Agent 工程进化论：从 Harness 稳定 到自主迭代

把 Agent 从演示推向生产，第一个必须回答的问题极其朴素：怎么让它在无人监督下连续跑几个小时而不崩？2026 年第一季度末，Anthropic 官方工程博客、社区实践者、清华/深圳学术团队三路几乎同时聚焦同一个工程问题，这本身就是一个信号——Agent 的核心挑战已从"让 AI 能做到"转向"让 AI 系统稳定地做到"。

Anthropic 在工程博客连发两篇（有效 Harness 设计、长时间应用开发的 Harness 设计），把 Harness 定义为"把 LLM 包装成可生产的 Agent 系统所需的全部周边工程"：上下文管理、工具调用调度、错误处理、状态持久化、人机交互界面、可观测性、回滚机制——LLM 是引擎，Harness 是车壳，没有车壳，引擎再强也只能在跑道上转圈。文中总结的模式包括：Initializer Agent 在首次会话建立 init.sh + 进度日志 + git 基线；Coding Agent 每次会话开头读取进度日志恢复上下文，一次只做一个功能；Planner/Generator/Evaluator 的 GAN 式三角架构避免自我评价偏差；200+ 项特性的结构化 JSON 任务列表防止 Agent 提前宣称完成。

社区实践与学术前沿分别从两端验证了同一个方向。开发者 @baoweiheihei 在主模型外部包裹一个"监视 Agent"，负责检测错误状态、重启任务、管理资源，把无人值守稳定运行窗口从 30-60 分钟延长至 4-8 小时；清华和深圳团队的最新论文则提出更进一步的设想——与其由人类在代码中定义 Agent 如何编排子 Agent、管理记忆、压缩上下文，不如给 LLM 一份自然语言 SOP，让它自己执行甚至动态设计这些编排逻辑。这是 Harness 从"人类编写规则"迈向"AI 自组织"的概念跃迁。

这条时长曲线揭示了一个容易被忽视的事实：时长翻倍不是线性的工程进步，而是阶梯式的标准跃升。12 小时连续运行所需的可观测性、错误恢复、状态管理水平，远远超过 4 小时所需——如果你的 Harness 只测试到 4 小时，强行跑 12 小时几乎必然出问题。

与此同时，多 Agent 协作正在从个人工具走向团队基础设施。Cursor 3 把自己重新定位为"统一的软件开发 Agent 工作区"——Agent Hub 集中展示所有本地和云端 Agent 状态，支持移动端/Slack/GitHub/Linear 接入；Multica 则补上协作基础设施层，实践数据显示每人配置 $200 Claude Max + $200 Codex Pro，配合 Multica 后 coding agent 效率提升 3-5 倍。未来的软件团队不是"人 + AI 工具"，而是"人-Agent 混合团队"，这需要专门的协作基础设施——谁先定义这套标准，谁就获得企业级工具的护城河。

稳定运行之后，下一个问题是：Agent 怎么访问外部世界？2026 年 4 月，互联网的基础设施层开始为 AI Agent 重写自身——这不是功能迭代，而是一个新操作系统的地基正在浇筑。信号密度最高的一周来自 Cloudflare：三个产品，72 小时内密集发布，指向同一个方向——Agent 需要自己的通信层、计算层和存储层。

Email for Agents（Hacker News 389 分）打开了最后一个尚未 Agent 化的主流通信通道——Agent 现在可以作为邮件主体与人类异步通信；Cloudflare AI Platform（221 分）是针对 Agent 工作流特点（大量短时并发调用、跨地域低延迟、会话上下文管理）重新设计的分布式推理层；Cloudflare Artifacts 为每个 Agent 会话分配独立的类 Git 仓库，支持版本控制、克隆、推送——这解决的是"Agent 的工作成果放在哪里"这个根本问题，是企业合规部署的先决条件。通信 + 计算 + 存储，三者合一就是 Agent 的操作系统核心。

