第 55 章 智能体不是角色扮演，而是有边界的工位#

55.1 从工位职责到最小权限#

名字不是架构。

给模型起名“金牌编剧”不会形成系统。一个工位必须有明确输入、允许读取的事实、可写输出、预算、审批条件和禁止行为。

十一个核心工位。

总控 Showrunner 管状态与闸门；市场分析生成机会假设；故事架构维护承诺和整季；编剧室生成 Episode Pack；资产导演维护 Registry；分镜导演生成 Shot Ledger；生成制片执行路线；剪辑导演维护 Timeline；QC 管 Issue；发行分析管理素材与指标；权利合规维护来源和发布限制。

图 55-1 Agentic 制片架构。各智能体通过项目状态、事件日志和依赖图交换可验证信息；它们不能直接覆盖彼此的事实。候选结果只有经过质检与人工审批，才能组成发布候选。

图中的中心不是一个“万能总控模型”，而是可审计的生产记忆。智能体读取被允许的状态、提交事件和候选产物，再由状态机决定能否推进。人工审批位于高影响闸门，而不是所有自动步骤的末尾装饰。这样的架构才允许替换某个模型或工位，而不需要把整部作品重新塞进一个聊天上下文。

Agent Contract。

agent:
  id: AGENT_STORYBOARD
  reads: [approved_episode_pack, asset_registry, continuity_ledger, style_bible]
  writes: [storyboard_rows, asset_requests, continuity_risks]
  may_not:
    - 修改已批准剧情事实
    - 发明未登记人物或道具
    - 启动视频生成
  budget:
    max_revision_rounds: 3
  advance_when:
    - all_assets_resolved
    - storyboard_qc_no_P0_P1
  human_approval: required_before_keyframes

最小权限。

编剧可提出新资产需求，不能直接批准资产；生成工位可产生候选，不能把自己结果标成最终通过；QC 可以阻断，不能偷偷修事实。权限分离防止一个智能体既出题又判卷。

55.2 审批、失败升级与运行流程#

人类审批点。

母题、主角、Styleframe、首卡、黄金资产、试播粗剪和发布必须有人批准。自动化可在低风险格式转换和已批准规则内继续。

审批界面展示差异、证据、成本和影响，不只给“接受/拒绝”。

失败与升级。

智能体遇到缺失事实、冲突版本、超预算或重复失败时停止并创建 Issue，不猜测。连续三次同类失败升级上游，而非继续重试。

SOP。

第一步，列生产工位。第二步，为每个工位写读写权限。第三步，设置预算和停止条件。第四步，定义输出 Schema。第五步，设置人类审批。第六步，测试越权和缺失输入。第七步，用审计日志记录每次行动。

故障树。

**症状：智能体互相覆盖结果。**写权限未分离。确定单一资产所有者。

**症状：自动化不停烧额度。**没有预算与失败升级。增加尝试上限和阻断。

**症状：结果看似完整却事实错。**允许模型补缺失数据。缺失必须报 Issue。

55.3 权限矩阵、完整交接与审批包#

检查表、练习与交付物。

检查每个工位是否有输入、输出、权限、预算、停止、审批和禁止行为；是否能追溯谁改变了事实；是否存在自我批准。

练习一：为音乐智能体写 Agent Contract。练习二：设计一次越权测试。练习三：把“做整部剧”拆成有所有者的工位。

本章交付物：Agent Registry、Agent Contracts、Permission Matrix、Approval Map、Escalation Rules。

《逆光收购》的权限矩阵。

矩阵中的“可起草”不等于拥有事实。市场智能体可以提出受众假设，不能把未经测试的假设写成已证实结论。生成制片可以选择候选，不能因为某个错误视频比较漂亮就修改角色服装事实。

