例，确认未授权内容不能进入候选或最终上下文。
• 防复发：将权限回归、异常跨主体命中和引用审计加入发布门禁；术语评审明确 Guardrail、Authorization 与 Sandbox 的责任边界。

8.3 高频错误说法

• “Prompt 越长越好”：真正目标是相关信息密度高、指令层级清楚且可评测；
• “Context 就是聊天记录”：Context 还可能包含检索证据、工具 Schema 和观察，历史也可能未被选入；
• “RAG 等于 Vector DB”：RAG 还包括摄取、切块、权限、召回、重排、上下文构造、生成和评测；
• “接了 Tool 就是 Agent”：没有动态循环、状态和终止规则时，可能只是一次 Tool Calling；
• “Skill 就是 Tool”：Skill 主要复用方法与资源，Tool 提供可执行接口；
• “Harness 是某个固定框架”：它是工程语境中的支撑系统总称，也可能指评测执行器；
• “Memory 越多越好”：错误、过期或无关记忆会污染决策，必须有写入、检索、失效和删除策略；
• “Guardrail 等于安全”：真正的权限、凭证和资源边界必须由模型外的确定性系统执行；
• “重试就能提高成功率”：不可重试错误和非幂等副作用会被重试放大；
• “离线分数高就能上线”：还要检查真实流量、延迟、成本、安全和业务结果。

9. 面试题与参考答案

问题 1：Prompt、Context、Skill、Tool 和 Harness 有什么区别？

• 难度：中级；
• 考察点：任务输入、可见信息、复用方法、执行能力和运行治理的分层；
• 合格答案要点：Prompt 表达本次任务；Context 是模型本次可见信息；Skill 是可复用方法包；Tool 是可执行能力；Harness 管理整个运行与反馈闭环；
• 优秀答案加分项：补充 Skill 与 Harness 属于生态或工程约定词，具体实现需限定平台；
• 常见错误：把 Skill 当长期 Prompt，把 Tool Calling 当工具已执行；
• 可继续追问：MCP 在这五者之间处于哪一层？

问题 2：RAG 和微调分别解决什么问题？

• 难度：中级；
• 考察点：外部知识与模型行为的边界；
• 合格答案要点：RAG 在推理时注入可更新证据，微调通过训练改变参数和行为；
• 优秀答案加分项：能说明权限、引用、评测、语料版本以及二者可组合；
• 常见错误：认为微调适合频繁更新事实，或认为 RAG 能自动保证正确；
• 可继续追问：什么时候仅用长 Context，不做 RAG？

问题 3：Workflow、Agent Loop 和 Harness 的关系是什么？

• 难度：高级；
• 考察点：控制流、模型决策与运行时治理；
• 合格答案要点：Workflow 路径多由代码预定义；Agent Loop 让模型依据观察动态决策；Harness 为二者提供上下文、工具、状态、权限、恢复和观测；
• 优秀答案加分项：能给出终止条件、检查点、幂等和人工批准设计；
• 常见错误：把 Harness 当模型或 Prompt 技巧；
• 可继续追问：高风险副作用应该放在模型控制还是确定性控制中？

问题 4：为什么 Context、State 和 Memory 不能混用？

• 难度：高级；
• 考察点：可见信息、运行事实与信息复用；
• 合格答案要点：Context 是本次模型可见信息，State 是恢复任务所需的结构化真相，Memory 是经选择后跨步骤或会话复用的信息；
• 优秀答案加分项：指出日志用于审计、知识库用于外部事实，均不应直接全部塞入 Context；
• 常见错误：把完整聊天记录当状态库；
• 可继续追问：上下文压缩后怎样避免丢失关键证据？

问题 5：为什么重试必须和幂等、超时、对账一起设计？

• 难度：高级；
• 考察点：生产可靠性和副作用安全；
• 合格答案要点：超时可能造成结果未知；直接重试可能重复执行；幂等限制重复副作用；对账确认外部真实状态；
• 优秀答案加分项：补充错误分类、指数退避、抖动、幂等键和熔断；
• 常见错误：所有错误统一重试；
• 可继续追问：幂等键应该代表网络请求还是业务意图？

10. 递进追问

1. 基础概念：为什么 LLM 不是知识库？
2. 生成控制：Structured Outputs 能保证什么，不能保证什么？
3. 检索细节：Dense、Sparse、Hybrid 和 Reranking 分别解决什么问题？
4. Agent 边界：一次 Function Calling 与一个 Agent Loop 的最小差别是什么？
5. 工程权衡：Context Window 变大后，为什么仍然需要 RAG、压缩和 Memory？
6. 安全设计：外部网页包含 Prompt Injection 时，Tool 权限应如何控制？
7. 系统设计：如何为一个运行数小时的编码 Agent 设计 Harness、Checkpoint、预算和验收？

