大家好。总体而言，我们不建议在组织内部引入超级智能体（Super Agents）。这些拥有“超能力”、能执行我们所有指令的智能体，让我们担心会引入一个接管一切的存在。然而，有时我们需要智能体拥有更大的权限。问题在于：何时使用超级智能体是合适的？好吧，让我们思考一下这个概念的来源。这其实并不新鲜。早在早期计算机时代，我们就有了主控制程序（MCP）和“霍珀”等概念。即使在相对较新的Web服务领域，我们也拥有集中式入口和中央控制以分发网络资源的理念。因此，使用这种模式本身并非新鲜事。那么，为什么我们对此如此担忧？

为何反对拥有超级智能体呢？让我们先描绘一个我们正在讨论的系统示例。首先，我们有超级智能体；其次，有希望与之交互的用户；最后，有组织内部我们希望该智能体能连接并操作的一系列资源。那么，我们为何反对这样做？首要原因是权限滥用。我们担心超级智能体拥有过多的特权：它可以读取、写入、拉取数据，可以更改或删除内容。它能对多种资源执行大量操作。这是我们关注的第一点。而这一担忧加剧的原因还在于攻击面的扩大。

请这样思考：我们有一个超级智能体和一堆它可以交互的资源。如果其中任何地方发生问题，例如下方某处遭到入侵，这种妥协可能会回溯并导致超级智能体本身受损。由于该超级智能体能访问所有这些其他资源，这就形成了一条通往一切的路径。这就是攻击面的扩大。这条路径上的任何区域一旦遭到攻击，都可能波及我们需要保护的任何地方。这也引出了缺乏隔离的概念。换句话说，如果此处发生攻击并蔓延至我们的智能体导致其受损，这种损害不会局限于此，因为超级智能体能访问大量其他资源。

正如我们所说的，“爆炸半径”扩大了。如果小区域发生入侵，其影响范围却非常大。这就是缺乏隔离性。因此，在考虑超级智能体时，这些是我们主要反对的原因。既然我们持反对态度，为何还要讨论这个话题？我们又为何需要超级智能体呢？首先浮现出的一个关键点是：我们非常喜欢拥有“大脑”这一概念。

如果你思考一下代理式AI、生成式AI和RAG模型是如何在不同部门、不同业务单元和组织内部各个区域兴起的，你会发现它们各自建立了自己的聊天界面和检索信息的方式。但这确实仅限于该组织的那一部分。我们真正希望拥有的是一个能够理解整个组织周围所有情况的大脑，以便我们能准确判断它需要去哪里获取答案。因此，拥有一个理解一切并能进行全局审视的“大脑”确实是一件非常好的事情。

这引出了另一个观点：我们拥有一个单一的联系点（Single Point of Contact）。换句话说，当用户在此处与组织内的AI进行交互时，我们不一定希望他们不得不去这里和那个聊天界面互动，或者再去那里与另一个智能体交互。拥有一个单一的联系点是很好的：它保持界面一致，语言统一，上下文连贯。在谈论跨越整个组织的代理式和AI系统时，保持单一的联系点确实非常有益。

当然，由于组织内有不同的部门和业务领域，如果我们拥有单一联系点，就必须确保能够协调这些不同部分之间的工作流程。现在，我们有了单一的上下文接触点。我们可以协调、理解并看到组织内的一切，从而协调所有工作 across 整个企业。因此，让超级智能体参与进来确实有很多优点。

那么，如果我们喜欢拥有超级智能体的概念，但又担心其中的风险，我们该如何应对？如何以安全的方式部署超级智能体呢？首先你需要认真思考的是：从“智能体集群”（Agent Swarms）的角度来考虑。

我们在这里的意思是，是的，你有一个主智能体，但现在你还有一组分布在组织各处的其他智能体。它们构成了一个所谓的“集群”。由此，我们获得了集体智慧（Collective Intelligence）。这种智慧遍布整个系统。尽管拥有跨全系统的集体智能，但我们仍然保留一个单一的协调者（Orchestrator）。

换句话说，我们拥有超级智能体这个“大脑”，它理解一切，知道如何协调所有这些代理之间的工作流程，并能获取我们执行操作和检索信息所需的回答、响应和资源。因此，“单一协调者”的机制依然存在，但现在我们引入了集体智能的概念，让所有这些代理能够协作并整合工作。

再次强调，如果我们有不同的资源和不同领域的智能体在运作，我们不一定希望人员必须去业务的某个特定区域才能获取答案，然后再去另一个区域。在思考我们的代理式系统时，我们希望将所有这些信息整合在一起。那么，当我们考虑超级智能体和智能体集群时，如何以安全的方式思考这个问题？特别是对于允许代理执行的操作有哪些限制？

让我们用图论的方式来思考。首先，我们有资源风险（Risk），其程度从低到高不等。同时，我们还有代理权限（Agency），即允许智能体执行多少操作？这也从低到高变化。因此，当我们思考协调者代理或超级智能体时，它拥有高权限（High Agency），能执行大量操作。但我们不一定希望它与这些不同的资源直接交互。

因此，我们将此分解。我将把它画成阶梯函数（Step Function），但它也可以是线性的或其他形式。我们有一个高权限的区域，但随着接近我们的资源，风险随之增加。但我们可能希望在中间设置某种机制……

中等代理权，即其拥有的权限少于超级智能体，但仍能对一些不同的事务保持一定的可见性。接着我们进入低代理权阶段。当我们开始讨论那些实际与资源交互的代理时，风险最高，此时即为低代理权。随后我们开始关注高内聚性概念，即只有该特定智能体能够与该资源交互，而其他任何实体均无法做到这一点。

因此，我们可以从这些维度来思考：低代理权伴随低风险，而高代理权则对应高风险。这基本上是我们看待这一问题的方式。当我们思考这对我们的实际意义时，通过这种视角，我们要确保遵循最小代理权原则。过去我们常讨论“最小权限”概念，这与它非常相似。你需要思考智能体所处的位置、正在执行的操作，以及完成其试图执行的特定任务所需的最小代理权是多少。

我们还要确保工具之间的隔离性。如果该智能体是唯一能与特定资源交互的实体，那么即使在此处发生被攻陷的情况，影响也仅限于此。即便攻击者试图通过其他路径回溯至超级智能体，这些部分也不会被攻陷（至少在这一层级上）。这种隔离性使得爆炸半径保持在相对独立的范围内，这是一个非常理想的结果。

另外我们需要确保的是可观测性。必须保证所有发生的事件、做出的每一个决策以及所有的代理行为都具有可观察的手段和日志记录，以便我们随时回溯以进行审计，并查看具体发生了什么。综上所述，在思考这一问题时，我们要极力避免的一点是缺乏人类的可观测性。

我们绝不想让人员脱离监控范围（out of the loop）。在必要时，我们要确保“人在回路中”或“人在环上”。因此，将超级智能体引入组织是可以的，实际上这也是我们希望做的。只是在实施过程中，务必考虑到最小代理权和可观测性原则。感谢观看本视频。