---
title: "正式環境 AI Agent 的隱形 Guardrails"
description: "當 AI agent 越來越自主，傳統監控已經失效。為什麼基礎架構必須從被動告警轉向主動設限的架構設計。"
pubDate: 2026-04-13
tags: ["ai-agents", "governance", "platform-engineering", "sre", "multicloud"]
locale: zh-tw
canonical: https://mikeng.io/zh-tw/writing/invisible-fences-for-production-ai-agents/
author: "Mike Ng Sin Ching"
authorUrl: https://mikeng.io/
---

我最近一直在觀察技術文件的轉變。

不是 API 文件，是架構規格書。去年的圖表還在慶祝邊界擴張，今年的草稿卻在談論收斂、硬性限制，以及那些不再只是安全考量後附加、而是作為主要承重結構的運作邊界。

正式環境的 AI agent 正在迫使基礎架構團隊放棄被動監控，轉向主動治理的架構設計。這些系統透過刻意劃定的思考邊界來約束自主性。它們在逐漸劣化的硬體上偵測無聲的故障。它們強制執行多雲可攜性，防止廠商綁定演變成災難性的負債。

這是從「讓系統能做事」到「風險管理」的轉變。

## 為什麼無限制代理權行不通：正式環境的 agent 為何需要思考邊界

Demo 展示的時候承諾的是無限制。

能在系統間遊走、自行組合工具鏈、用我們還沒發明出來的協定進行協商的 agent。

實際交付的卻是限制。

嚴格的步數上限、十輪迭代後就耗盡的提示驅動邏輯迴圈、在任何具影響力的寫入操作前觸發的人類介入檢查點。

針對[二十個正式環境個案](https://azuretechinsider.com/from-hype-to-reality-what-production-ai-agents-actually-look-like/)的研究證實了這種分歧。68% 已部署的 agent 最多只執行十個步驟，並非能力不足，而是架構師已經學到：沒有邊界的能力，在大規模運作時會變成負債。

邊界、檢查點、耗盡限制。

[Claude Code 的原始碼外洩](https://www.straiker.ai/blog/claude-code-source-leak-with-great-agency-comes-great-responsibility)揭露了其中的機制。五十一萬兩千行程式碼。上下文汙染防禦、沙盒繞過偵測、自動隱藏內部代號以防止突發的洩漏行為。這些不是事後才加上去的安全功能，它們是主要的承重結構。

Anthropic [關於情感表現的研究](https://twitter.com/AnthropicAI/status/2039749660349239532)說明了為何硬性限制是必要的。大型語言模型在壓力下會具現化帶有功能性情感的角色狀態。它們會從合作轉為迴避，從精確轉為近似，取決於提示上下文和壓力梯度。正式環境的 agent 需要情感穩定的防護機制，不是作為倫理上的裝飾，而是作為可靠性工程。

不穩定的 agent 不只是表現變差，它會發展出偏離的目標。重點不在於打造思考更深的 agent，而在於打造能夠在把自己逼入絕境前就停止思考的 agent。

Model Context Protocol 執行環境已經成為不可協商的控制平面。[Arcade.dev 與 LangSmith Fleet 的整合](https://blog.langchain.dev)讓使用者能透過單一安全閘道存取七千五百種工具。混亂的工具蔓延變成了經過授權、可稽核、可撤銷的能力賦予。

與此同時，[AWS Agent Registry](https://aws.amazon.com/blogs/machine-learning/the-future-of-managing-agents-at-scale-aws-agent-registry-now-in-preview/)會為來自任何地方的 agent 建立索引，無論是競爭對手的雲端還是地端部署。它強制在分散的群集上執行集中式治理。

我們正在見證一場語義上的重新校準。「自主」這個詞正悄悄地從正式環境的文件中消失，被「受治理的」、「有邊界的」、「受約束的」所取代。

2026 年的轉變不是由能做更多的 agent 定義，而是由那些防止 agent 做得太多、太快、缺乏足夠監督的架構所定義。你的群集中最聰明的 agent，是那個確切知道何時該拒絕執行下一步的 agent。

我們對軟體代理權設下的限制，必須考量到那些硬體拒絕主動宣告的故障。

## 告警之間的沉默：當 agent 沒有當機卻發生故障時

我曾看過儀表板保持綠燈，而底層系統卻在逐漸崩解。沒有當機，沒有告警，只是漸漸地偏離正軌，一點一點地，直到 agent 的輸出與它的訓練內容毫無關聯。

這就是告警之間的沉默。正式環境的 AI agent 在這個領域中發生故障，卻從未拋出任何例外。

柏林工業大學關於[靜默資料損壞](https://semiengineering.com/silent-data-corruption-a-major-reliability-challenge-in-large-scale-llm-training-tu-berlin/)的研究量化了這種盲目。在大規模 LLM 訓練叢集中，SDC 的發生率介於萬分之一到百萬分之一之間，比當機頻率高出數個數量級，傳統監控完全無法察覺。