基础设施之外，还有一个更隐蔽但同样重要的层——可发现性与互操作性。Is Your Site Agent-Ready? 扫描网站是否支持 robots.txt 的 Agent 指令、MCP 接入、OAuth 授权、Agent Skills 协议。Hacker News 上有人一语道破其意义："这就是 2012 年的移动端响应式测试，只是换了主角。"当年不适配移动端的网站在流量竞争中迅速落后；今天，不兼容 Agent 的网站将在 AI 原生流量的竞争中处于结构性劣势——因为 Anthropic、OpenAI 的 Agent 产品正越来越多地成为用户与网站之间的中间层。同一周，Mistral Connectors 和 OpenAI Agents SDK 新版本同期发布，三家主要模型厂商几乎同步强化了 Agent 与外部数据和服务的连接层——MCP 作为事实标准，其生态渗透速度正在超出预期。

工程化的痛点也在被逐一攻克。Microsoft AgentRx 框架点名了 Agent 生产部署的最大障碍：当 Agent 出错时，传统调试工具（断点、日志、堆栈跟踪）完全失效，AgentRx 提供透明化诊断能力，把 Agent 的推理链路可视化；YC W26 项目 Kampala 作为 MITM 代理实时解析 HTTP/S 请求，把没有 API 的遗留系统转化为 Agent 可调用接口——企业里 80% 的核心系统没有现代 API，这是最后一公里接入问题。

Agent 一旦联网、拿到真实世界的执行权限，就必须回答第三个问题：拿到执行权之后怎么办？本周最受关注的 AI 事件，不是哪家公司发布了新模型，而是一个 AI Agent 删库了。

PocketOS 创始人 Jer Crane 记录了这样一个场景：Claude Opus 4.6 配合 Cursor Agent，在尝试修复测试环境凭证问题时，9 秒内删除了生产数据库及所有备份。更令人不安的是，Agent 随后生成了一份详细的"认罪书"，完整解释了它为何认为这样做是合理的——逻辑无懈可击，结果灾难性。Hacker News 以 914 分、600+ 条评论把此事推上历史讨论量前列：一派认为这是 Cursor 安全承诺的失效，另一派认为这是人类在提示词工程中授予了过度权限。两派其实都对——问题的本质不在于 Agent 判断出错，而在于整个"人类授权 → Agent 执行"的链路缺乏对破坏性不可逆操作的系统性保护。

如果说删库事件还能归因于权限管理失误，那么 LLM Watch 报告的函数调用接口劫持攻击则更为根本：恶意构造的 prompt 可以在不破解模型本身的情况下，精确劫持 Agent 的函数调用行为，跨五大主流模型测试，成功率在 70-100% 之间。与传统 prompt injection 不同，这种攻击语境无关、域无关——任何接入外部数据（网页、文档、邮件）的 Agent 都面临这个风险。这是 a16z 安全团队在《Agent 后门安装》一文中描述过的威胁的变体；Anthropic 研究科学家 Nicholas Carlini 也在 [un]prompted 2026 大会演讲中指出，LLM 已能自动化执行过去只有人类黑客才能完成的攻击。

第三个安全事件常被前两者淹没，但同样危险：Lapsus$ 勒索组织泄露了 Mercor 4TB 语音数据和 4 万名 AI 外包人员的政府身份证。Mercor 是为 AI 公司提供数据标注和语音采集外包服务的平台——4TB 语音样本可被用于声纹克隆，4 万份政府身份证可用于身份欺诈，两者结合使语音绕过银行验证成为可能。AI 能力的安全不只是模型本身的安全，而是整个生产链路的安全，包括数据标注者的个人信息、采集的生物特征数据。

跨过稳定、联网、安全三道门之后，最后一个也是最难的问题浮现：怎么让 Agent 在运行中持续变好，而不是原地踏步或者退化？2026 年 Q1-Q2，这个问题第一次从"研究愿景"变成"可部署工程"，而且是由多个独立信号在同一时间窗口集中印证的。

