从人在环中到环外：AI Agent架构的下一跃

引言：当Agent比你更会写代码

一位拥有15年以上软件工程经验的开发者抛出了一个尖锐的问题：如果Agent在环中（in the loop）是更好的程序员，为什么你还要坐在环里？他在视频中直言，Opus、Astra等模型连续执行复杂任务时，其工具调用组合之精妙，已经远超人类工程师的最佳状态。这并非孤例，而是反复出现的新常态。

这引出了一个核心判断：人类正在成为Agent系统的瓶颈。据这位创作者估计，当前工作中至少80%的部分可以在没有人类实时参与的情况下运行——前提是系统架构正确。本文基于该视频内容，梳理从"人在环中"到"环边"再到"环外"的演进路径，以及构建主动型Agent系统的关键要素。

三种状态：In Loop、Near Loop、Out Loop

作者用三个简洁的标签概括了Agent工程能力的层级：

• In Loop（环中）：你在终端里，不断输入提示词、调整方向，注意力完全绑定在Agent身上。这是当前大多数开发者的状态。
• Near Loop（环边）：你点击、审批、给出反馈，但工作在你坐下之前已经发生，在你离开之后仍在继续。你从"触发器"变成了"审阅者"。
• Out Loop（环外）：通过定时任务（cron）等机制完全自主运行，你不再是系统的必要条件，只需观察结果。

作者强调，从环中直接跳到环外过于困难，环边是一个必要的过渡台阶。衡量Agent工程水平的标准，不再是你会写多复杂的提示词，而是有多少系统在你不参与的情况下仍在为你工作。

核心要素：构建环边系统的技术栈

持久化Agent与沙箱

传统的一次性会话（关闭终端即结束）无法支撑主动型Agent。持久化Agent能够承受崩溃、重启甚至合上笔记本电脑，持续跟踪任务状态。作者指出，持久化Agent必须依赖记忆机制，普通环中Agent无法胜任这类系统。

沙箱是另一个关键。给Agent独立的CPU/GPU计算环境，意味着它始终在线、隔离安全，并且拥有与人类工程师同等的完整计算机工具。这是Agent能够"像你一样工作"的物质基础。

提示注入（Prompt Injection）是指攻击者将恶意指令隐藏在 Agent 会读取的内容中（如网页文本、文档、邮件、工具返回结果），诱导模型偏离原定任务、泄露敏感信息或执行危险操作。它类似于传统 Web 安全中的 SQL 注入，但攻击面是自然语言指令而非代码。防御难度在于模型难以可靠区分“数据”与“指令”。常见缓解手段包括：对不可信内容做隔离标记、限制工具权限、引入独立的判定模型对输入输出做分类审查、以及在沙箱中运行以限制破坏半径。文中提到的 40/40 评估，即是对该类防御能力的量化测试结果。

触发器与API层

"为什么你仍然是启动Agent的主要方式？"作者反复追问。环边系统的设计原则是：用具体事件替代人类作为触发器——Webhook、cron定时、用户操作、日志流中的事件分类等。清晰的API层让多种触发器能够接入同一套Agent能力。

Webhook 是一种由事件驱动的 HTTP 回调机制：当外部系统发生特定事件（如代码推送、订单创建、监控告警）时，源系统会主动向预先注册的 URL 发起 POST 请求，把事件负载推送给接收方。相比轮询，Webhook 是“推”模型，延迟低、开销小。在 Agent 系统中，Webhook 让外部世界的变化直接成为 Agent 的启动信号，而不必依赖人类手动输入命令。cron 则是基于时间表的定时触发器，适合周期性任务（如每日新闻聚合、定时巡检）。两者结合，可以覆盖“事件驱动”与“时间驱动”两类自主触发场景，是环边系统摆脱人类作为唯一触发器的关键技术手段。

主动型Agent的公式

作者给出了一个简洁的架构公式：持久化Agent + 触发器 + 沙箱 = 主动型Agent。这样的Agent不等你开工，而是先为你工作，然后等待你的介入。这被描述为工程产出能力的一次"阶跃变化"。

真实用例：从事件响应到新闻过滤

视频展示了多个已实际运行的环边系统。

值班事件响应Agent：一个模拟系统中，断开连接的客户端产生流式事件，用jev对事件进行分类，值班Agent定位问题后，人类只需理解并点击部署。完整的AI开发者工作流——检测、调查、根因分析、修复、准备评审——由Agent执行，人类退居为审阅者。据作者称，不少工程师正在积极落地这类方案。