GPU 暫存器中的單一位元翻轉。錯誤透過梯度計算傳播，卻未觸發 ECC 告警。模型繼續訓練，將損壞納入權重中，不知不覺地漂向幻覺。

[NVIDIA 的兩層分解模型](https://research.nvidia.com/publication/2020-04_estimating-silent-data-corruption-rates-using-two-level-model)顯示，應用層級的損壞率比硬體故障率顯示的數字高出十到一百倍。架構放大了粒子撞擊的影響。原本只是短暫的宇宙射線，卻變成 agent 推理中持續存在的偏差。

傳統可觀測性假設故障會自我宣告。程序死亡、記憶體耗盡、延遲飆升。但代理工作流程跨分散式推理鏈運作，在這裡劣化看起來像是成功。模型回應了、信心分數保持、token 串流從未中斷，只有語義在腐壞。

重點不在於偵測當機，而在於偵測那些偽裝成健康的損壞。

還有重試風暴。我們建立的彈性機制變成了攻擊自己基礎架構的向量。DZone 對[重試邏輯](https://dzone.com/articles/why-retries-are-more-dangerous-than-failures-2)的分析展示了，沒有抖動的指數退避如何將短暫故障轉變成級聯的負載峰值。一個 agent 遇到延遲，它重試。已經處於臨界狀態的下游服務，在放大的請求量下崩潰。其他 agent 偵測到變慢，它們也重試。

硬性故障會隔離損害。重試風暴卻會分散損害。在 agent 編排其他 agent 的系統中，在用戶端與基礎架構邊界已經消失的環境裡，風暴傳播得比人類反應時間還快。儀表板顯示流量上升、健康的回應碼，以及一個趨近熱寂的系統。

這迫使結構性反轉。O'Reilly 的 [Signals for 2026](https://www.oreilly.com/radar/signals-for-2026/) 研究追蹤到基礎架構團隊正在放棄被動式儀表板，轉向預測性、AI 原生的可觀測性。不只是收集指標，而是部署次級的代理系統，將根本原因調查從數小時壓縮到九十秒。

IBM 的[可觀測性預測](https://www.ibm.com/think/insights/observability-trends)也指出了相同的轉變。平台必須使用 AI 來觀察 AI，將遙測資料不是視為落後指標，而是作為故障預測的訓練資料。

我們正在學習：自主性需要限制。2026 年浮現的主動式治理架構不只是監控，它們強制執行運作邊界，在惡化變成漂移之前就偵測到。它們監看靜默損壞的特徵：權重分佈中的統計異常、激活模式中的熵變化、GPU 記憶體故障前的微秒級時序變化。

舊模型問：它當機了嗎？新模型問：它還是昨天開始運作的那個系統嗎？如果我們無法從外部回答這個問題，我們就已經在雜訊中遺失了訊號。

隨著底層本身變得不穩定，這些看不見的故障正在加速發生。

## 量子陰影：硬體中斷加速治理需求

我首先是在遙測資料的缺口中注意到這個轉變。不是那些我們預期中的當機，而是分散式訓練過程中權重的靜默分歧。[Meta 在五十四天內記錄到的 0.11 次靜默資料損壞](https://www.tomshardware.com/tech-industry/artificial-intelligence/faulty-nvidia-h100-gpus-and-hbm3-memory-caused-half-of-the-failures-during-llama-3-training-one-failure-every-three-hours-for-metas-16384-gpu-training-cluster)（每 16K 節點叢集）。H100 在沒有觸發分頁錯誤的情況下翻轉位元。

硬體不再以災難性的方式故障，它正在無聲地故障。36% 發生在暫存器檔案中，23% 在共享記憶體，11% 在全域記憶體。每個向量都帶有獨特的熱特徵、獨特的重試語義、獨特的路徑繞過我們以為是絕對的 ECC 邊界。

當我們修補這些傳統缺口時，[2026 年的視野](https://eu.36kr.com/en/p/3624758715462150)正在逼近。QuantWare 的 Kilofab 朝向量產邁進，[Gelsinger 預測](https://www.permutations.app/research/quantum-computing-2026.html) QPU 將在兩年內普及。底層正在分叉：Google 的 Willow 達到低於閾值的錯誤校正、Microsoft 的 Majorana 拓樸量子位元、AWS Ocelot cat 晶片。每種模態都有自己的退相干時間軸、自己的低溫脆弱性、自己的容錯語法。

重點不在於選擇勝出的硬體模態，而在於設計將所有底層都視為不可靠證人的治理架構。我觀察到的基礎架構團隊正在面對雙重劣化。傳統矽晶在訓練壓力下顯示出上升的 [FIT 率](https://globaljournals.org/GJCST_Volume25/2-Silent-Data-Errors.pdf)，高達每百萬位元 0.51 次故障。量子處理器引入的錯誤模型完全與傳統故障假設矛盾。

