跨国深谈← 返回←企业还没为 AI 智能体做好准备：四条架构原则补上缺口

企业还没为 AI 智能体做好准备：四条架构原则补上缺口

关联

人物 Christopher Lovejoy · Saul Howard

概念 智能体 · 审计轨迹 · 交易日志 · 对象存储 · 零信任 · 提示词注入 · PHI · 评估 · POC

把 AI 智能体卖进医疗健康企业，最难的往往不是把 AI 做准，而是把它送进生产环境。这一集的两位主角都常年深耕企业级医疗 AI:Christopher Lovejoy 是 Anthropic 的前置部署工程师(嵌入企业内部、帮它们用 AI 智能体拿到价值)，Saul 是纽约公司 Anterior 的工程副总裁，专门向美国健康保险公司卖智能体式 AI。

他们从一个所有人都熟悉的场景讲起：企业 POC(概念验证)。你定了客户和用例，规划范围、定好指标，派两个工程师干四周——然后 AI 表现符合预期，又快又便宜，汇报会上人人兴奋：财务想知道对预算的影响，首席医疗官急着夸自家 AI 有多准，销售负责人问什么时候能在官网写上「由 AI 驱动」。

但所有人都默认「难的部分已经做完了」。第二天一开会，真实的问题才涌出来：审计轨迹在哪？

敏感数据怎么流转？谁在批准智能体的决策？

不可信数据能操纵模型吗？怎么连进 Epic、Salesforce 这些系统？他们选了四个最要命的问题，逐一给出架构答案。

审计轨迹：不是日志，是法庭证据

对程序员来说，审计轨迹听起来像 Datadog 里的开发日志。但在真实企业的安全框架(如 SOC2、HITRUST、HIPAA)下，它必须是智能体每一个动作、每一次数据访问、每一项授权的完整记录。

一个直观的检验标准：如果智能体的决策上了法庭，你能不能拿出一条可辩护的证据链？这在医疗场景完全可能发生。

答案是借鉴金融行业的**交易日志**模式：一条只追加、带时间戳的不可变事件记录，作为全系统唯一的事实来源——即使你有多个智能体并行运行，也只有这一个真相。这样架构之后，可审计性不再是要专门做的事，而是从数据存储范式中自然长出来的：回溯任何时间点、看清系统当时的确切状态，是做不到「不」的。

权衡在哪？写入变得极简单(扔一个事件就行)，读取变难(要重放所有事件才能重构视图)，可以用缓存和快照缓解。而且他们发现医疗场景反而受益：事后常有新事件改变对医疗旅程的解读，你需要同一个时间点的不同视图——所有视图都是事件日志的临时计算投影，想怎么看就怎么算。

敏感数据：模式驱动的对象存储 + 零信任

医疗数据是 PHI(受保护健康信息)，有法律红线：智能体和人一样，不能访问任何非当前旅程绝对必需的数据；有的客户甚至不让数据离开自己的本地 VPC(云上的私有网络环境)。这类数据很复杂——有时结构化有时不结构化、单条轻松超过一兆、访问控制严格。

他们的方案是模式驱动的对象存储(按预定义数据形状来存的大对象存储)，与事件日志分离：事件只存「发生了什么」，只包含指向数据 blob 的引用，真正的医疗数据以不可变方式存在对象存储里。这个分离带来三个好处：

• 可观测性不碰隐私：开发者可以回溯调试、看清智能体每一步为什么这么做——但只能看到数据的「形状」，拿不到数据本身。
• 零信任落地：对象存储成为执行零信任原则的地方，智能体持令牌、在使用点凭令牌取数据，数据不许在系统里随意流动。
• 缓解提示词注入(攻击者借不可信数据操纵智能体)：他们称之为「致命三要素」的解法——架构上保证持有一个智能体无法在同一进程里又摸到这份数据又摸到那份，把约束直接消灭在结构里。

人工升级：把人也当成一种「智能体」

上报机制很难预判——可能是 AI 不确定时上报，也可能是规则触发(治疗超过阈值必须由临床医生批准)。而且 LLM 吞得下海量上下文，人不行。

他们的模式：在平台层面强制一个更宽泛的「智能体」定义，把人类和 LLM 都囊括在内。任何 LLM 能执行的动作，人类也能执行。

于是动作链上任何一点都可以升级给人类，人做完这一步，下游根本不在乎上游是人还是 LLM 干的。共享的上下文定义还能分别映射成两种呈现：给智能体的 prompt,或给人的 UI。

