利用有限状态机(FSM)与零信任认证构建可靠的AI Agent工作流

AI Agent 很美好，但失控很可怕

这两年，AI Agent 的概念火遍大江南北。从自动处理客服工单、批量生成营销文案，到自主管理社群消息，各行各业都在尝试让 AI 独立干活。设想一下：你在闲鱼上挂了一个自动客服 Agent，它能自动回复买家问题、整理订单信息，甚至帮客户免单。听起来很美好，对不对？但现实往往是一地鸡毛——Agent 可能卡在死循环里反复重试，可能把客户聊天记录发给了完全无关的人，也可能在未获授权的情况下自作主张地给买家退款。

问题出在哪？不是大模型不够聪明，而是：Agent 缺少边界和约束。大语言模型擅长推理和生成，但不懂严格的工作流程，不懂权限边界，也不懂什么时候该停下。想让它稳定可靠地完成任务，你必须用工程手段给它套上缰绳。

这套缰绳的核心，就是两个词：FSM（有限状态机）和Zero-Trust（零信任）。

失控的 Agent，问题出在哪

拿一个自动处理淘宝服务工单的 Agent 来说，没有约束时它会怎样？

• 陷入死循环：反复调用一个不存在的查询接口，或者对同一个问题来回分析，永远不往下走。
• 越权访问：明明只需要读公开的 FAQ，却把客户的订单详情和个人隐私全捞了出来。
• 擅自操作：没有明确授权就去修改订单状态，甚至发起退款。
• 输出反复横跳：同一道问题，上午一个答案，下午另一个答案，流程完全不可控。
• 出了问题无从追查：Agent 内部的判断过程像黑匣子，你根本不知道它为何做出某个决定。

产生上面这些问题，最根本的原因是：把 Agent 当成一个没有任何限制的万能黑箱在使用。大模型能思考，但它不擅长遵守流程。它需要一套外部机制来约束行为边界。而这套机制，恰恰就是计算机科学里早就存在的经典模型——FSM。

FSM：给 Agent 换一条轨道

FSM 的全称叫有限状态机，它的核心思想非常简单：任何时刻，系统只能处于有限个状态中的一个。比如"待回复"、"处理中"、"已完成"、"已退款"。只有满足特定条件，系统才会从一个状态切换到另一个状态。这是一个确定性的过程，每一步都有明确依据。

把 Agent 放进 FSM 的框架里，你的 Agent 就不再是自由发挥的天才，而是一个在铁轨上跑的高铁：速度快，但永远按路线走。

实操：用 FSM 约束一个文档处理 Agent

假设你要在猪八戒网上接一个自动化文档处理的单子：Agent 负责接收用户上传的合同，提取关键信息并存档。

用 FSM 设计它的工作流程，可以划分成五个状态：

• 待接收：等待文件上传
• 文件校验：检查格式、大小、是否加密
• 内容提取：调用大模型抽取合同金额、日期、双方信息
• 人工复核：关键字段由人工确认
• 归档完成：写入数据库，向用户发送回执

每个状态转移都有明确的触发条件。例如，只有当文件校验通过，状态才进入"内容提取"；如果校验失败，状态回到"待接收"并通知用户。Agent 能做的，只是在当前状态下执行有限的动作。它永远无法越权跳到"归档完成"，因为状态机的规则不允许。

Agent 在这个 FSM 中的角色是什么？它不是一个决策者，而是一个执行器。它在"内容提取"节点调用大模型能力分析合同，但要不要放行、要不要发回执，由流程本身决定。这样既发挥了 LLM 的智能优势，又保留了流程的确定性——这就是 Workflow Automation 的正确打开方式。

Zero-Trust：别再给 Agent 万能钥匙

流程约束住之后，下一个问题就是安全。传统的安全模型是"内网可信，外网不可信"。一旦 Agent 拿到了系统的 API Key，它就可以像内部员工一样自由访问数据。但 Agent 毕竟不是人：它可能被提示词攻击，可能被第三方数据污染，也可能凭空生成出你没写过的访问指令。用传统思路保护 AI Agent，等于把家门钥匙交给一个受了催眠的陌生人。

Zero-Trust 的思路恰恰相反：每次访问，都要验证；每次操作，都要授权；每个身份，都不可信。这套理念放在 AI Security 里，几乎是量身定做。

三个必须落地的原则

第一，把身份和上下文绑定。Agent 调用某个接口时，不能只认一个静态的 Token，而要同时校验当前状态（FSM 中处于哪个状态）、操作对象（是不是当前任务涉及的资源）、用户上下文（是谁发起的任务）。比如在"文件校验"阶段，Agent 就不应该有权限去读取客户历史订单，因为上下文根本对不上。

第二，最小权限原则。每个状态节点只配给最低限度的权限。处理"待接收"的 Agent 只需要读取上传接口的权限，不需要写数据库的权限。权限粒度要精细到"你能看合同金额"，而不是"你能看全部合同"。

第三，持续验证。不要以为通过了一次检查就可以一路绿灯。尤其在多步骤任务中，每一步操作都需要重新校验。比如 Agent 在"内容提取"阶段突然尝试调用删库接口，系统必须立刻拦截，无论它之前通过了多少次认证。

这套机制的落地，本质上就是 AI Security 的核心，它让 Agent 在拥有强大能力的同时，不具备无限的安全边界。在闲鱼或淘宝服务市场上，不少开发者给客户交付的 AI 工具连最基础的权限控制都没有，一旦出了安全事故损失巨大。能用零信任思路去设计和交付 Agent，本身就是差异化的竞争力。

落地时别忽略的四个细节

FSM 和零信任是框架，但在真实项目里，还有几个细节值得注意。

把 Agent 逻辑与状态管理解耦。最理想的架构是：FSM 引擎独立运行，Agent 只是其中的一个执行节点。状态数据单独存储，这样哪怕 Agent 的表现不稳定，状态也不会错乱。很多开发者把状态逻辑写在 Prompt 里，这是极其危险的——修改一段提示词，就可能让整个流程失控。

让每一步都看得见。状态机的天然优势就是可观测。每一步都能记录：当前状态、触发事件、输入输出、执行耗时。出了问题，可以精确回放，定位到某一个环节。

预留人工介入的节点。在涉及金钱和隐私的操作中，在 FSM 中设计一个"等待人工审核"状态，让真人确认后再放行。比如前面提到的文档处理 Agent，在"人工复核"这个节点，由人工点击确认后，才能进入归档完成。这样既保留了自动化的效率，又避免了失控的风险。

成本和时间也要纳入约束。有时候 Agent 失控不是行为错了，而是耗时太久。在 FSM 中加入超时机制：某个状态停留超过 30 秒，自动触发降级或通知管理员。

说到交付门槛，其实并不高。以闲鱼和猪八戒上的行情为例，一套基础的 FSM 工作流定制服务报价大概在 50 到 200 美元，换算成人民币大约 360 到 1440 元。如果加上零信任权限体系，单子通常能开到 500 美元以上，折合人民币 3600 元起步。对有经验的开发者来说，这是一个技术门槛适中、客户付费意愿明确的细分需求。

小结

AI Agent 的能力让人兴奋，但真正能落地、能赚钱的 Agent，一定不是靠大模型临场发挥，而是靠 FSM 管住流程，靠 Zero-Trust 守住权限，靠 Workflow Automation 把每一步变成确定性执行。在 AI Agent 相关的项目里，谁能把这套机制搭好，谁就能在闲鱼、猪八戒和淘宝服务这些平台上，找到稳定的商机。