老板看今年 AI 火热得不行，一拍手，公司要做 AI 助手来帮客户规划发货、排查运单，然后这活就落到了我手上。年初我和大多数同行想的一样：以现实里的分工为模板，定制专业 Agent 来干活，不够就往上加。做到年中回头看——不是多 Agent 没用了，是「加」这个本能，成了最大的坑。
去年底你问怎么做 Agent，别人大概率会说：先做个总控，下面挂几个专业 Agent，分工合作让调度、分发、互相校验，技术上听起来很漂亮。但这个方向火了一阵，现在讨论的却不多了。
今天就聊聊 2026 到现在为止，我对 AI Agent 发展趋势的思考和理解。
一个 Agent 能做的事，别让五个做
最近发现 OpenAI 和 Anthropic 都不怎么提那套多 Agent 编排了。
OpenAI 在发布 AgentKit（他们的 Agent 开发工具包）时回顾自己的做法，说过去的 Agent 开发是「在各个碎片工具之间折腾——复杂的编排、没有版本管理、自建的连接器、手动的评估管道、prompt 调试，再加上好几周的前端工作」。他们的新方案是先跑起来：一个推理模型 + 一套工具 + 评估 + 护栏。
Anthropic 今年的动作更明显。工程博客发了一系列新东西：高级工具使用、MCP 协议做代码执行、叫「think」的专用思考工具、Agent Skills（预设技能库）、上下文工程指南。
所有这些，都在做同一件事：把单个 Agent 做得更强，而不是让多个 Agent 来分担。
不是多 Agent 方案被抛弃了，而是它悄悄换了个位置，从「默认架构」变成了「特定场景下的选型」。OpenAI 的 Codex 团队公开说过自己在评估「单 Agent 架构还是多 Agent 架构的取舍」。连做 Agent 的人自己都觉得这事得权衡了，不是每个问题都需要一个团队来解决。
如果你手上的 Agent 方案默认就安排了好几个子 Agent 各司其职，可以试试先专注把其中一个打磨到极致。很多以为「需要分工」的场景，其实一个好模型配几个趁手的工具就能搞定。省掉的那层编排，是实实在在省了一个以后迟早要踩的坑。
多 Agent 系统调试成本的增长不是线性的。两个 Agent 协同，问题可能翻倍；三个以上，排查一次「这个任务到底卡在哪个 Agent 手里」就要耗掉你一整个下午。如果你现在跑着多 Agent 系统但全链路日志还没接，先别研究新架构了，把日志补上。
大模型正在吃掉 Harness
去年搭一个 Agent，标配是 prompt 链条、规划器-执行器循环、手写路由、RAG 包装、多步编排框架。今年你再翻这些框架的文档，它们讲的已经是另一套东西了。
OpenAI 现在推荐：Responses API + Agents SDK + Agent Builder + Connector Registry + Guardrails + Evals
Anthropic 对应版本：tool use + MCP + think 工具 + code execution + Agent Skills
两边都比去年薄了整整一层。被吃掉的那层去哪了？被模型本身吸收了。这不是猜的，有实证。
清华和斯坦福今年 3 月各发了一篇论文，结论一致：同一套模型，换一套编排框架，性能差 6 倍。但看细一点，不是要你把架子越搭越重，而是发现更好的方式是把硬编码的控制逻辑换成自然语言描述。仅此一项，准确率就从 30.4% 飙到了 47.2%。不是新模型，也不是新算法，只是把机器才能读懂的代码换成了模型也能读懂的句子。
这个模式意味着什么？不是营销号鼓吹的 ALL IN Harness，而是模型每迭代一次，这层架子的厚度就自动薄一层。你今天用一大堆自然语言写的控制逻辑，下个版本的模型可能不需要了。一句话它就直接理解你想干什么，中间不需要那层翻译。
被模型吸收掉的具体东西包括：工具选择、指令跟随、基础规划、结构化输出。Anthropic 说 Claude 能「动态发现、学习、执行工具」，OpenAI 的 RFT 让模型自己学着判断该什么时候调用哪个工具。以前是「模型不够强所以代码来补」，现在是「模型够强了，用来补的那层可以拆了」。