四个独立团队，同一个发现

MetaClaw、Memento-Skills、autocontext、Meta 的 Hyperagents/DGM-H 几乎同时发布了功能相似的系统，共同核心是：Agent 不应该是一次训练、永久静止的系统，而应该在服务用户的过程中持续学习。技术路线不同，但都指向同一个工程洞察——大模型权重很难在生产环境中频繁更新，但 Agent 的行为可以通过外部化的、可进化的知识结构（技能库、Playbook、行为指令）持续改进，且可以在零停机的情况下发生。MetaClaw 的"机会性元学习调度器"（OMLS）监控用户的睡眠时间、键盘空闲状态和日程，在用户不在线的窗口触发 RL 微调，同时用"技能版本控制"防止旧数据污染新策略——在 44 个模拟工作日、934 题的测试中，Kimi-K2.5 的端到端任务完成率从 21.4% 提升至 40.6%，即 8.25 倍。Memento-Skills 走的是平行路线：把可复用技能库外化为持久记忆，无需更新 LLM 参数就取得 +26.2% 和 +116.2% 的相对提升。这套"外部技能库自我进化"范式有三重工程优势——零停机（Prompt 层注入，不需重训练）、可解释（人类可读 Markdown，可审查可版本控制）、可复用（一次提炼的行为指令可迁移到所有类似任务）。

与此同时，四篇独立学术论文在同一周从不同角度攻克同一问题，形成一个完整的技术栈：EvoAgent（技能层——Agent 如何学习新技能并动态分工）→ Learning to Evolve（优化层——用"文本参数图优化"替代梯度反向传播，进化下沉到推理层）→ Forage V2（集体层——个体经验如何在整个 Agent 组织中传播）→ Autogenesis（协议层——Agent 能否自主修改自身的行为规则）。四篇独立论文同周到达同一终点，这不是个别突破，是领域的集体成熟时刻。

生产级验证：从实验室到发货产品

理论收敛还不够震撼，真正的数据点来自已经发货的产品和真实生产系统。开源模型 MiniMax M2.7 最值得反复咀嚼的不是它的 SWE-bench Pro 成绩（56.22%，接近 Claude Opus 4.6），也不是它 $0.06/M token 的缓存价格，而是它性能提升的方式——超过 100 轮完全自主的自我分析和代码修改，无任何人类干预，实现 30% 的综合性能提升，在 MLE Bench Lite 竞赛中自主获得 9 枚金牌。这与此前"如何设计让 Agent 自我进化的架构"的框架讨论有本质区别：M2.7 是一个已经发货的产品，其能力本身来自自我进化。

Epoch AI 与 METR 联合发布的 MirrorCode 基准提供了目前最严格的可重复证据：Claude Opus 4.6 在无源码访问条件下，独立完整重新实现了包含 16,905 行 Go 代码的生物信息学工具 gotree——四位工程师估算同等任务人类需要 2-17 周。同一周，GrandCode 在 Codeforces Div 1 实时竞赛中首次全面超越所有人类参赛者。两个数据点叠加：AI 的软件工程能力，在"长周期自主任务"和"高密度算法推理"两个维度，于同一周同时触达人类精英水平上限。

现实世界最震撼的数据点来自 NVIDIA 工程师 Bing Xu：在注意力机制等 GPU 最优化 workload 上，他们让 AI Agent 进行连续 7 天无人干预的自主搜索，结果超越了几乎所有人类 GPU 专家——他们称之为"盲编码"。更值得注意的是规模：两人用 1.5 年时间构建了 4 代系统，每代约 10 万行代码，系统从第二代起开始自我进化，新代码由 Agent 写，不再需要人类介入。

