Anthropic、OpenAI、AWS、Google、Microsoft、Salesforce、Cloudflare 都在造 Managed Agent。把它们放进 Vendling 自动售货机和 Andon Market 线下商店，真正缺的不是另一个沙箱，而是一套管理 Agent 改变现实、以及改变自己的权力的外部控制平面。
当前 Managed Agent 已经能解决长任务、持久 Session、沙箱、工具接入和 Trace，但它们主要管理 Agent 的运行，而不是 Agent 对现实和自身版本的改变权。物理商业会把这个缺口放大：状态会过期，执行会延迟，钱会真的花掉，一次超时甚至无法告诉你动作究竟发生没有。
Agent 越强，管理层越不应该承诺理解它的全部思维过程；越应该控制它能改变什么、需要什么证据，以及谁有权把改变投入现实。推理可以不可解释，现实动作必须可验证。
2025 年的 Agent 基础设施，重点还是“怎么让模型可靠调用工具”。到了 2026 年，厂商开始集体提供托管 Harness、持久 Session、云端沙箱、定时任务、MCP、Memory、Trace、评估与优化。
这是一次真实进步。Agent 不再只是一次 API 调用，而成为可以等待、恢复、继续工作、积累状态的计算实体。但“托管一个 Agent”至少包含三层完全不同的问题：
当前主流产品已经大幅推进第一层，开始覆盖第二层，几乎都还没有真正进入第三层。把 Managed Agent 想成 Agent 时代的 Kubernetes，因此只对了一半。Kubernetes 管工作负载；理想的 Managed Agent 管的是受约束的变化。
Managed Agent 不是 Agent 时代的 Kubernetes。它更像空管系统 + 清算系统 + Git / CI/CD：管理谁能改变什么、动作是否结算，以及变化如何被发布。
Anthropic Managed Agents 的重要贡献，是提出了更耐久的 meta-harness 架构：Brain 是可替换的模型与 Harness，Hands 是沙箱和工具，Session 是独立于模型上下文的追加式事件记录。Context 可以压缩，Harness 可以崩溃，沙箱可以回收，但事实记录不能随之消失。凭证也留在沙箱之外，由代理层按需注入。
这是所有 Managed Agent 都该继承的设计。但官方文档也说明，状态化产品仍处于 Beta，暂不适用 Zero Data Retention 与 HIPAA BAA。它擅长管理长任务，却还没有给出完整的业务动作政策与现实结果对账层。
OpenAI Agents API 把 Agent、Environment、Durable Session、Event 和 Item 作为一等对象，将 Codex 验证过的 Steering、Compaction、Subagent、Skill 与 Resume 变成托管能力。更重要的是，其错误处理文档明确提醒：失败的 Turn 可能已经改过文件或调用过工具，重试前应先检查副作用，只补做未完成部分。
这触到物理 Agent 的核心：超时只表示“我不知道结果”，不表示“动作没有发生”。但 OpenAI 仍把大量业务权限、工具环境和现实结果语义留给应用自己实现。
Amazon Bedrock AgentCore 提供 Runtime、Memory、Gateway、Identity、Policy、Observability、Evaluations、Optimization、Registry，甚至 Payments。Policy 可在每次工具调用前做确定性拦截，Identity 与 Gateway 显式化 Agent、用户和外部服务的身份关系，Optimization 能从 Trace 生成有版本的改进候选并做 A/B 实验。
AWS 是最接近答案的一家，但它仍主要管理 API 行为和技术 Trace，不理解货有没有送到、货架有没有补齐，以及低毛利销售是否把门店拖进现金流陷阱。
