Agent 架构演进路线：从"写死流程"到"划定边界"

最近字节跳动的开源项目 DeerFlow 发布了 2.0 版本。官方的描述很有意思：这不是一次升级，而是一次从零开始的重写，和 v1 没有一行共用的代码。DeerFlow 的全称是 Deep Exploration and Efficient Research Flow。它的 1.0 版本是一个 Deep Research 框架，跟很多 AI Agent 项目一样，用一个精心设计的有向图（DAG）来编排搜索、过滤和总结的流程。但它的 2.0 版本不再叫自己框架，而是叫"Super Agent Harness"——一个给 Agent 提供基础设施的运行时环境。它给 Agent 配备了沙盒（Docker 容器）、文件系统、记忆、技能包和生成子代理的能力。

这个变化表面上是一个开源项目的版本迭代，但它背后折射出的，是整个 AI Agent 领域正在经历的一场从"流水线"到"办公桌"的架构转型。

消失的铁轨

在 Agent 开发的早期（大约 2024 年初），我们对大语言模型的态度可以用四个字总结：极度不信任。

这种不信任是有道理的。当时的模型在指令遵循、工具调用和长链推理方面都不够稳定。让它自主决定下一步做什么，大概率会跑偏。所以工程师的应对策略是：修铁轨。我们把 Agent 的工作流拆解成一个个节点，用代码把它们焊死在一条预定义的管道（pipeline）上。先搜索，再过滤，再总结，再输出。每一步做什么、用什么工具、输出什么格式，全部由程序员硬编码。AI 在这个流程中扮演的角色，说好听的是"推理引擎"，说难听的就是一个被推着走的零件——它不决定做什么，只负责在每个节点上生成一段文本。

DeerFlow 1.0 就是这种模式的典型代表。它用 LangGraph 构建了一个有向图，每个节点负责一个专门的任务。这种架构有一个核心假设：我们比 AI 更知道任务应该怎么完成。所以我们的工作是把"怎么完成"这件事编码成一条铁轨，AI 只管沿着铁轨跑。

这在当时是最优策略，但回头看，它本质上是一种出于被迫的妥协。我们修铁轨，不是因为铁轨本身有多好，而是因为我们负担不起让 AI 自主决策的风险。模型不够聪明，犯错成本很高，所以我们用确定性来换安全性。

两个前提同时成熟

然后，在过去一年里，有两个变量几乎同时发生了质变。

第一个变量是模型智能的跃升。 模型在指令遵循、工具调用和多步推理方面的能力有了显著提高。一个最直观的感受是：以前你让模型输出一个合法的 JSON，它有时会在外面包一层 markdown 代码块；你让它写一段 Python，它可能会输出 python -c '...' 这种格式。这些看似微小的不可控让整个 pipeline 的每个节点都需要大量的异常处理和格式清洗。但现在，模型在可控性上到了一个新高度——你让它输出合法的 Python 程序，它就输出合法的 Python 程序，不需要 prompt engineering，不需要 few-shot，不需要奇技淫巧。当模型变得足够可靠，那条铁轨里用来处理模型不可靠性的大量胶水代码，就突然变成了纯粹的负债。

第二个变量是执行环境成本的坍塌。 给 AI 一个隔离的执行环境，让它可以运行代码、读写文件、访问网络——这件事在以前是很贵的。你要么自己搭 Docker 集群，要么用云服务商的容器服务，启动慢、运维重、成本高。但 2025 年，以 E2B 为代表的 Agent 基础设施公司改变了这个局面。E2B 可以在毫秒级启动一个基于 Firecracker 微虚拟机的沙盒环境，给 Agent 提供一个完整的 Linux 系统，包括文件系统、代码运行时和网络访问。它在 2025 年 7 月完成了 2100 万美元的 A 轮融资，88% 的财富 100 强企业已经注册了它的平台。Docker 也在去年年底跟 E2B 达成了合作，让每个沙盒都可以直接访问 Docker 的 MCP 工具目录。与此同时，Anthropic 给 Claude Code 加上了沙盒功能，通过操作系统级别的文件系统和网络隔离，把权限提示减少了 84%。OpenAI 的 Codex 则直接在云端沙盒中运行异步编码任务。

这两个前提的同时成熟，让那张维持了 pipeline 模式的"隐形价格表"瞬间作废。以前，模型不够聪明 + 沙盒太贵 = 我们必须用硬编码的 pipeline 来保障确定性。现在，模型足够可靠 + 沙盒近乎免费 = 我们可以把决策权还给 AI，让它在一个安全的环境里自主工作。

从"定义流程"到"定义边界"

这正是 DeerFlow 2.0 以及整个行业正在做的事情。

在新的架构中，我们不再告诉 AI "第一步搜索，第二步过滤，第三步总结"。我们做的事情变成了：给 AI 一台电脑（沙盒），一套工具（MCP 协议和技能包），和一组约束（文件系统权限、网络隔离），然后告诉它最终目标是什么。至于中间怎么到达目标，由它自己决定。