11. 实践任务

• [ ] 术语卡片：随机抽取 20 个词，每个词用“定义 → 作用 → 场景 → 边界”在 30 秒内讲清；
• [ ] 关系图复述：不看本文，画出 Prompt、Context、RAG、LLM、Agent、Tool、Skill、MCP、Harness 的关系；
• [ ] 方案选择：为“企业文档问答、合同抽取、自动退款、代码修复”分别选择 Prompt、RAG、Workflow、Agent 或微调，并说明不选其他方案的原因；
• [ ] 最小实验：实现一个带两种 Tool、最大步数和 Trace 的 Agent Loop，注入一次超时并验证终止；
• [ ] 故障练习：构造检索缺失、工具重复、记忆过期、提示注入四类故障，分别判断是模型层、数据层、运行时还是权限问题；
• [ ] 面试口述：用一分钟回答“什么是 Agent Harness，为什么模型更强后仍需要 Harness？”

12. 相关知识与参考资料

12.1 相关知识

• 模型输入与向量：Token 与 Embedding；
• 模型架构：Attention 与 Transformer；
• 训练与对齐：LLM 预训练、微调与对齐；
• Prompt 和工具接口：Prompt 与结构化输出；
• 检索链路：RAG 基础链路；
• Agent 循环：Agent 核心机制；
• 可靠性与安全：Agent 工程化与安全。

12.2 参考资料

以下以论文、规范、官方文档和官方源码为主，访问日期均为 2026-07-10：

1. Vaswani et al., Attention Is All You Need：Transformer 与 Attention；
2. Lewis et al., Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks：RAG 的原始问题定义与架构；
3. Yao et al., ReAct: Synergizing Reasoning and Acting in Language Models：Reason 与 Act 交替模式；
4. Hu et al., LoRA: Low-Rank Adaptation of Large Language Models：低秩参数高效微调；
5. Ouyang et al., Training language models to follow instructions with human feedback：SFT、奖励模型与 RLHF 链路；
6. Rafailov et al., Direct Preference Optimization：DPO 方法；
7. OpenAI, Prompt engineering：Prompt 设计与版本化；
8. OpenAI, Structured model outputs：结构化输出和 JSON Schema 边界；
9. OpenAI, Function calling：工具调用请求与应用执行流程；
10. OpenAI Agents SDK, Running agents：Agent Loop、Tool Call、Handoff 与最大轮次；
11. OpenAI Agents SDK, Context management：模型 Context 与本地运行 Context 的区别；
12. Agent Skills, Overview 与 Specification：开放 Agent Skill 格式、SKILL.md 与渐进加载；
13. OpenAI, Skills：Skill 的版本化文件包及托管、本地运行方式；
14. Model Context Protocol, Architecture 与 Server：MCP Host、Client、Server 及 Tool、Resource、Prompt 边界；
15. OpenAI, Unlocking the Codex harness 与 Harness engineering：Agent Loop、运行支撑、环境、反馈和工程约束；
16. EleutherAI, Language Model Evaluation Harness：Evaluation Harness 的另一种常见语境；
17. Google AI for Developers, Understand and count tokens 与 Long context：Context Window、Token 计数及平台口径差异；
18. OWASP GenAI Security Project, Prompt Injection：Prompt Injection 风险与防护方向；
19. Anthropic, Building effective agents：Workflow 与 Agent 的控制权边界；
20. OpenAI, Model optimization：Prompt、评测与 Fine-tuning 的优化闭环；
21. OpenAI Agents SDK, Guardrails 与 Sandbox concepts：语义检查与执行隔离的职责边界；
22. Model Context Protocol, Authorization 与 Security best practices：MCP 身份、授权与安全建议。

时效说明： Skill、Plugin、Connector、API 指令角色、Context Window 计数和缓存能力可能随平台变化；本文给出的是概念边界，不固定具体产品限制。实际实现前应重新核对目标平台官方文档。

13. 简明总结

一句话记忆： Prompt 定义任务，Context 提供本轮信息，RAG 补充外部证据，Agent Loop 决定行动，Tool 执行能力，Skill 复用方法，Harness 让整个过程可控、可恢复、可评测。

• LLM 是生成与决策核心，但不是数据库、权限系统或可靠运行时；
• Context、State、Memory 和 Knowledge Base 必须分层管理，不能全部等同于聊天历史；
• RAG 解决外部知识接入，微调主要改变模型行为，Workflow 与 Agent 解决不同控制流问题；
• Skill、Harness 等词具有生态或工程语境，使用时要先限定定义；
• 生产级 AI 应用最终要用评测、可观测性、预算、幂等和安全边界闭环。