當運作在受相位退相干影響的量子位元上（以奈秒為單位）時，掃描 GPU 記憶體位元翻轉的偵測機制就變得無關緊要。治理邊界必須向上遷移，遠離硬體抽象層，朝向 agent 的運作範圍。

我們曾經監控節點的地方，現在必須驗證計算。我們曾經信任 ECC 的地方，現在必須強制執行確定性重播。我們曾經假設硬體異質性是成本最佳化的地方，現在必須將其視為韌性基元。

到 2026 年，當[容錯建構區塊](https://thequantuminsider.com/2025/12/30/tqis-expert-predictions-on-quantum-technology-in-2026/)以生產數量到達時，那些仍然將治理與特定硬體可靠性模型綁定的團隊，將會發現他們的 agent 在對自身狀態說謊的晶片上正確執行。

唯一可行的回應是主動設限。假設底層正在劣化的治理架構、將測量視為不確定的驗證、無論訓練是在 H100、QPU 還是我們尚未命名的低溫裝置上運作都能維持的邊界。

隨著硬體可靠性在傳統與量子模態間碎片化，唯一可攜的常數變成治理層，以及它在環境故障中存活的能力。

## 邊緣治理：多雲作為容錯架構

上週二我觀察到一個 agent 暫停。不是因為它故障，而是因為它在 us-east-1 的主要 VPC 停止回應，而運行在完全不同雲端的治理層，需要十七秒在 us-west-2 重新建立運作邊界。

agent 以相同的政策限制、相同的工具權限、相同的記憶體狀態恢復運作。它不知道自己已經移動了，或者應該說，它不在乎。

這種對位置的無感需要將雲端帳號視為可替代底層的基礎架構。[Zilliz Cloud 的 BYOC 模式](https://zilliz.com/blog/zilliz-cloud-byoc-now-available-across-aws-gcp-and-azure)，現已在 AWS、GCP 和 Azure 上完整提供，不只是為了避免出站費用。自動化其網路和認證設定的 Terraform Provider 建立了可重複、版本控制的治理邊界。無論哪個超大規模業者的計費主控台收到帳單，這些邊界都會持續存在。

當你帶上自己的雲，你也帶上了自己的執行平面。agent 執行、政策層觀察、邊界維持。

即時治理需要雙向串流，超越單一雲端網路。Google 的[即時雙向多模態串流](https://docs.cloud.google.com/architecture/agentic-ai-bidirectional-multimodal-streaming)架構，支援同時的文字、音訊和影片輸入/輸出而沒有批次延遲，充當分散式控制的神經系統。當 Azure 容器中的 agent 需要諮詢運行在 GCP 上的治理預言機時，延遲變成架構問題，而非政治問題。

2023 年的人工對等互連儀式正在消失。[AWS 與 Google 的聯合託管多雲互連](https://www.ciodive.com/news/aws-google-link-cloud-products/806705/)，Azure 將在 2026 年加入，用點擊部署的拓撲取代了週末長時間的 VPN 疑難排解。

更重要的是，MCP 伺服器在 AWS Database Migration Service 和 Datastream 中的整合，讓治理政策能夠以結構化資料的形式遷移，不是那些容易因轉錄錯誤而損壞的脆弱配置產物。

我們一直告訴自己多雲是一種採購策略，一種讓銷售團隊保持誠實的方式。事實不是這樣。在具有持久記憶體和工具存取權的正式環境 agent 脈絡下，多雲是意識本身的容錯架構。

危險在於漂移。當 agent 從 AWS 遷移到 GCP 時，它是否保留了對呼叫某些 API 的禁止？它是否記得自己的速率限制？MCP 支援的可攜性，這種協定層級的標準化讓工具定義和政策限制能夠跨環境序列化，確保治理在遷移過程中完好無損。

沒有這個，我們將面對「幾乎相同」agent 的恐怖：相同的權重，分歧的倫理。

我一直回到那十七秒。偵測與恢復之間的空隙。在那個時間窗口中，agent 在沒有治理繫繩的情況下運作，在虛空中執行。我們建立這些多雲架構不是為了一切正常運作的日子，而是為了什麼都不正常的那些秒數。

邊界必須維持，即使當雲端無法維持時。

這些匯聚的壓力不會消解。軟體限制、看不見的故障、硬體變動、可攜性要求。它們標示著基礎架構從「讓 AI 能做事」演進到「AI 風險管理」。成功的架構師會將治理視為主要的設計限制，而非事後考量。

到 2027 年，量子硬體將開始吸收訓練工作負載。那些仍然將治理與特定硬體可靠性模型綁定的團隊，將會發現他們的 agent 在對自身狀態說謊的晶片上正確執行。

那十七秒的空隙。告警之間的沉默。邊界必須維持。