你要是也在琢磨，为什么同一个模型，换个产品就完全不是一个干活水平，这篇可以先看。

先把结论撂这儿。模型只是大脑，能不能干活靠的是外面那层壳。业界现在有个很直白的公式： Agent = Model + Harness。模型负责推理，Harness 负责把推理变成真实世界里能落地的动作。

你天天用的 Claude Code、Cursor、Codex，表面上是 AI 编程助手。拆开看，全是 Harness 工程的产物。同一个模型换一套 Harness，跑分能差出一倍。这篇就讲清楚这东西怎么设计，怎么自己搭，放到政务这类强合规业务里又要注意什么。

给业务搭一套 Harness

一、一句话说透 Harness 是什么

把大模型想象成一个刚入职、什么都懂、但什么权限都没有的新人。Harness 就是给这个新人配的工牌、电脑权限、SOP 手册、审批流程和监控摄像头。它不是新人本身。没有这套东西，新人只能坐在会议室里回答问题。

常见定义几乎长一个样。Harness 是包裹在模型外面的软件基础设施，管工具调用、记忆、执行环境、状态持久化和反馈闭环，唯独不管模型内部怎么想。更直白一点，Harness 就是 Agent 系统里，除了模型本身之外的所有代码、配置和执行逻辑。

所以你要判断自己是不是在做 Harness 工程，标准很简单。

• 你写的是喂给模型看的提示词，
   那是 Prompt Engineering。
• 你写的是决定模型什么时候能看到什么信息，
   那是 Context Engineering。
• 你写的是给模型配工具、配沙箱、配审批、配日志，
   那就是 Harness Engineering。

这三层是嵌套关系。Prompt 和 Context 都活在 Harness 里面。

二、Harness 里到底有哪几块砖

不管你是做编程助手、客服机器人还是政务审批 Agent，拆开来看，能上生产的 Harness 基本都逃不出这几块。我按重要性重新排一下。

• 任务定义层：
   结构化地告诉 Agent 要干什么、边界在哪、什么算完成。这一步含糊，后面全崩。
• 工具注册表：
   Agent 能调用的 API、数据库、文件系统、代码执行环境的清单。现在更稳的做法是少给碎片化小工具，让模型直接写代码去调用，灵活度更高。
• 执行运行时：
   一个不停转的循环，推理、行动、观察、再推理。业内叫 ReAct 循环，这是几乎所有生产级 Agent 的骨架。
• 沙箱和隔离环境：
   Agent 干活的地方要跟生产系统隔开，出了问题能一键重置，不会把线上数据库删了。
• 记忆与上下文管理：
   模型本身没有记忆，上下文一长就发疯，业内叫 context rot。Harness 要负责什么保留、什么压缩摘要、跨会话怎么存取。
• 反馈与自校验：
   跑完一步不能就算完，得有测试、检查器，甚至用另一个模型当裁判，去看结果对不对。业内也把这块叫 Sensors。
• 护栏与人工审批：
   什么操作必须人签字才能放行。这是防止 Agent 自作主张删数据、发消息、下单的最后一道闸。
• 可观测性和审计日志：
   每一步谁做的、为什么做、结果如何，全部留痕。调试要用，受监管行业更是硬性合规要求。

还有一个很关键的视角。好的 Harness 应该让模型能看懂、并主动管理自己的状态和上下文，少靠人把所有规则硬编码进去。这叫 model-callable harness APIs。顶级 Harness 会把部分控制权交还给模型，让它自己判断什么时候该压缩上下文，什么时候该调用哪个工具。

三、设计方法，从你要什么行为倒推

这是最容易踩的坑。一上来就纠结用 LangGraph 还是 AutoGen，用哪个向量库。更稳的做法是： 先定义清楚你要的行为和完成标准，再倒推需要什么工具、什么上下文、哪些步骤需要人审批。

具体怎么倒推，有一套很实用的双轮驱动。

Guides，前馈控制。 在 Agent 动手之前就把它引导到正确方向上。比如系统提示词里写清楚业务规则，给它一份 Skill 文档，告诉它我们公司这么写代码、这么审批。目的是提高它第一次就做对的概率。

Sensors，反馈控制。 在 Agent 动手之后检查结果，比如跑测试、跑检查器、让模型自己复查一遍。这里有个细节很重要。反馈信号最好是给大模型看的，不只是给人看的。一个好的报错信息不该只说字段校验失败，而应该顺带告诉模型应该怎么改。这本质上是一种正向的提示注入。

这两种控制还能再细分成两类。

• 计算型：
   确定性、跑得快，比如类型检查、规则引擎。
• 推理型：
   靠另一个模型做语义判断，慢，但能处理这段话是不是符合政策精神这种模糊问题。

设计原则很朴素。能用计算型解决的问题，别浪费在推理型上。推理型留给真正需要语义判断的地方。

四、落到自己业务上，按三步走

抛开概念，自己动手搭一套 Harness，建议按这个顺序推进。

第一步，画清楚任务边界

你的 Agent 要处理的是一次性问答，还是多步骤长任务。是完全自主执行，还是每一步都要等人确认。这决定了你的执行循环要多复杂，要不要引入子任务规划和多智能体协作。