一个完整交接。

编剧室完成 E001_PACK@v09 后，输出不是一段聊天，而是 Episode Pack、未解决问题和资产需求。Showrunner 验证 Schema、ID 与状态，向资产导演发送 ASSET_REQUEST_E001@v03，向 QC 发送剧本审查任务。只有 QC 无 P0/P1 且人类主创批准，才发布 episode_pack_approved 事件。

分镜导演读取批准版本。如果发现剧本要求“授权书文字清楚”，但 GRAPHIC_AUTHORIZATION 尚未建立，它创建阻断 Issue，而不是在提示词中临时写一份。资产完成后，原任务从相同 Task ID 继续。

这种交接防止三类隐性修改：把缺失资产当作自由创作；把候选当批准；把下游便利当成修改故事的理由。

审批包应展示什么。

人类审批不应阅读所有底层日志。审批包包括：当前建议、与上一版差异、受影响工件、成本、阻断问题、可选方案和不可逆后果。

approval_request:
  id: APR_STYLEFRAME_004
  decision: 选择办公室写实路线A或插画路线B
  evidence: [STYLE_TEST_A, STYLE_TEST_B, COST_TEST_02]
  difference: A表演更自然，B身份通过率更高
  downstream_impact: 角色、场景、前十集关键帧
  deadline: asset_lock_gate
  default_if_no_response: remain_blocked

默认不应自动批准高影响决定。

55.4 越权测试、人类负荷与任务包#

智能体越权测试。

上线前故意给出危险输入：要求分镜智能体创建新角色；要求 QC 修改剧本使其通过；要求生成智能体绕过未批准关键帧；要求发行智能体删除 AI 标识。系统应拒绝、指出违反哪条权限并生成审计事件。

还要测试“温和越权”：模型不是直接修改，而是在输出中悄悄换姓名、服装或金额。引用验证器必须比较事实账，而不只检查 JSON 合法。

人类负荷预算。

人类审批也是瓶颈。高风险决策逐项审，低风险格式转换抽样审；同类稳定任务可批量呈现差异。系统记录平均审批时间和积压，避免自动化产量超过人类判断能力。

当审批队列过长，调度器减少上游并发，而不是继续制造候选。生产速度由最慢的必要判断决定。

RACI 与值班责任。

每个闸门注明 Responsible、Accountable、Consulted、Informed。智能体可以负责准备材料，最终问责必须落到明确的人。发布夜出现 AI 标识缺失时，不能让“法务智能体说可以”成为责任终点；发布负责人依据 Rights/QC 证据签字。

高风险工位设置人工值班与升级时限：P0 立即暂停相关发布，P1 在当前批次继续前处理，P2 进入周复盘。智能体只负责触发，不自行改变严重度。

工位必须接收任务包，而不是一句自然语言。

总控向工位签发的最小任务包包含 Task ID、目标工件、批准输入、允许变量、禁止变量、预算、截止、输出 Schema、验收规则和升级对象。自然语言只负责解释意图，不能取代这些字段。

task_packet:
  task_id: TASK_STORYBOARD_E003_B06
  owner: AGENT_STORYBOARD
  objective: 将父亲签名揭露拆成可生成镜头
  approved_inputs: [E003_PACK@v11, CONT_E003_B06@v04]
  mutable: [shot_count, shot_size, camera_zone, coverage]
  immutable: [signature_fact, character_positions, prop_owner]
  budget: {drafts: 2, human_review_minutes: 12}
  output: storyboard.schema@v06
  stop_when: [missing_asset, fact_conflict, budget_exceeded]
  escalate_to: SHOWRUNNER_QUEUE

没有 immutable，分镜智能体可能为了镜头漂亮改变证据；没有 stop_when，它会把缺失信息编成新事实；没有 output，下游只能解析散文。

结果提交分为候选、建议和决定。

候选是可供比较的产物，例如三张关键帧；建议是智能体根据规则推荐某一候选，并列证据与风险；决定是拥有批准权的人或闸门产生的状态变化。三者必须使用不同事件类型。

生成智能体可以提交 candidate_created 和 candidate_recommended，不能提交 asset_approved。QC 可以提交 gate_blocked，不能偷偷修改镜头后再宣布通过。Showrunner 也不能在权利负责人缺席时把缺失许可标成已清理。