Evals:前三条原则的免费副产品

Evals(评估，衡量模型/系统表现好坏的测试)公认难做：LLM 不是确定性的，难以锁定哪处改动导致了输出变化；离线数据集未必代表生产数据；数据还会随时间漂移。而前面三条原则让他们几乎不加东西就拿到了有效的隐私保护 evals:

• 重放：回到事件序列的任何时刻，看到系统完整状态，微调 prompt、换模型、改代码，精确看到直接影响。
• 人机对比：因为人类与智能体等价，任何任务都可以让人和 LLM 各做一遍，差异就是 eval 分数。
• 生产数据上跑而不暴露：对象存储让 evals 能直接在生产数据上跑、甚至在客户环境内部跑，敏感数据从不需要来到智能体工作的地方。

本集带走

• 审计别事后补：用金融式的不可变交易日志(只追加、带时间戳、全系统唯一事实来源)，可审计性从存储范式中自然产生；代价是读取变难，用缓存/快照缓解。
• 数据与事件分离：事件只存引用，数据进不可变的模式驱动对象存储——可观测性不碰 PHI、零信任令牌有落点、提示词注入的约束在架构层面被消灭。
• 把人纳入「智能体」定义：任何 LLM 动作人类也能执行，升级上报变得随处可行、下游无感。
• evals 是副产品不是附件：重放任意时刻 + 人机同题对比 + 在生产数据上评估而不暴露数据。
• 最大的坑：拿着高准确率的 POC 往上垒，遇到需求再bolt上安全、审计、evals——最后得到一个脆弱、难泛化的东西。正确做法是从第一天就把可投产的企业级约束当架构原则，反向构建回 POC 的准确率。

你的智能体可以持有令牌，并在使用点上使用这些令牌访问数据，而不允许数据在系统中随意流动。
Your agents can bear tokens and use those tokens to access the data at the point of use and not allow data to flow around the system as it likes.
—— Saul Howard · [12:03]

一种在这里能运作得很好的模式是，如果你在平台中强制执行一个更宽泛的 agent 定义，把 LLM 和人类都囊括在内，那么你就可以做到让任何 LLM 能执行的动作，人类也能执行。
One pattern that can work very well here is if in your platform you enforce a wider definition of agent which encompasses both LLMs and humans, then you can make it such that any action that can be taken by an LLM could also be taken by a human.
—— Christopher Lovejoy · [13:49]

实际上几乎作为副产品就给了你有效的隐私保护的 evals,而不需要在架构旁边额外加上什么东西。
Actually give you effective privacy preserving evals almost as a byproduct without needing to kind of bolt something onto the side of your architecture.
—— Christopher Lovejoy · [15:42]

其次，你有这种人类与智能体的等价性，这意味着对于任何任务，你可以让智能体——也就是 LLM 智能体——和人类都执行它，而你们的差异就是你的 eval。
Secondly, you have this human agent equivalency, which means that for any task, you could get both the agent, the LLM agent, and the human to perform it, and your difference is your eval.
—— Christopher Lovejoy · [16:16]

我想说的是，我见过走错路的地方，是拿着最初的那个 POC——那个展现出巨大前景、比如展现出高准确率的单点解决方案——然后试图从它向上构建，在遇到企业需求时再把它们绑上去。
And I’d say the takeaway is that where I’ve seen it go wrong is taking that initial POC, that point solution that showed so much promise and that showed the high accuracy, for example, and then trying to build up from it, strapping on the enterprise requirements as you come across them.
—— Saul Howard · [17:56]

而我见过走得好的地方是，如果你从一开始就认真对待一个可投产的、规模化企业系统的约束，把那些当作你要构建一切的架构原则，然后用你的新原语反向构建，重新达到那个 POC 的准确率。
But where I’ve seen it go well is if you take the constraints of a production-ready scaled enterprise system seriously from the beginning and treat those as the architectural principles that you’re going to build everything upon and then build back up towards that POC accuracy using your new primitives.
—— Saul Howard · [18:32]