AI Agent 通过大模型规划、工具调用多轮迭代完成复杂业务。开发阶段大家重点处理显性故障网络超时、工具 API 报错、迭代轮次超限强制终止。这类故障会抛出异常日志清晰很容易被监控系统捕获。生产环境更加危险的是隐性伪成功失效Agent 完整走完全部流程工具调用全部返回 200任务状态标记成功但是推理理解出错输出错误业务结果。没有报错堆栈普通告警不会触发错误直接交付上层业务。比如数据分析 Agent 拿到正确数据表但统计口径理解错误输出错误报表查询 Agent 只访问部分数据源就直接给出结论。Demo 演示效果惊艳上线后隐性错误层出不穷。1 Agent 伪成功五大典型模式工具返回数据正确解读推理错误原始工具返回内容无误大模型理解、汇总、推理阶段发生错误。监控只检测工具调用是否成功识别不了语义解读错误。信息不全提前结束任务需要调用多个工具才能完成任务Agent 只执行部分步骤主观判定信息充足直接结束跳过必要查询。工具参数错误返回空数据参数写错返回空列表、空数据集HTTP 状态正常。模型没有识别数据无效直接基于空内容编造答案。幻觉填补信息缺口工具获取信息不足Agent 不继续调用工具补齐依靠幻觉虚构内容填充结果。无效循环达到最大迭代轮次Agent 持续在错误方向循环调用工具达到最大轮次直接返回半成品框架把轮次耗尽当做任务正常完成。核心区分点显性故障有异常码伪成功全部接口正常属于业务语义错误。2 底层成因分析第一大模型规划反思能力存在固有上限。模型没有真正理解业务目标依靠概率生成下一步动作会误判信息充足程度。 第二主流 Agent 框架重流程执行缺少业务语义校验。默认假设只要工具调用成功就可以得到正确结果。 第三缺少目标对齐校验。每一步执行后没有对照原始用户目标核对信息完备性。 第四迭代轮次处理逻辑缺陷到达上限直接返回结果而不是标记任务失败。 第五仅校验 HTTP 状态码不对返回数据内容做 Schema 校验。3 多层防御体系设计不能完全指望大模型自我检查要结合确定性代码逻辑与独立模型复核分层防护。第一层代码层工具返回结构化校验优先级最高工具返回结果交给大模型之前做确定性校验判断返回是否为空、关键字段是否缺失、数据行数是否达到业务最低阈值。触发异常优先重试重试失败标记数据不可靠。这一层是代码逻辑可靠性远高于大模型判断。第二层独立审计子 Agent做过程审计记录完整执行轨迹原始目标、每一步思考、工具入参、返回结果。单独启动审计模块不和主 Agent 共用实例避免缺陷传递。审计模块完成两件事①判断已收集信息是否足够回答原始问题识别是否过早结束②识别无效循环调用。 审计发现风险可以选择回退主流程补充步骤、标记结果低置信度、直接终止任务拒绝输出。第三层输出结果复核任务结束把用户原始请求、全流程轨迹、Agent 最终答案交给复核模型。优先选择和主 Agent 不同的模型避免同一模型重复犯同样错误。复核维度答案是否能被原始工具材料支撑是否编造信息是否遗漏关键条件。输出三级置信标签高、中、低。第四层业务侧根据置信度差异化处理高置信直接交付业务中置信增加提示告知用户结果仅供参考低置信禁止直接输出返回无法完成或者送入人工复核队列。理念关键点Agent 必须允许失败不能强迫无论如何都输出答案。第五层Bad case 闭环采集完整存储请求全量轨迹、审计、复核置信标签。低置信样本入库定期人工复盘迭代校验规则与提示词。很多隐性问题不会触发告警只能靠事后样本复盘发现。4 工程落地权衡整套防御带来额外 token 开销与时延需要做成本‑风险权衡。高风险业务启用全部防御普通业务保留工具校验 输出复核也可以采样执行审计复核100% 运行代码校验部分流量运行完整 LLM 审计平衡成本和安全性。重点提醒不要使用同一个模型同时做主 Agent 和复核 Agent容易出现自我证实识别不出自身错误。确定性校验优先写代码LLM 复核只作为补充防线。