Agent

Agent 通过网关绑定获授权的 API Key 与模型，加载项目上下文、提示词、技能、插件和 MCP 工具，将复杂目标委派给 Sub-agent。

问题	自己拼的 Agent 循环	平台 Agent
工作上下文	每次对话从空白开始	绑定项目，加载项目提示词与工作区
工具接入	每接一个工具写一遍集成	终端、浏览器、邮箱、外部 MCP 内置，显式授权即可用
凭据安全	凭据贴进提示词或环境变量	走平台凭据链路，提示词不碰秘密；token 绑实例隔离
多用户	单人单进程，跨用户串台	按发起用户校验 Key 与资源权限
跨任务积累	每次从零开始	记忆增强：长期记忆按场景路由、按预算裁剪
无人值守	只能等人发消息	内置定时任务：cron / repeat 触发，按任务选模型，可立即运行、启停、更新、审批脚本

五种形态

五种形态

形态	载体	用途	详见
Sub-agent 派发	平台任务	主 Agent 拆目标，子 Agent 并行执行，结果回主上下文	本页
终端 Agent	节点 PTY	在受控连接内操作远程终端	节点
浏览器 Agent（CDP）	Chrome MV3 扩展	实时读页、执行 JS、跨标签操作、截图、抓网络	浏览器控制
网页内 Agent	扩展内聊天帧	在受控页面里直接对话、管理会话	网页内对话
邮箱服务 Agent	Mail MCP	按实例隔离只读邮件查询	邮箱

共同点无论跑在哪，Agent 的模型调用都走平台统一网关与权限校验；资源（技能、插件、MCP）显式授权后才加载。

功能：持续完成任务

功能	行为
主/子 Agent 分工	主 Agent 管目标与上下文，Sub-agent 用独立模型或复用主模型并行干活
资源显式选择	技能、插件、MCP 由用户或管理员授权后才注入；Agent 拿到的始终是被明确选择过的资源
工具执行闭环	终端、文件、浏览器和外部 MCP 的结果回到同一任务流作为上下文
使用者身份隔离	平台 Agent 可多人可见，但运行时按当前发起用户校验 API Key 与资源权限

功能：定时任务

定时任务

Agent 不只是被动应答——平台内置调度器（APScheduler），给 Agent 挂上 cron 或 repeat 触发器即可无人值守跑批：

能力	行为
触发方式	cron 表达式或 repeat 间隔；任务级可覆盖，同一个 Agent 的不同定时任务可各用一个模型
专属模型/Key	定时任务默认绑定独立的 scheduled_api_key_id / scheduled_model（无人值守常要换更便宜/更稳的模型），空则回退主 Agent 配置
任务管理	列表 / 创建 / 更新 / 删除 / 启停 / 立即运行（run_now）；脚本型任务执行前需审批（approve-script）
Agent 自助创建	Agent 运行时可通过 scheduler 工具自建定时任务（create / list / cancel / run_now，按 SOP 约束），归属发起用户

功能：记忆增强

机制	行为
长期记忆按场景路由	L1 索引是场景路由表，每次 ensure_agent_memory 重生成；SOP 正文按场景拆分
注入节流	按奇偶轮 / 4 轮节流注入，避免每轮都塞满记忆
超预算裁剪	超预算走 trim_messages 而非硬截断
提示词两阶段组装	anchor 不照搬需求原文，按同级场景口吻重写

功能：身份与资源隔离

措施	行为
MCP token 按用户校验	Agent 绑定用户后，所有鉴权 MCP 固定使用该用户已获授权的 token；未授权时 401
目录边界	`allowed_roots` + `denied_patterns`；默认拒绝 `/etc/`、`/var/`、`.env` 等敏感路径
提示词不含秘密	秘密走专用凭据/资源链路，不写进 system prompt
高危操作人工确认	高风险命令、删除、外部发布与对外发送保持人工确认

怎么用

进入 /console/agent-chat，选管理员提供的平台 Agent 或自己创建的。
确认 Agent 绑定的主模型、Sub-agent 模型与资源（详见开发者手册）。
发起对话；工具调用按当前运行用户身份校验权限。

技术白皮书：浏览器内 Agent 帧协议 → · 终端与节点 Agent → · 开发者操作手册 →