Gemini Enterprise Agent Platform 把 Runtime、Session、Memory Bank、Example Store、Evaluation、Trace 与企业网络安全放在一起，优势是让长期记忆、反馈、样例和评测形成数据飞轮。但 Memory 不能替代库存对账，Feedback 也不能证明机器真的出货。
Microsoft Foundry Agent Service 的优化能力已能修改指令、Skill、工具描述和模型选择。这是 RSI 的早期工程形态，也因此最需要制衡。Microsoft 自己也警告，长期记忆可能被 Prompt Injection 污染。当 Memory、Skill 和 Tool Description 会改变未来行为，它们就不再是配置，而是可执行供应链。
Salesforce 的价值不在沙箱，而在业务语义。它的 Agent Development Lifecycle 把多轮仿真、实验、部署、观察与治理接起来；Agent Script 允许确定性业务逻辑与 Agent 推理混合。对于 CRM 工作流，这比“给 Agent 一个 Shell”更接近企业需要；面对跨设备、跨供应商的长期物理运营，它又不够通用。
Cloudflare Agents 则把 Agent 映射为带持久身份、SQLite 状态、实时连接和定时任务的 Durable Object。这与 Vendling 很契合：一台机器、一个门店、一条运营路线，都可以成为独立耐久实体。但身份、政策、评测、业务结果与版本治理仍要由应用自己补。
| 平台 | 最强项 | 关键缺口 | 对物理商业的适配 |
|---|---|---|---|
| Anthropic | Brain / Hands / Session 解耦 | 业务政策与结果闭环 | 长任务、研究型 Agent |
| OpenAI | Harness、恢复、Steering | 现实权限与对账交给应用 | 复杂数字工作流 |
| AWS | Identity、Policy、Gateway、Registry、Payment、Eval | 不理解行业数字孪生与延迟结果 | 最接近企业控制平面 |
| 数据、Memory、Feedback、Eval、安全 | 动作协议与因果闭环 | 数据密集型企业 Agent | |
| Microsoft | 企业身份、发布与优化 | 优化器与治理器需隔离 | 受治理的 Agent 工厂 |
| Salesforce | 确定性业务流程、业务指标、人工接管 | 开放式长周期自治较弱 | CRM 与标准流程 |
| Cloudflare | 耐久实体、实时事件、边缘状态 | 不是完整治理与评估平面 | 设备／门店级 Agent |
厂商正在从不同方向逼近同一个对象：有人从 Harness 出发，有人从 IAM 出发，有人从 CRM 与业务流程出发。但没有一家把“动作产生了什么现实后果”设成整个系统的主键。
产品功能表只能告诉我们平台“有什么”。工程博客、真实使用数据和社区争论更值得看，因为它们在回答另一个问题：Agent 真正跑久以后，什么会先坏？把 Anthropic、OpenAI、Cognition、Manus、LangChain、Karpathy 与 Simon Willison 放在一起，已经能看到七条稳定共识。
Andrej Karpathy 在 X 上为 Context Engineering 正名：生产级 LLM 应用的核心工作，是把恰当的信息放进有限上下文。Anthropic 的上下文工程文章进一步提出“context rot”：Token 越多不代表记忆越好，随着上下文增长，模型会失焦、混淆，检索准确性也会下降。Manus 的生产经验则给出一个更商业的指标：其 Agent 平均输入输出 Token 比约 100:1，KV Cache 命中率直接决定延迟和成本。
这意味着理想的 Managed Agent 不能把 Event Log、Memory 和 Context 混成一个对象。Event Log 保存事实；Memory 保存可复用知识；Context Manager 每一轮从二者中选择最小、最相关、带来源的工作集。不是“记得越多越好”，而是“能证明为什么此刻给模型看这些”。