持久化新闻Agent：运行在一台M4 Mac mini的沙箱上，已持续在线一周半。它持续拉取信息，用非生物偏见的方式归一化呈现，过滤标题党，只推送可行动的信号。作者会在感兴趣的条目上点赞，为Agent提供反馈信号，强化数据飞轮。他特别提到一条关于提示注入防御的评估结果——决策模型在该项上拿到40/40的满分。

UI复刻Agent：这是jev 1.14发布后的新实验。用户拖入设计稿截图，一个原始RSI循环启动：修复、构建、截图、用jev比对，反复迭代直到相似度达标。在云端沙箱中，一个UI镜像任务达到了86.1的匹配度，整个过程约30分钟无人值守。作者同时指出，换用不同模型（如Sonnet 5.5）时效果可能不理想，说明模型选择仍是系统变量之一。

核心四要素与工程杠杆

作者将Agent的构成拆解为四个底层要素：上下文（context）、模型（model）、提示（prompt）、工具/挽具（tools/harness）。这四个要素相乘，再乘以软件工程能力，构成Agentic Engineering的杠杆公式。

其中，挽具工程（harness engineering）被作者视为中高级阶段最值得投入的方向。通过自建Agent挽具，可以针对具体产品定制工具集。例如，当发现Agent可能执行危险命令时，直接移除bash工具，只保留精确所需的工具——这是工程师的产品理解、安全意识和模型选型能力的具体体现。

作者还提醒关注tokenomics：模型选择需要在性能、速度和成本之间取得平衡，极度补贴的订阅模式不会永远持续。

“挽具”（harness）一词借自登山与驯马场景，指约束和引导强力对象的装置。在 Agent 语境中，harness 指模型之外的整套执行框架：工具定义与注册、权限边界、循环控制、输出解析、错误重试、状态管理等。同一模型在不同 harness 下表现可能差异巨大——默认 harness 追求通用性，而定制 harness 可以针对具体产品裁剪工具集、收紧权限、优化上下文组织。因此挽具工程本质上是“围绕模型做产品化封装”的工程，它决定了模型能力能否被安全、稳定、可复现地释放出来，也是工程师相对通用工具最能建立差异化优势的层面。

Vibe Coding是地板，Agentic Engineering是天花板

视频中一个反复出现的对比是：vibe coding是不了解系统在做什么、也不去看；Agentic engineering是充分了解系统以至于不需要看。前者依赖默认配置的Agent挽具，而单Agent在默认配置下的优势已经"完全饱和"。

作者提出，工程师的优势在于能够构建"构建系统的系统"。这需要同时掌握四个要素，并叠加多年积累的软件工程判断力——能问出什么问题、能设计什么架构、对领域有什么深度理解。这一组合构成了他人难以复制的专业化壁垒。

Vibe coding 一词由 Andrej Karpathy 于 2025 年初提出，指开发者以自然语言描述意图、几乎不阅读或审查生成代码、完全依赖模型产出的编程方式。它的价值在于极低门槛和快速原型，但代价是开发者对系统行为缺乏理解，难以调试、难以保证安全与质量。Agentic engineering 则相反：开发者深刻理解上下文、模型、提示与工具四要素的相互作用，能够设计系统、设定边界、评估输出。二者的区别不在是否使用 AI，而在开发者是否仍保有对系统的认知与控制权——这也解释了为何作者说前者是地板、后者是天花板。

衡量标准与下一步

作者给出的衡量框架很直接：此刻有多少Agent在为你做有用的工作。他强调这不是指用while循环让Agent随机消耗token，而是指能真正放大你能力的生产性工作。人的注意力终归有限，同时盯多个终端必然导致失控和盲目信任模型——那不是工程。

在作者的三阶段框架中，技术革命遵循"增强、自动化、废弃"（augment, automate, deprecate）的循环。环外工程对应第三阶段，即零接触工程（zero touch engineering）。他预告了面向高级Agent用户的相关产品，但本文不做展开。

值得留意的是，这套叙事带有明显的产品推广属性，视频中多次引导订阅和预购。不过其技术框架——持久化Agent、事件触发器、沙箱、核心四要素——本身具有独立的参考价值，可作为评估自身Agent架构成熟度的检查清单。

常见问题

环边（near loop）和环外（out loop）的区别是什么？ 环边系统中，人类仍保留关键节点的审批权，但工作发生在人类介入之前和之后；环外系统则完全自主运行，人类仅观察结果。

为什么需要沙箱？ 沙箱让Agent始终在线、相互隔离，并拥有完整的计算环境，从而摆脱对开发者本机的依赖。

什么是挽具工程？ 指围绕模型构建定制化的工具与执行环境，使Agent在特定产品场景下超越默认配置的表现。