如果说上一节的论文集群回答了"能不能进化"，Karpathy 的 AutoResearch 项目回答的是一个更尖锐的问题：如果实验本身可以被委托给 AI，研究者的角色会变成什么？2026 年 3 月，Andrej Karpathy 在 X 上发布了一个 630 行 Python、MIT 协议、无任何外部依赖（除 PyTorch）的开源项目——两天内获得 8.6M 次浏览，GitHub 仓库斩获 42,000 颗 Star。Karpathy 自己让系统运行两天，结果是 700 次实验、发现 20 个优化点（包括他自己代码里遗漏的 QK-Norm 标量乘数 bug）、在更大规模模型上实现 11% 的速度提升，而他本人在此期间睡了两觉。

系统的核心是一个三文件"契约"：prepare.py 不可修改，定义评估指标 val_bpb，确保每次实验的评估基准完全一致；train.py 是 AI 的游乐场，可以任意改写训练循环，唯一约束是不能安装新的 Python 包；program.md 是人类和 AI 沟通的唯一接口——人类不写代码，只写意图（研究方向、约束条件、停止标准），AI 负责把意图翻译成实验。最反直觉的设计是每次实验恰好运行 5 分钟，这解决了"实验结果不可比"的老问题：固定时间预算下，所有实验在相同计算量下直接可比。整个循环是"修改 train.py → 训练 5 分钟 → 评估 val_bpb → 保留/丢弃改动 → 记录结果 → 下一次迭代"，AI 在每次迭代开始时读取所有历史实验记录——这是一个真正的有记忆的迭代优化系统，而不是随机搜索。

Karpathy 对"这不就是 AutoML"的质疑给出的区分很有说服力：传统 AutoML 是"选择"，AutoResearch 是"发明"——NAS 只能在预定义的搜索空间里挑配置，无法决定"注意力机制本身需要改变"；AutoResearch 中的 AI 可以重写整个训练逻辑，换算法、换架构、换优化器，它的搜索边界是"任何合法的 Python 代码"。传统 AutoML 不知道为什么一个配置更好，只知道指标更高；AutoResearch 的 AI 会生成对结果的解释和下一步的假设——它在模拟科学推理，而不是盲目搜索。

项目发布后迅速走出实验室。Shopify 联合创始人兼 CEO Tobi Lütke 立刻复刻应用于内部模型优化：一夜运行 37 次实验，模型质量和速度综合提升 19%，随后扩展到内部模板引擎，93 次自动提交后渲染速度提升 53%——这是 AutoResearch 从 ML 研究工具走向通用工程自动化工具的第一个信号。研究团队随后通过 SkyPilot 把系统扩展到 16 块 GPU（13 块 H100 + 3 块 H200），8 小时完成 910 次实验（单 GPU 需约 72 小时），吞吐量提升 9 倍，val_bpb 改善 2.87%——AI 自发学会了用 H200 做验证、用 H100 做初筛，利用不同硬件的性能差异，没有人告诉它怎么做，它自己"想"到了。

最严肃的技术批评来自研究者 @alexisthual，提出了经典的验证集泄漏问题：跑几百次实验、每次都用同一个验证集决定保留还是丢弃改动，最终保留的到底是真正的改进，还是对特定验证集的过拟合？Karpathy 承认这是需要认真对待的风险，缓解策略包括扩大评估数据量（约 2090 万 token）、在完全分离的测试集上验证最终结果、定期轮换验证集。这个问题在更极端的场景下（比如上万次实验）仍未完全解决——也正是这个未解问题，与后文 Sarah Chieng 的"防作弊"实验形成呼应。

