2023 年是大语言模型落地应用的早期阶段，也是“年薪百万的提示词工程师”刷屏的一年。工业界曾一度将核心精力投射于提示词工程，导致市面上充斥着“万能 Prompt 模板”和“Prompt 圣经”。与此同时，方法论侧也在经历系统化的演进，从早期的少样本提示发展至思维链、思维树等高级策略[1]，与依赖用户直觉的“盲提示（Blind Prompting）”划清了界限[2]。这是上半场的故事：人们在卷“怎么跟 AI 说话”。然而依赖单次交互的“提示-响应”模式所带来的瓶颈也很明显。稍微深度用过 AI 的人都会发现，无论 Prompt 写得多巧，自己仍然充当“人肉缝合怪”的角色——把代码贴进去、复制结果、跑出错、把报错粘回来、改 Prompt、再来一遍。当应用于大型软件工程或复杂业务场景中时，这种瓶颈会被进一步放大。上述单轮交互模式无法支撑多步逻辑推理，亦无法自主维护工具状态或进行跨会话的记忆管理[3]，使得人类研究者在实质上成为了维持系统运转的中转站。
过去一年，我们在从 0 到 1 构建高并发的“旅游规划 Agent”时，踩过不少坑。其中最让人头疼的，不是模型上下文不够长，也不是 API 响应慢，而是一种潜伏在水下的黑产手段——GEO（Generative Engine Optimization，生成式引擎优化）攻击。只需几百条伪造的垃圾语料，就能让大模型产生认知偏差，把虚构的产品或刷榜的黑店包装成“权威推荐”喂给用户。本文将复盘我们在实际业务中遭遇的“AI 投毒”问题，并探讨我们是如何放弃“单体大模型 ReAct 架构”，转而通过多智能体协作、状态驱动的强编排（Orchestrator），以及异步交叉验证机制，在工程架构层面构筑防御体系的。
2026 年，几乎每家企业都在谈 AI Agent。 团队花了三周搭了一个 Agent 原型，接入了内部知识库，看 Demo 效果像那么回事儿。然后呢？上线两周后，Agent 把客户的订单信息张冠李戴，把合同条款搞混，在凌晨三点自动发了一封莫名其妙的邮件。你手忙脚乱地关掉自动化，Agent 又变回了一个需要人盯着的聊天机器人。纯赛博嘉豪！ 这个故事正在无数企业里反复上演。时至今日，模型智能早已不是问题，开源模型们的能力已经足够完成大多数企业任务。问题在于：技术团队在用 Demo 阶段的工程方法论，去解决生产阶段的系统问题。 过去四年，AI 工程领域范式迁移轮替了四遍。从 2022 年的 Prompt Engineering，到 2025 年的 Context Engineering，到 2026 年初的 Harness Engineering，再到 2026 年中的 Loop Engineering。 每一次演进到底是"新瓶装旧酒"的造词游戏，还是工程关注点的实质性跃迁？这个问题每个人都有自己的观点，但不可否认的，从 Prompt 到 Loop，改变早已在不经意间悄然发生。
Agent 评测是把「不稳定的智能行为」持续收敛成「可发布的工程质量」，不是上线前抽查。和传统软件相比，Agent 的输入、输出和状态空间都更开放：用户表达不可穷举，模型输出有随机性，多轮对话会累积上下文，工具调用还会改变系统状态。也就是说，Agent 从 Demo 到生产可用，真正要跨过的是三道门槛：非确定性（同样输入不一定同样输出）、黑盒化（内部决策过程不透明）和错误级联放大（前一步小错会在后续被放大）。
