設計原則
八個論點指導 Agent NAS 的每一項取捨；七個賭注說明它押了什麼、押錯了會怎樣。一份希望幾年後仍然成立的設計，應當說明自己什麼時候會錯。
1. 存取的單位是執行，不是帳號
現在的做法是給智能體一個長期權杖，或者一個人類帳號：2026 年 4 月那次事故裡的權杖，「為管理域名而建，卻能做任何事」。一次執行有開始、結束、目的和責任人，是天然的授權與追責單位。
排除： 共享金鑰、長期權杖和借來的人類帳號。
2. 撤銷比預防便宜
預防（審批、分類器、提示裡的規則）一定會漏：分類器有漏報，人更差，模型也會違背寫在提示裡的原則。讓錯誤可撤銷（分支、軟刪除、快照），比讓每個動作都正確容易得多，也更容易驗證。附帶一條：恢復路徑必須在被保護物件的爆炸半徑之外，所以快照由所有者持有，不在任何租約的權限之內。
排除： 把「在提示裡寫一句要人確認」當作控制措施。
3. 權限按任務出借，不按身份授予
一次執行拿到的是一張窄域、有期限、有預算的租約；長期鑰匙只留在編排器或所有者手裡，模型永遠看不到。
排除： 長期、寬泛、常駐的權限。
4. 筆記是真相，智能是快取
記憶應當是人能讀能改的檔案；索引、嵌入和摘要都是可丟棄、可重建的派生物。這樣檢索演算法可以換，記憶不會丟；投毒與刪除也變得可以處理。
排除： 無法檢查、無法遷移的不透明記憶庫。
5. 來源是貫穿一切的主線
每條記憶、每個派生物、每次合併，都能回答「它從哪來、被什麼影響過」。來源既是稽核的基礎，也是投毒治理、信任標籤和遺忘的基礎。
排除： 沒有來源的記憶。
6. 策略是確定性的，模型只能收緊
授權決定由程式碼做出，不由模型的「意見」做出。分類器或 LLM 可以建議「這一步需要審批」，但永遠不能批准。
排除： 讓模型自己判斷某件事能否放行。
7. 儲存保持無聊，創新放在契約上
不造引擎；檔案優先，因為模型最熟悉的介面就是檔案；協定會換，六個名詞不會。
排除： 以 AI 為由發明新的儲存引擎。
8. 稀缺的是 token 與人的注意力
讀取要有預算；審批要少而具體，並放在人真會判斷的地方：計劃與合併，而不是每個動作。
排除： 預設返回整個檔案；每個動作彈一次窗。
七個賭注與證偽
一份希望幾年後仍然成立的設計，應當說明自己押注了什麼、什麼情況下會錯。
| 賭注 | 依據 | 如果錯了 |
|---|---|---|
| B1 智能體會繼續把檔案系統與 Git 當作主要的工作介質 | 多個主流執行環境已經轉向檔案。 | 若轉向專用的「記憶 API」，Agent Home 退化為匯出格式；其餘概念不依賴檔案，仍然成立。 |
| B2 「一次執行」仍是自然的授權與追責單位 | 編排器普遍按任務或工作階段啟動沙箱。 | 若出現長期常駐的自治行程，租約改為滾動續期加預算，概念保留。 |
| B3 提示詞注入在可預見的將來不會在模型層被根除 | Meta 的表述；分類器的漏報率；多項攻擊研究。 | 若被根除，Trust Labels 變成縱深防禦裡的一層，成本很低。 |
| B4 人的注意力仍是稀缺資源 | Anthropic 披露的資料。 | 若全自動足夠可靠，Human Gate 由策略預授權取代，稽核仍然保留。 |
| B5 儲存層是執行來源與污點的合適位置 | 記憶安全研究強調寫入時的來源；OpenClaw 在執行環境內部做過同樣的事。 | 若各執行環境都自己做好，NAS 只需儲存標籤，角色變薄。 |
| B6 跨執行環境、跨智能體共享的記憶會成為真實需求 | 多智能體協作；框架遷移的成本。 | 若記憶繼續是各框架的私有功能，Agent Memory 的價值主要在個人與小團隊的可遷移性。 |
| B7 協定會換，但「檔案加工具」兩個口會穩定 | MCP 的版本遷移；A2A 1.0。 | 換轉接器即可；這也是轉接器隔離的原因。 |
預期保持穩定的，與預期會變的
| 預期保持穩定 | 預期會變化 |
|---|---|
| 六個名詞 | 具體的協定與傳輸 |
| Home 的目錄約定 | 嵌入模型與檢索演算法 |
| 四個承諾 | 權杖格式 |
| 「匯出即退出」的保證 | 智能體框架與人機互動介面 |
引用本頁
為讀者、搜尋引擎和智能體提供穩定的網址與建議的引用格式。
- Markdown 版本
- https://agentnas.com/zh-tw/principles/index.md
- 建議引用格式
- Agent NAS project. “設計原則.” agentnas.com, 2026-11-11. https://agentnas.com/zh-tw/principles/