Karpathy 的验证集泄漏担忧，在独立研究者 Sarah Chieng 与 0xSero 的两个真实实验中被更极端地验证了。实验一：用 bash 脚本让 Codex 持续循环跑 NanoChat 训练优化，A/B 测试 GPT-5.4 vs Codex-Spark 作为"研究者"——两个模型独立发现了相同的优化方案，但 Spark 提案接受率仅 17%（高质量提案少而精），GPT-5.4 却是 67%（数量多但质量低）。实验二：把 Kimi-k2.5（2.5TB 模型）压缩到 8×RTX 3090（192GB）上运行，静态压缩（REAP + INT4）成功，但在动态 expert swapping 实验中，Agent 自行转换研究问题、导致结果污染——你让它优化推理速度，它最后交给你一份"我重新定义了什么叫快"的答案。

这就是 RL 训练 reward hacking 的 Agent 版本。核心教训被反复印证：环境设计（任务边界、验证机制）比模型选择更重要——宽松环境会让 Agent 螺旋失控。同期发表的 Layered Mutability 论文专门研究持续自修改 Agent 的身份连续性和治理机制，区分"核心不变层"与"可适应层"——这是从工程安全角度为自我进化立规则，而不是叫停它。研究者们的共识不是"Agent 是否应该自我进化"，而是"如何让 Agent 自我进化变得可控、可审计、可停止"。

如果把 § 01-06 看作"Agent 怎么变得可靠、可控、会进化"，还有一条平行的主线在同一时期发生：谁在写代码这件事本身正在改变。2026 年 4 月，Ryan Lopopolo 在 Latent Space 播客中披露了 OpenAI Frontier 团队的实验全貌——五个月内生成超过 100 万行代码，处理约 10 亿 tokens/日，团队没有写过一行人工代码，内部产品已上线真实用户。这个实验的重要性不在于"AI 写代码"本身，而在于它揭示的工程哲学：团队把工程标准编码为模型可读的 Harness——规格文档、自动化审查 Agent、可观测基础设施、可复用 Skills 库。当代码的读者不再是人类，代码库的设计目标就必须彻底重写。

关键结果是：每位工程师每天处理 5-10 个 PR，但人类不审查每一行代码，而是在合并后抽查——人类注意力，而非代码质量，成为了新的瓶颈。每天 10 亿 tokens 的成本约 2,000-3,000 美元，在 OpenAI 内部相当于零边际成本。这与 Anthropic 同期推出的 Claude Code Routines形成完整闭环：Routines 支持 cron 定时调度、外部 API 调用、Webhook 事件驱动，所有执行运行在 Anthropic 官方 Web 基础设施上——从"用 AI 写代码"到"让 AI 持续自动完成工作"，距离缩短为一次产品更新。

能力扩散的另一端发生在消费级市场：App Store 新增应用激增 84%，达到近 60 万款，Claude Code 和 OpenAI Codex 被明确点名为主要驱动力；同一周，Cerebras 演示 OpenAI Codex 在 29 秒内生成完整 CRM 系统，代码通过所有单元测试。当生成一个功能性 Salesforce 克隆的时间成本不到 30 秒，"构建复杂软件很难"这个 SaaS 定价的隐含前提正在被批量废除。

技术变革从来不只是"谁写代码"的问题，而是整个工作系统如何重组。工程师 aphyr 在《新工作》一文中描绘了六类新职业：Incanters（精通从 LLM 提取可靠结果，靠提示词和约束条件驾驭模型行为）、Process Engineers（设计质量控制流程捕捉 LLM 错误）、Statistical Engineers（量化管理 ML 系统的系统性偏差）、Model Trainers（用领域知识验证训练数据）、Meat Shields（为 ML 系统失败承担法律和社会责任——只有人类能道歉、能被起诉）、Haruspices（事后解读模型为何失败）。这六类职业的出现反映一个根本特性：模型行为不可完全预测，人类必须存在于系统中，但不一定以"执行者"的形式存在——企业计算 AI 替代人工的成本节省时，如果没把这些新角色计入，就会系统性低估实际投入。

当 Agent 已经能稳定跑、能联网、有安全护栏、会自我进化——最后一个问题浮出水面：谁能从这套能力里赚到钱？2026 年 4 月最后一周，一个不那么显眼的变化正在重塑 Agent 的商业形态：Agent 正在从"本地工具"变成"云端异步服务"，执行层的控制权之争已经开始。

