# 設計原則

> 八個論點指導 Agent NAS 的每一項取捨；七個賭注說明它押了什麼、押錯了會怎樣。一份希望幾年後仍然成立的設計，應當說明自己什麼時候會錯。

## 1. 存取的單位是執行，不是帳號

現在的做法是給智能體一個長期權杖，或者一個人類帳號：2026 年 4 月那次事故裡的權杖，「為管理域名而建，卻能做任何事」。一次執行有開始、結束、目的和責任人，是天然的授權與追責單位。

*排除：* 共享金鑰、長期權杖和借來的人類帳號。

## 2. 撤銷比預防便宜

預防（審批、分類器、提示裡的規則）一定會漏：分類器有漏報，人更差，模型也會違背寫在提示裡的原則。讓錯誤**可撤銷**（分支、軟刪除、快照），比讓每個動作都正確容易得多，也更容易驗證。附帶一條：**恢復路徑必須在被保護物件的爆炸半徑之外**，所以快照由所有者持有，不在任何租約的權限之內。

*排除：* 把「在提示裡寫一句要人確認」當作控制措施。

## 3. 權限按任務出借，不按身份授予

一次執行拿到的是一張窄域、有期限、有預算的租約；長期鑰匙只留在編排器或所有者手裡，模型永遠看不到。

*排除：* 長期、寬泛、常駐的權限。

## 4. 筆記是真相，智能是快取

記憶應當是人能讀能改的檔案；索引、嵌入和摘要都是可丟棄、可重建的派生物。這樣檢索演算法可以換，記憶不會丟；投毒與刪除也變得可以處理。

*排除：* 無法檢查、無法遷移的不透明記憶庫。

## 5. 來源是貫穿一切的主線

每條記憶、每個派生物、每次合併，都能回答「它從哪來、被什麼影響過」。來源既是稽核的基礎，也是投毒治理、信任標籤和遺忘的基礎。

*排除：* 沒有來源的記憶。

## 6. 策略是確定性的，模型只能收緊

授權決定由程式碼做出，不由模型的「意見」做出。分類器或 LLM 可以建議「這一步需要審批」，但永遠不能批准。

*排除：* 讓模型自己判斷某件事能否放行。

## 7. 儲存保持無聊，創新放在契約上

不造引擎；檔案優先，因為模型最熟悉的介面就是檔案；協定會換，六個名詞不會。

*排除：* 以 AI 為由發明新的儲存引擎。

## 8. 稀缺的是 token 與人的注意力

讀取要有預算；審批要少而具體，並放在人真會判斷的地方：計劃與合併，而不是每個動作。

*排除：* 預設返回整個檔案；每個動作彈一次窗。

## 七個賭注與證偽

一份希望幾年後仍然成立的設計，應當說明自己押注了什麼、什麼情況下會錯。

| 賭注 | 依據 | 如果錯了 |
| --- | --- | --- |
| B1 智能體會繼續把檔案系統與 Git 當作主要的工作介質 | 多個主流執行環境已經轉向檔案。 | 若轉向專用的「記憶 API」，Agent Home 退化為匯出格式；其餘概念不依賴檔案，仍然成立。 |
| B2 「一次執行」仍是自然的授權與追責單位 | 編排器普遍按任務或工作階段啟動沙箱。 | 若出現長期常駐的自治行程，租約改為滾動續期加預算，概念保留。 |
| B3 提示詞注入在可預見的將來不會在模型層被根除 | Meta 的表述；分類器的漏報率；多項攻擊研究。 | 若被根除，Trust Labels 變成縱深防禦裡的一層，成本很低。 |
| B4 人的注意力仍是稀缺資源 | Anthropic 披露的資料。 | 若全自動足夠可靠，Human Gate 由策略預授權取代，稽核仍然保留。 |
| B5 儲存層是執行來源與污點的合適位置 | 記憶安全研究強調寫入時的來源；OpenClaw 在執行環境內部做過同樣的事。 | 若各執行環境都自己做好，NAS 只需儲存標籤，角色變薄。 |
| B6 跨執行環境、跨智能體共享的記憶會成為真實需求 | 多智能體協作；框架遷移的成本。 | 若記憶繼續是各框架的私有功能，Agent Memory 的價值主要在個人與小團隊的可遷移性。 |
| B7 協定會換，但「檔案加工具」兩個口會穩定 | MCP 的版本遷移；A2A 1.0。 | 換轉接器即可；這也是轉接器隔離的原因。 |

## 預期保持穩定的，與預期會變的

| 預期保持穩定 | 預期會變化 |
| --- | --- |
| 六個名詞 | 具體的協定與傳輸 |
| Home 的目錄約定 | 嵌入模型與檢索演算法 |
| 四個承諾 | 權杖格式 |
| 「匯出即退出」的保證 | 智能體框架與人機互動介面 |

---

標準網址: https://agentnas.com/zh-tw/principles/
更新於: 2026-11-11 · 規範草案 v0.2 · CC BY 4.0