固定 Workflow 适合步骤明确的任务；当用户目标相同但完成路径不固定时，可以考虑 Agent。例如“比较三款产品并形成采购建议”可能需要多次搜索、读取不同资料、计算价格，再组织结论。Agent 可以根据当前信息决定下一步调用哪个工具。

先判断是否真的需要 Agent

如果流程始终是“读取表单、查询接口、生成结果”，Workflow 更容易预测、测试和控制成本。只有当步骤数量、工具选择或查询顺序确实需要根据上下文变化时，Agent 才有明显价值。

工具型助理的基本结构是：

用户目标 → Agent 推理 → 选择工具 → 获取结果 → 继续判断 → 最终回答

可以先只提供两三个低风险工具，例如内部知识搜索、公开网页搜索和计算器。每个工具的名称、用途、输入字段和返回值都应清楚，避免两个工具职责重叠。工具描述越含糊，模型越容易选错。

从只读能力开始

读取资料和计算通常是低风险动作；发送邮件、删除文件、提交订单和修改客户数据则会改变外部状态。第一版 Agent 最好只开放只读工具。确实需要写操作时，应在执行前展示动作摘要和关键参数，由用户明确确认，并让外部服务再次校验权限。

插件或自定义工具连接第三方服务时，只授予完成任务所需的最小权限。不要把管理员凭据交给通用 Agent，也不要假设提示词可以抵御所有恶意输入。来自网页、文件和工具返回值的文字都属于不可信数据，不能覆盖系统规则。

控制停止条件和成本

Agent 可能重复搜索或在无结果时不断换关键词。可以限制最大迭代次数、单次工具返回长度和总体执行时间。工具失败时，要求 Agent 说明失败原因并停止，不能把缺失结果补写成事实。

最终回答最好列出使用了哪些来源、哪些结论仍不确定。如果任务涉及采购、法律、医疗或财务决策，应把 Agent 定位为资料整理者，而不是最终决策者。

验收重点

除了正常任务，还要测试模糊目标、互相冲突的要求、工具不可用、返回空结果和文档中夹带指令的情况。查看每一步工具调用，确认参数正确、没有越权动作，并统计完成一次任务的调用次数和耗时。

Agent 的“聪明”不在于调用尽可能多的工具，而在于能用有限权限完成目标，并在无法可靠完成时及时停下来。