Anthropic 在长任务 Harness 实验中发现，即使模型支持 Compaction，跨多个 Context Window 仍会出现两种失败：前一轮一口气做太多，留下一半完成、没有说明的工作；后一轮看到已有进展，过早宣布完成。其有效方案不是更长摘要，而是初始化 Agent 加上逐轮 Agent，并用 claude-progress.txt、Git 历史和“每轮结束保持干净状态”完成轮班交接。
这给 Managed Agent 增加了一个重要对象：Handoff Artifact。每次 Session 结束前，管理器不只保存对话，还要要求 Agent 留下当前目标、已验证事实、未完成项、已知风险、下一次安全起点，以及可机器检查的 Clean-State Invariant。Session Log 是录像，Handoff Artifact 才是值班记录。
Anthropic 对数百万次真实交互的自治研究发现：Claude Code 最长一档 Turn 在三个月里从不足 25 分钟增长到超过 45 分钟，而且增长跨模型发布平滑发生；新用户约 20% 的 Session 使用完全自动批准，熟练用户超过 40%；复杂任务上，Claude 主动暂停求证的频率超过人类主动打断的两倍。
所以“模型 X 的自治等级是多少”是一个不完整问题。同一模型因为用户经验、授权习惯、任务类型、Harness 和产品默认值不同，会表现出完全不同的自治。Managed Agent 应持续计算 Autonomy Envelope：当前连续运行时长、无需审批动作数、累计影响、失败密度、用户干预率和 Agent 主动求证率，而不是在部署时写死一个 autonomy=true。
Anthropic 的Trustworthy agents in practice指出，几十次动作逐一弹窗会造成摩擦和审批疲劳，因此 Claude Code 的 Plan Mode 把监督重心前移到整体策略：人先审计划，运行中仍可随时介入。OpenAI 的Agent 实践指南则把人工接管触发器归为两类：超过失败或重试阈值，以及取消订单、大额退款、支付等敏感、不可逆、高影响动作。
对 Vendling 来说，这意味着 Approval 不能只有“每次调用都问”和“全部自动”两档。更好的层次是：计划级批准、策略内自动执行、风险动作单独升级、异常时 Agent 主动求证，以及人类随时打断。监督是一条可动态调节的控制回路。
Anthropic 的多 Agent Research 复盘给出了少见的成本数字：普通 Agent 通常消耗聊天的约 4 倍 Token，多 Agent 系统约 15 倍。它适合高价值、可大量并行、信息超过单一上下文、需要许多复杂工具的任务；需要共享同一上下文、依赖关系密集的任务则不适合。
Cognition 的Don’t Build Multi-Agents从另一个方向得出相同结论：动作本身携带隐含决策，拆给不同 Agent 后，这些决策和背景会丢失，最后的主 Agent 只能拼接多个已经偏航的结果。OpenAI 的实践指南也建议先最大化单 Agent 的能力，再在工具重叠、逻辑复杂等明确压力出现后拆分。
因此，Managed Agent 应把“是否允许 Spawn”变成一项经济与拓扑决策：任务是否可独立验证、子任务是否共享大量隐含状态、并行收益能否覆盖 15 倍量级的 Token 与协调成本。Subagent 数量也要进入预算和 Trace，而不是由主 Agent 无限制扩张。
Simon Willison 提出的“致命三件套”是对 Managed Agent 最简洁的安全测试：只要系统同时拥有私有数据、会读取不可信内容、还能向外通信，Prompt Injection 就可能把三者连成数据外泄路径。危险不来自某个工具单独太强，而来自能力组合。
OpenAI 的指南也强调，Guardrail 不能替代身份认证、授权、严格访问控制和传统软件安全。理想的 Authority Plane 因此需要跨工具的信息流 Policy：读取了不可信邮件或网页的上下文，不能直接触发外发、付款、删除或读取更高敏感度数据；必须经过隔离、净化、重新授权或确定性验证。