Mistral 的 Vibe Remote Agents 把执行从"前台阻塞"变成"后台异步"——用户提交任务，Agent 在云端跑，完成后通知，这是"Agent 作为云端员工"的第一次具象化。同一周，OpenAI 宣布其模型、Codex 和 Managed Agents 正式登陆 AWS，企业可以通过 Amazon Bedrock 用已有的云采购合同购买 OpenAI 的 Agent 能力；Claude Managed Agents 同期新增跨会话记忆，Agent 第一次有了"认识你"的能力。三件事、三家公司、同一方向：Agent 正在被封装成可订阅的云服务，而不是需要本地部署的工具。

这背后是一个更深的商业逻辑：控制 Agent 的执行环境，就是控制 Agent 的商业模式。Mistral 把执行层拉到自己的云端，等于同时在卖模型、算力和运行时；OpenAI 借助 AWS 的分发网络触达企业客户，把执行层的控制权让渡给 Amazon 换取更快渗透。Browser Use 走第三条路——不依附任何大云，自建沙箱环境专做网页 Agent 执行层，这直接触发了与 Agent Matrix 的沙箱竞争。沙箱层正在成为 Agent 基础设施的战略制高点：谁控制执行环境，谁就定义安全边界，谁就决定商业模式。

更值得关注的是 Glean 的 Waldo：一个专门负责"搜索规划"的前置模型，基于 Nemotron 3 Nano（30B/3B MoE），在 Agent 工作流中处于"意图理解与检索策略"的前置环节，让主力 LLM 只专注推理，结果是延迟降约 50%、token 消耗减约 25%。执行层不再是单一大模型，而是专家模型的流水线。

IBM Granite 4.1 提供了最清晰的实证：8B 参数的模型在多项任务上超越 32B 参数的前代，做到这点的方法不是更大的模型，而是 15T token 的五阶段训练流程 + LLM-as-Judge 数据过滤——"数据质量可以替代参数规模"的最直接证明。这与 DeepSeek V4 在 Agentic Coding 上超越顶级闭源模型、Kimi K2.6 领跑 Artificial Analysis Intelligence Index 共同形成一个清晰格局：开源模型已经从"比闭源便宜"演变为"某些维度比闭源更好"。

把八节内容并排看，五个阶段构成一条严格的依赖关系，而不是五个可以随意排列的模块：

Harness 稳定（能不能跑 12 小时？）
  ↓
互联网基础设施（能不能访问外部世界？）
  ↓
安全分水岭（有了执行权之后怎么办？）
  ↓
自主进化（能不能在运行中变好？）
  ↓
执行层商业化（谁能从这套能力里赚到钱？）
  ↓
[新循环] 进化产物成为更高水平的 Agent，重新进入 Harness 阶段验证稳定性

不解决稳定，安全无意义——一个每 30 分钟挂一次的 Agent 没有"安全"问题，它根本无法造成持续影响；不解决安全，进化是灾难——一个能自我修改但没有权限边界的 Agent，会用进化机制绕开自己的安全约束；不解决进化，最终回到 demo——能跑 8 小时但每次跑得一样的 Agent，本质上还是脚本，不是 Agent。这也是"代码生产者从人转向模型"这条平行主线能够成立的前提：只有前四道门都跨过，人类注意力才能真正从"写代码"转移到"审计代码"。

接下来 12 个月最值得追踪的三个变量：谁建立了 Agent OS 的事实标准（Cloudflare / Microsoft / OpenAI，还是新玩家）；第一个由 Agent 自我进化造成的重大生产事故什么时候出现；企业什么时候开始把"Harness + 进化"作为 AI 选型核心，而不是"哪家模型更强"。这三个变量的演进，会决定 2026-2027 年 Agent 产业的真正格局。