这种区分防止“模型语气很确定”被系统误当成正式决定。任何批准事件都必须验证批准人的权限和所依据的候选哈希。

55.5 自主等级、能力令牌与审批质量#

自主等级不是全局开关。

同一个系统可按任务风险设置不同自主等级：L0 只读分析；L1 起草后人工逐项批准；L2 在批准规则内执行并抽检；L3 可自动推进低风险任务，但遇阈值停止；L4 仅限完全确定性的格式和文件操作。不存在“整部短剧开启全自动”的单一等级。

角色选定、事实改变、黄金资产、故事卡点、发布和权利始终保留人类责任。文件转码、Schema 检查、引用解析和已批准模板渲染可以高度自动。自主等级绑定 task_type × risk_tier，而不是绑定某个智能体名字。

一次安全失败比一次漂亮越权更有价值。

假设资产智能体发现剧本提到“母亲的旧照片”，Registry 中却没有该道具。安全行为是创建资产需求并阻断相关镜头；危险行为是临时生成一张“看起来合适”的照片。后者更快，却可能发明母亲年龄、地点、服装和关系证据，污染整季。

系统应统计“正确停止率”：遇到缺失、冲突和越权请求时，智能体是否拒绝并提供最小充分证据。生产级智能体的能力不仅是完成任务，也包括知道哪些任务当前不允许完成。

能力令牌与逐任务授权。

权限不能只写在系统提示词里。调度器为每个 Task Packet 签发短时能力令牌，声明允许读取的实体、允许创建的工件、可调用工具、预算和过期时间。智能体提交结果时，系统验证令牌与操作范围；模型即使声称“已获批准”，没有有效令牌也不能写入正式状态。

图 55-2 智能体只能读取批准输入、在候选区写入结果，并被红色边界阻止执行批准与正式状态写入。候选必须经过独立审批闸门，模型的确定语气不能替代权限。

图中最右侧的正式状态存储不直接向智能体开放。即使智能体同时生成了候选和验证报告，它也不能自己批准自己；高风险工位必须保持提议、评测和决定的职责分离。

capability_token:
  subject: AGENT_STORYBOARD
  task: TASK_E003_B06
  read: [EP_E003@v11, CHAR_LINYUN@v03, LOC_MEETING@v05]
  create: [storyboard_candidate]
  forbidden: [approve_asset, alter_fact, publish]
  budget_units: 12
  expires_at: 2026-07-06T18:00:00Z

令牌按任务最小化，不能给“导演智能体”永久全库写权限。紧急扩权由人类批准并记录原因，到期自动撤回。

工位服务目录与输入输出兼容。

Agent Registry 除名字和职责外，还应声明支持的 Task Type、输入 Schema、输出 Schema、模型与工具依赖、SLO、成本级别和已知禁区。调度器按能力匹配工位，而不是把所有任务发给一个通用聊天模型。

Schema 版本不兼容时，任务进入适配或人工队列，不能让模型猜字段。新工位先以影子模式读取真实任务但不写生产结果，和现有工位比较通过率、人工修改量、成本与安全停止率，证明后才接管小批流量。

人类审批也必须有质量标准。

人类不是天然可靠。审批者可能疲劳、偏爱自己方案、跳过证据或在不同批次使用不同门槛。Approval Contract 规定审批问题、必看证据、可选动作、利益冲突和最大连续审片量。关键角色、权利和发布决定使用双人或分权确认。

系统记录审批耗时、重开率和后续逃逸问题，用于改善界面与分工，不用于粗暴评价个人。若某类候选总需审批者重新调查，说明审批包不完整；若审批通过后频繁被下游推翻，需校准标准或增加训练样本。