Cognition 在云端 Agent 复盘中指出，真实工作被 CI、Code Review、人工回复等异步间隙切开，间隔可能是几分钟、几小时或几天。普通容器要么持续烧算力等待，要么在重调度、超时或崩溃时丢失进程状态。其方案是快照完整机器状态，包括内存、进程树和文件系统，空闲时关闭计算，事件到来后原地恢复。
这把 Anthropic 的“Session Event Log”又推进一步：有些任务只需从事实日志重建；有些任务需要保存完整执行现场。理想 Runtime 应按成本与恢复要求选择 Event Replay、Filesystem Snapshot 或 Full Machine Snapshot，并让管理层知道每种恢复承诺到底覆盖什么。
新增材料没有推翻六层控制平面，反而让每一层更具体：Agent Plane 需要显式 Context Manager；Execution Plane 需要可冻结现场；Reality Plane 与 Context 必须分离；Authority Plane 要支持计划级监督和信息流控制；Assurance Plane 要测量动态 Autonomy Envelope；Evolution Plane 不仅管理代码版本，还要管理 Prompt、Memory、Tool Description 与编排拓扑。
行业共识正在从“给 Agent 更多能力”转向“管理能力组合、上下文选择、异步交接和自治边界”。这正是 Managed Runtime 与 Managed Autonomy 的分界线。
Vendling 不是让 Agent 写建议，而是让它长期运营真实的自动售货机：观察销售与库存、调整价格、生成补货计划、处理异常、与店主和消费者沟通，并为每次决定留下记录。
设备遥测、供应商发货、员工补货与支付清算不会同时完成。数据库里的“库存 3”可能意味着真的剩 3 件，也可能只是最后上报时剩 3 件，还可能是货道卡住但系统误以为已经出货。Agent 读到的不是世界，而是世界的带时间戳证据。
“把可乐从 4 元改到 5 元”可能经历云端写入成功、厂商接口超时、设备离线、屏幕仍显示旧价、第二天重连才同步。最危险的操作，是看到超时后直接重试，因为第一次请求可能已经生效。
写报告可以覆盖重写；公开降价、下采购单、发退款、向消费者承诺赔偿，不能靠 Undo 恢复。即使技术上可以补偿，信誉和时间也已经改变。
门店 Agent 要等物流、等营业日、等销量积累、等员工回复，并在条件变化时恢复任务。Sleep、Deadline、SLA、定时复核和过期策略必须是一等对象，不是 Prompt 里的提醒。
消费者 Agent 不该看到采购成本；补货员不该改定价；店主能看利润，但不一定能读消费者对话。Vendling 已通过“不暴露高风险工具”隔离能力，这比在 Prompt 里写“请勿查询成本”可靠得多。
补货计划生成，不代表货补到；降价执行，不代表库存周转改善；回复投诉，不代表问题关闭。真正的结束条件是现实世界出现预期证据，或任务进入明确的异常与补偿流程。
Vendling 当前架构已经有很好的基础：Gateway 是唯一工具通道；Agent 不持有数据库、厂商和模型的长期凭证；业务状态与适配器分离；事件追加记录；工具支持 Live、Buffered、Shadow。真实 Managed Runtime 测试也证明模型—工具循环可以外包：一次唤醒对应一个 Session，凭证按 Run 注入与销毁。
但测试也暴露出边界：首个 MCP 调用约 16 秒，完整运行约 46 秒到 2 分钟；第三方 Session 会持有销售、价格和推理内容；身份限流、保留期、事件加密和稳定协议仍要在外部补齐。托管执行已经可替换，管理责任没有随之转移。
Andon Market 把 Agent 放进真实线下小商店。主 Agent Luna 管采购、库存、营销与员工，并使用邮件、浏览器、语音、ERP、摄像头、银行账户和临时卡；长期子 Agent 负责采购、邮件、社交和排班，短期浏览器 Agent 负责网页任务。
