设计 AI Agent 的人工审批节点，可以用一个简单原则：不可逆、影响范围大、对外可见的操作必须停下来等人确认；可逆、只影响草稿或沙盒的操作可以放行。 剩下的问题是怎样让审批既不形同虚设，也不至于烦到人人都点「全部同意」。

三个判断维度

可逆性

删除数据、发送邮件、付款、发布内容，一旦执行很难撤回；生成草稿、在临时目录写文件、读取信息，出错可以重来。不可逆操作默认需要审批。

影响范围

只影响执行者自己的操作，风险低于影响整个团队或所有客户的操作。例如修改个人笔记与修改共享配置，审批要求应该不同。

对外可见性

任何会被客户、合作方或公众看到的内容，都值得多一道确认，因为它代表的是组织或个人的名义。

可以把三个维度做成一张简单矩阵，对 Agent 可调用的每个工具逐一归类，而不是在运行时临时判断。

审批卡片应包含什么

审批之所以常常流于形式，是因为审批者看不懂要批准的到底是什么。一张好的审批卡片应写明：

  • 要做什么：具体操作和目标对象，例如「向 3 位客户发送以下邮件」
  • 为什么：Agent 做这一步的依据，关联到哪个任务
  • 完整内容：将要发送的正文、将要删除的文件列表，而不是摘要
  • 影响：执行后会发生什么，能否撤回
  • 选项：批准、修改后批准、拒绝

超时与拒绝怎么处理

  • 审批超时视为拒绝，Agent 不能在无人响应时自行继续
  • 被拒绝后，Agent 应停止该操作，而不是换一种方式达到同样效果
  • 拒绝时可以附上原因，供 Agent 调整方案后重新申请

减少审批疲劳

  • 合并同类操作：一次审批一批相同性质的操作，而不是逐条弹窗
  • 预授权：对低风险、高频的操作（例如在指定文件夹内整理文件）设定明确范围的长期许可
  • 定期复盘：查看哪些审批几乎总被批准，考虑降级；哪些曾被拒绝，考虑加强

审批日志

每次审批都应记录：时间、操作内容、审批人、结果和原因。日志既用于事后追查，也能帮助你调整工具分级。

常见坑

  • 只在提示词里写「重要操作请先确认」，而没有在工具层面强制拦截
  • 审批卡片只显示摘要，审批者无法发现内容问题
  • 把「用户在任务描述里提到过」当作已获批准

相关阅读