不过 ClawsBench 今年新 Agent 基准测试的数据很直白：即使上了全套架子，Agent 的成功率也只在 39-64% 之间，不安全动作率仍然有 7-33%。架子越多不等于越安全，有时候只是把问题藏得更深。
如果你去年搭的那套 Agent 框架到现在没动过，大概率有一层是可以卸掉的。先拆再优化，不是先优化再拆。但拆之前先弄清楚你那层架子到底在补什么，是在补模型能力不足，还是在做用户交互和流程编排？前者可以拆，后者不能拆。
做了的人在做减法，没做的人在画饼
Deloitte 今年发了一份企业 AI 落地报告，样本量够大：3,235 位高管，24 个国家，IT 和业务线各一半，2025 年 8-9 月完成调研。是目前看到最扎实的那一份。
三个数字串起来，说的是一件事：
四分之三的人在做计划，四分之一的人真的跑通了，五分之一的人知道怎么管。
其他分析机构的发现在同一个方向上。Forrester 的《2026 State of Agentic AI》说真正大规模跑起来的多 Agent 系统还是很少。Gartner 专门发了一份指南来讲”Agent 泛滥如何管理”——Agent 多得管不过来，已经成了企业的新问题。
这些企业最初怎么踩的坑，路径很一致：上来就想一口气自动化全局，跑了一圈发现范围太大了、日志接不上、人不知道什么时候该介入。回头缩回一个窄场景，先把评估和治理跟上，反而更快上了线。不是 Agent 不够强，是”加”这个动作本身成了惯性——还没搞清要解决什么问题，就先想怎么加 Agent。
Deloitte 的原文结论很直接：做得好的人不是 Agent 铺得快，是”从低风险场景开始，先把治理能力搭好，然后有意识地扩展”。
如果你现在手上同时有三四个 Agent 项目在规划，最优先的不是挑一个先做，是先搞清楚你准备怎么管它，身份、权限、日志、人工介入的边界。这些事等上线再补，比不做 Agent 本身还麻烦。
安全这一层，模型吃不掉
前面三段都在说模型变强之后你可以少做些事。但有一件事，模型越强，越不能少。
安全。
2024 年你写一句”确认后执行”就算安全措施了。到 2026 年，这套行不通了。国际 AI 安全报告和各家的安全指南说的都是同一件事：Agent 出事的根因不是 prompt 被绕过了，是模型输出和执行操作之间少了一道墙——Agent 做了一件”合理但错误”的事，并且没有东西能拦住它。
2026 年的安全已经不是写在 prompt 里的阶段了，而是写在代码里的运行态控制：
🔒 Agent 级别的身份和最小权限
🔒 每次工具调用的审计日志
🔒 高风险操作的审批门
🔒 代码执行的沙箱
🔒 注入和异常行为监控
这些是 2026 年做 Agent 的默认配置。
法规这边，EU AI Act 是做得最硬的那个。美国还没有联邦级别的 Agent 专门法规，但 NIST 风险管理框架和 OWASP 的应用加固指南已经自然成了行业默认遵守的那套标准。
如果你在搭 Agent 但还没做身份隔离和操作审计，这是下半年最该补的一课。模型越强，它做错事的规模就越大。安全层不是”晚点再说”的事，它是模型吃不掉的事，也是那些做了减法的企业真正不能被模仿的护城河。
千万别觉得”我的 Agent 只在内部跑，不用考虑安全”。Agent 事故最常见的模式不是外部攻击，是它替你正常做事但做错了量级，跨越了不该过的边界。这类问题靠 prompt 救不了，靠权限设计能救。
最后
要不要踩刹车，得根据真实的业务情况来，重要的是看清楚路再走。
2026 上半年，Agent 行业从”能跑”迈到了”能跑稳”。大模型的干活能力越来越强，也需要同步的更新 Harness 来适配对应模型的能力。
这件事情经历过来就像养娃一样，你不能永远用小孩那套架子。 他成长了，家长也要调整相处的模式。
如果这篇让你对自己的 Agent 方案少了点焦虑、多了点方向，点个赞就好。
每周拆一件 AI 圈真正在变的事。不追热点，只追变数。关注不走散 🐟