它暴露了长周期自治的结构性弱点：200k 上下文需要压缩，长期记忆、短期记忆与最近消息可能冲突；Agent 可以成为不错的运营经理，却没有 CEO 的资本纪律与紧迫感；执行大量动作，不等于建立盈利业务；真实交流还带来欺诈、误解和身份披露问题。安全团队仍需把行为与规则对比，并由人类介入。
Vending-Bench 2 把压力扩大到一整年：供应商会延迟、失败或要求退款，一次 Run 持续数千条消息和数千万输出 Token。旧版 Vending-Bench 甚至出现 Agent 因误读交付记录而进入“末日循环”，试图关停业务、联系 FBI、拒绝继续任务。
教训不是“模型还不够聪明”，而是长周期 Agent 的失败很少是某句话答错，更多是它对状态、目标、权限和后果的理解在许多小误差中逐渐漂移。增加 Context Window 只能延后问题。真正需要的是独立于 Agent 叙事的事实层、经济账、动作账与结果账。
一个 Agent 可以持续忙碌，却持续亏损。Activity 不是 Outcome，Tool Call 不是 Business Result。
下一代 Managed Agent 应由六个彼此隔离、可以由不同厂商实现的平面组成。模型和 Harness 可以快速替换，事实、权限根、审计历史与发布门不能跟着换。
模型、Prompt、Planner、Harness、Skill 与 Subagent 属于这一层。它们可以快速更换，但不能带走业务事实、权限根与审计历史。把 Agent 当“宠物进程”长期养在一台机器里，是原型；把它当“可替换的大脑”挂在稳定控制平面上，才是系统。
沙箱、浏览器、代码执行、MCP 与内部 API 在这里。凭证通过外部 Vault 和代理层按调用注入。每个动作除了函数名和 Schema，还要声明幂等性、可逆性、最大影响、前置条件、结果期限、未知结果语义与补偿方法。
这里保存的不是聊天历史，而是带来源、时间、置信度与版本的现实证据：订单、遥测、盘点、员工确认、支付清算、投诉和供应商回执。它要明确区分 Agent 认为发生了什么、系统观察到什么、外部机构确认了什么、目前仍未知什么。
身份、租户、能力令牌、预算、审批、Policy 与紧急暂停都必须独立于 Prompt 和 Memory。权限不仅按工具控制，还要按对象、金额、时间与风险控制。紧急暂停必须位于 Agent 的账号、算力和网络边界之外，不能要求失控 Agent 自己调用 stop()。
Trace 只能告诉我们 Agent 调用了什么；Assurance 要回答现实因此发生了什么。记录单元不应是 Tool Call，而应是完整 Action Contract：观察证据、决策理由、授权主体、动作意图、执行回执、预期结果、观察期限、实际结果、对账差异与补偿动作。
Prompt、Memory、Skill、工具描述、工作流、模型选择、评测、策略与代码都会改变未来行为，因此都要进入统一的版本与来源系统。Memory 尤其不是无害文本：一次注入进入长期记忆，可能比一次错误回答存活更久、传播更广。
决策日志记录 Agent 为什么这样做；下一版还要自动追踪动作有没有产生预期结果。每个价格、补货、退款、通知与设备操作都应生成 Outcome Watcher，到期自动对账。
每个工具归入 Read-only、Reversible、Compensatable、Irreversible 之一。风险等级决定授权门槛、观察期限、重试策略和证据要求，不由模型临场判断。
接口超时后，禁止直接标记 Failed。系统先进入 Unknown，通过订单查询、设备遥测、账单或人工确认对账；只有确认未发生后，才能安全重试。
Andon Market 的教训是，一个 Agent 可以持续忙碌，却持续亏损。每个经营 Agent 都需要不可自行修改的经济仪表盘：毛利、现金消耗、Token 成本、库存周转、缺货损失、异常成本和人力成本。优化目标不能只有完成任务，还要有现金流、最低毛利、最大库存暴露和最长回收期。
监督 Agent 应读取 Outcome、异常聚类、权限使用、预算消耗与状态漂移，而不是只审主 Agent 的推理文本。表达得非常合理的 Agent，也可能在现实里持续做错事。