第二步，列工具清单，做最小化

别一次性把公司所有 API 都塞给模型。工具越多，模型越容易选错，决策越慢。先给最核心的 3 到 5 个工具，跑通了再加。同时把每个工具的调用描述写清楚。这是最容易被忽视、又最容易出问题的地方。描述稍微一改，模型调用方式就可能跟着跑偏。

第三步，护栏和审计放在设计阶段，不要事后补

哪些动作是不可逆的，删数据、发消息、走款、盖章，这些动作必须走人工审批。哪些是可逆的，查询、生成草稿，这些可以完全自主。这条线画错，轻则返工，重则出事故。

五、政务和强合规业务，多一道谁能拍板

政务场景跟一般 SaaS 客服 Agent 最大的区别，在责任归属和留痕要求，技术难度反倒是其次。这里给几个具体建议。

审批链要显式建模，不能藏在提示词里。 一般企业 Agent 可能靠系统提示词里一句重要操作请谨慎就带过去了。政务系统必须把审批节点做成 Harness 里的硬编码逻辑。比如涉及财政资金的操作必须经过 A 岗初审加 B 岗复核。这条规则要做成执行运行时里的强制拦截点，模型绕不过去。

审计日志要做到谁在什么时间、基于什么依据、做了什么决定，而且要能反查。 这是合规红线。受监管行业需要能证明这个动作是在谁的授权下发生的完整审计链。政务系统只会比一般企业要求更严，因为背后是行政问责。

用分级自主权，别一刀切全自动或全人工。 具体做法是把业务动作按风险分级。查询类信息，比如办事进度查询、政策问答，可以让 Agent 完全自主处理。涉及个人信息核验、材料审核这类中风险动作，Agent 可以先做，但结果要经办人复核确认。涉及资金、处罚、行政决定这类高风险动作，Agent 只能出建议，决定权必须留给人。这个分级本身就是 Harness 设计里护栏模块要承担的核心工作。

数据不能乱跑，必须有边界清晰的沙箱。 政务数据涉及个人隐私和敏感信息。Agent 的执行环境要严格隔离，能访问什么数据源、不能访问什么，要在架构层面锁死。不要靠提示词里一句请勿泄露隐私信息，去指望模型自律。

优先用计算型 Sensor 做合规检查。 比如身份证号格式、行政区划编码、公文格式规范，这些用规则引擎和结构化校验就能百分百确定性地检查。不要指望让另一个模型去判断这份材料是否合规。省钱又更可靠。推理型判断留给真正需要理解语义的场景，比如判断一段自由文本描述的诉求属于哪个部门管辖。

六、一般企业业务怎么落地

假设你要给自己的软考学习平台做一个 AI 学习顾问 Agent。任务是根据学员的刷题记录推荐学习计划、答疑、生成阶段测试。按照上面的方法论走一遍。

任务边界很清楚。多步骤，但不需要不可逆操作，大部分动作可以完全自主。工具清单可以精简到查询刷题历史、查询知识点掌握度、生成测试题、写学习笔记到用户笔记本。执行环境不需要复杂沙箱，因为不涉及外部系统写操作。护栏方面，唯一需要人工确认的场景可能是给用户发付费课程推荐这种涉及转化和信任的动作，其余可以自主执行。反馈闭环可以做得很轻。生成的测试题先跑一遍规则校验，答案是否唯一、选项是否合规，再叠加一次模型自查，题目是否符合大纲要求。

这套东西写下来，可能就是几百行代码加几份配置文件，根本用不上什么复杂的多智能体框架。Harness 的复杂度应该匹配任务本身的复杂度，花哨不是优点。

七、常见的坑，提前避开

下面这几个失败模式最该防。

• 上下文一长就退化，也就是 context rot，没有压缩摘要策略。
• 一次性塞太多工具，模型选择困难、响应变慢。
• 工具描述改了一点，模型调用方式跟着崩，而且是静默失败，不报错但结果错。
• 没有验证闭环，Agent 提前宣布任务完成，实际没做完。
• 护栏缺失，不可逆操作没有人工卡点，出事故没法追责。

Harness 工程现在还是个新领域。怎么系统性评估一个 Harness 好不好，业界都还没有像代码覆盖率那样成熟的标准。所以别指望一次搭对。把它当成一个持续迭代的系统。出问题就往前馈 Guides 或反馈 Sensors 里补一条规则，慢慢把这套外壳磨得跟你的业务贴合。这才是目前大家真实在做的事情。这是长期的驯化过程。

模型负责想。Harness 负责让它能干、敢干、干完还能被查。

小结一下，主要是三点。

1. 先定行为，再选框架。
    完成标准、工具边界、哪些步骤必须人签字，这三件事没画清，换什么编排库都白搭。
2. 工具越少越好跑通。
    先 3 到 5 个核心工具，描述写清楚，再谈扩展。
3. 不可逆操作必须硬拦截。
    审批和审计写进运行时，不要写进一句请谨慎。

觉得有帮助，欢迎点赞、在看、转发。还没关注的朋友，点下方名片关注一下，后面继续拆 Agent 和工具怎么真正落地。