人工智能代理决策环吃的是不可信观察。观察、定向、决策、行动四步里，传感器、语料和工具输出都可以被对手改。2026年输入、处理和输出都要完整性。快、聪明、安全只能挑两样：毫秒决策就没有时间核验。训练和部署之间会把投毒冻在模型里，工具调用还会把上游污染传下去。不准假设环内数据是干净的。

人工智能代理痛点在把环内数据当成飞行员雷达那样不可伪造

雷达回波还受物理约束，语义没有物理可核对：贴纸骗视觉，字符串骗指令边界。建设者该把「观察不可信、定向会被改、行动会把污染传下去」写成硬规格。管代理的人，该拒收「连了网所以更聪明」却没有完整性架构的方案。

两处只有对着时间差才清楚。其一，训练时埋进语料的触发句，可以在部署多年后才被激活，模型每次推理都从空白开始，不知道自己已经被改过。其二，工具调用默认上一层干净：摘要里带着注入，清缓存会丢连续性，留缓存会留毒。状态本身变成负债。

操作上再钉三件事。第一，完整性要分成输入、处理、输出三处，缺一处不算有架构。第二，快和聪明如果挤掉核验，必须显式降能力或加人工闸，不许口头说「我们会很快也安全」。第三，工具描述、权限和返回值都是注入面，禁止把「多接一个工具」当成无成本增强。建设者该把「本周决策环哪一步被污染」写进例会。管平台的人，该拒收无法回答「观察从哪核」的代理上线单。

人工智能决策环2026五步：观察当敌意、三处完整性、快慢显式取舍、工具当攻击面、状态可清可核

1. 观察必须按敌意输入处理。默认传感器可信，方案作废。
2. 输入、处理、输出必须都有完整性。只做输出过滤，方案作废。
3. 快和核验冲突必须写明取舍。声称三样都有，方案作废。
4. 工具调用必须当攻击面。默认上游干净，方案作废。
5. 对话状态必须可清可核。只能留毒或只能失忆，方案作废。

上表对应「快聪明安全只能挑两样」。取舍表的价值是让速度不再偷走核验，不是让代理变笨。

现场还要防口号替换验收。把「已经能上代理」写成周报，不等于观察层可核。若只能改一处：先把不可核的外部网页从观察默认来源里拿掉。

结论：人工智能代理要先锁决策环完整性，不要假设环内干净

对手就在观察层里。仍按可信传感器设计，代理评审会先拒绝你。

你下次报一个人工智能代理，先写出观察从哪核、三处完整性在不在、快和安全怎么取舍；三格空着，工具清单先不要进材料。

现场还要防口号替换验收。把「已经能过滤提示、已经能训用户、已经能上代理、已经能合规、已经能信任助手」写成周报，不等于七段都有闸、观察层可核、规格按意图、钓鱼按档位、完整性有架构。周报可以写，门禁必须绑在对照表和分列指标上。缺对照表的方案，一律按未完成处理，不能进月报。

若只能改一处：先把「差不多就能交差」从唯一成功标准里拿掉。演示可以记，入口过滤当全防、环内数据当干净、得分当意图、旧培训当够用、聊天当可托付五件跟不上就算事故。事故要写负责人、复验日期和作废条件，不许用「下期优化」搪塞。

落地时把指标钉在周会上：杀伤链后五段有没有闸、决策环三处完整性在不在、规格有没有反例、钓鱼威胁档定了没、助手有没有当双面代理。哪一格空着，哪一项不准对外说已经上线。空格超过两周仍空，项目暂停扩面。

现场还要防口号替换验收。把「已经能过滤提示、已经能训用户、已经能上代理、已经能合规、已经能信任助手」写成周报，不等于七段都有闸、观察层可核、规格按意图、钓鱼按档位、完整性有架构。周报可以写，门禁必须绑在对照表和分列指标上。缺对照表的方案，一律按未完成处理，不能进月报。

若只能改一处：先把「差不多就能交差」从唯一成功标准里拿掉。演示可以记，入口过滤当全防、环内数据当干净、得分当意图、旧培训当够用、聊天当可托付五件跟不上就算事故。事故要写负责人、复验日期和作废条件，不许用「下期优化」搪塞。

落地时把指标钉在周会上：杀伤链后五段有没有闸、决策环三处完整性在不在、规格有没有反例、钓鱼威胁档定了没、助手有没有当双面代理。哪一格空着，哪一项不准对外说已经上线。空格超过两周仍空，项目暂停扩面。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源