具体来说，这种新架构有三个核心组件。

第一是沙盒。 它给 Agent 一个隔离的、可以真正执行操作的环境。Agent 不再只是生成文本，而是可以写代码并运行、读写文件、调用命令行工具。DeerFlow 2.0 支持本地进程、Docker 容器和 Kubernetes Pod 三种沙盒模式。Claude Code 的沙盒使用 Linux bubblewrap 和 macOS seatbelt 在操作系统层面做隔离。E2B 则提供云端的 Firecracker 微虚拟机。不论哪种实现，核心思路是一样的：不是给 AI 一根管道让它吐文本，而是给它一台有手有脚的电脑让它干活。

第二是技能包（Skills）。 这是 DeerFlow 2.0 引入的一个精巧设计：每个技能是一个 Markdown 文件，定义了一套工作流和最佳实践。Agent 不需要一开始就加载所有技能，而是根据任务需要按需加载。比如需要做调研时加载 research 技能，需要生成幻灯片时加载 slide-creation 技能。这种设计让 Agent 的能力可以灵活扩展，同时保持上下文窗口的精简。本质上这就是"入职培训"——不是一次性把所有信息塞给 AI，而是在它需要的时候提供必要的知识。

第三是子代理（Sub-agents）。 面对复杂任务，主 Agent 可以动态生成多个子代理，每个子代理有自己独立的上下文和终止条件，可以并行工作。这和人类团队的管理逻辑是一样的：一个经理不会把所有事情都自己做，而是拆分任务分配给不同的人，各自推进，最后汇总结果。

值得注意的是，这并不意味着我们放弃了所有控制。沙盒本身就是一种控制——只不过控制的粒度从"你必须按照我说的步骤做"变成了"你可以自由发挥，但不能超出这个范围"。Claude Code 的沙盒限制了 Agent 只能访问工作目录内的文件和批准的网络地址。Codex 在操作系统层面限制了文件系统访问、网络连接和进程生成。这种约束方式和 pipeline 的硬编码控制是完全不同的设计哲学：前者定义的是边界，后者定义的是路径。

新架构的代价

当然，把决策权交给 AI 不意味着万事大吉。沙盒模式带来了一组全新的工程挑战。

首先是安全。 当 Agent 可以执行代码、访问文件系统和网络时，一次 prompt injection 的后果就不再只是输出一段错误文本，而是可能导致数据泄露或系统破坏。2025 年，Check Point 披露了 Claude Code 的一个漏洞（CVE-2025-59536），恶意的项目配置文件可以在用户看到确认对话框之前就执行 shell 命令。Anthropic 在几周内修复了这个问题，但它提醒我们：当我们给 AI 更多的自主权时，安全边界的设计就变成了最关键的工程决策。这也是为什么操作系统级别的隔离（而不是应用层的权限检查）正在成为行业共识——因为它能约束 Agent 生成的任何子进程和脚本，而不仅仅是 Agent 本身。

其次是可观测性。 Pipeline 模式有一个隐含的好处：因为每一步都是预定义的，我们自然知道 Agent 在做什么。但在沙盒模式下，Agent 的行为是动态的、不可预测的。它可能会写一段 Python 脚本来分析数据，也可能会调用一个命令行工具来转换格式。如果没有完善的日志、追踪和监控机制，调试一个沙盒 Agent 的问题会比调试一个 pipeline Agent 困难得多。DeerFlow 2.0 的做法是在沙盒内做激进的上下文管理——总结已完成的子任务，把中间结果卸载到文件系统，压缩不相关的信息，保持 Agent 在长链任务中的清醒。

最后是成本控制。 给 Agent 一台完整的虚拟机意味着更高的计算资源消耗。E2B 的数据显示，从 2024 到 2025 年，每个沙盒的平均运行时长增长了超过 10 倍，主要是因为 Manus 这类长时间运行的 Agent 体验。这对基础设施的弹性和定价模型都提出了新的要求。

这些问题都很真实，但它们是新架构下的工程挑战，而不是回到旧架构的理由。

回到第一性原理

站远一点看，从 pipeline 到 sandbox 这一波架构变迁，底层的逻辑非常简洁：当给 AI 一台电脑的成本降到接近于零、而 AI 的智能也足以有效利用这台电脑时，你不会再帮它规划每一步该怎么做。

DeerFlow 的 v1 到 v2 只是这个趋势的一个切面。更大的画面是：Claude Code 从一个需要逐条审批的命令行工具，变成了一个在沙盒里自主工作的 Agent。Codex 从一个代码补全模型，变成了一个在云端容器里异步执行整个开发任务的引擎。E2B 从一个小众的开发者工具，变成了被大半个财富 500 强采用的 Agent 基础设施。Docker 从容器化应用的平台，开始转型为 AI Agent 的安全运行时。

这些变化看似各自独立，但它们都指向同一个方向：我们正在从"为 AI 编写程序"的时代，进入"为 AI 建设基础设施"的时代。我们的工作不再是设计 AI 应该走的每一步，而是建设一个让 AI 可以安全、高效地自主工作的环境。

对于技术从业者来说，这意味着一个很具体的能力转型。以前，设计一个好的 Agent 系统，核心技能是编排——画流程图、定义节点、处理状态转移。现在，核心技能正在变成环境设计——如何定义安全边界、如何配置工具和权限、如何构建可观测性、如何设计让 AI 可以自我修正的反馈回路。

Pipeline 不是因为它好才流行的，而是因为在旧的成本结构下它是唯一负担得起的选择。这个成本结构现在变了，我们的策略也该变了。