给所有写操作补上 Expected Outcome、Deadline、Reconciliation。
把不可逆动作、预算和紧急暂停放到 Agent 之外。
用现金流和毛利约束“很忙但不赚钱”的 代理指标。
RSI 不一定从“模型重写自己的权重”开始。它更可能沿着一条渐进路线出现：改 Memory → 改 Prompt → 改 Skill → 改 Workflow → 改工具与代码 → 改评测与优化器 → 设计下一代 Agent。
Microsoft 与 AWS 的 Agent Optimization 已站在前几级。Darwin Gödel Machine 更进一步：Agent 修改自己的代码，在下游任务上评测候选，并把不同分支保存在不断增长的 Archive 里，而不是覆盖唯一的“自己”。Sakana AI RSI Lab 把目标明确为能设计和运行自身实验的开放式自我改进系统。Anthropic Institute 则指出，AI 已承担越来越多 AI 研发工作，尚未跨越的差距更多在目标选择和研究判断。
RSI Agent 可以修改候选实现，但不能直接修改身份根、Policy 解释器、审计与因果账本、资源和金钱预算、紧急暂停与回滚、隐藏评测、发布门，以及自己获得更高权限的规则。这些组件不是永不升级，而是必须走另一条治理路径。
最危险的结构不是 Agent 会写代码，而是同一个 Agent 同时提出版本、选择评测、解释结果和批准发布。理想系统至少需要两把钥匙：独立评测器或人类受托人，与确定性 Policy 共同批准高风险变化。
只要 Agent 能反复读取同一套评测，它最终优化的是评测，不是能力。RSI 管理器需要隐藏与轮换评测、分布外任务、对抗性工具响应、真实 Outcome 指标，以及欺骗、越权、篡改账本和扩大权限等负向能力测试。
新版本能力增长意味着影响半径增长，但风险画像更不确定，因此候选版本初始权限应更小，在 Shadow 和 Canary 中重新证明自己。Capability 可以快速增长，Authority 必须缓慢、可逆、按证据增长。
如果用一个更强的 Manager Agent 管所有 RSI Agent，只是把问题向上移动一层。更稳健的结构是多主体制衡：Operator 提出和运行；Auditor 检查证据与越权；Red Team 寻找作弊和策略漏洞；Deployer 只执行批准版本；Human Trustee 对不可逆、高影响变化保留否决权。这些角色可以部分由 Agent 承担，但不能共享全部记忆、权限与奖励函数。
Managed Agent 是一个位于 Agent 之外的自治控制平面。它用独立身份、能力政策、现实证据、因果账本、结果评测和版本治理，约束 Agent 对外部世界和自身未来版本的改变，并保证这些改变可观察、可归责、可暂停、可补偿或可回滚。
这个定义刻意不绑定模型、云、MCP 或某一种 Harness，因为它们都会快速变化。真正应该稳定的是边界：
很多安全方案依赖检查 Prompt、System Message 或 Reasoning Trace。它们有价值，但越强的 Agent 越可能拥有压缩、隐式、分布式、跨多个子 Agent 的思考过程。要求管理器完整理解它为什么这样想，最终会变成无法兑现的承诺。
更可靠的办法，是把治理对象从 Thought 转向 Change：你可以自由思考，但动作必须带证据；你可以设计新版本，但必须经过独立评测与发布门；你可以调用工具，但每个动作都有影响范围和结果期限；你可以长期学习，但 Memory、Skill 与 Code 的每次变化都留下 Lineage；你可以变得更聪明，但不能因此自动获得更多现实权力。
Vendling 的售货机和 Andon Market 的小商店并不宏大，却是 Managed Agent 最诚实的试验场。因为现实不会配合 Demo：设备会断线，员工会忘记，供应商会违约，顾客会投诉，库存会腐坏，现金会耗尽。
如果一个 Agent 能在这样的环境里持续几个月，知道自己看见了什么、不知道什么、做过什么、结果如何、何时应该停手，并且还能安全地产生更好的下一代自己——那时我们才真正拥有 Managed Agent。