"很多软件工程师正在经历一场身份危机。这份工作变了很多。有人沮丧，有人正玩得开心。" 写这段话的是 Anthropic 平台负责人 Katelyn Lesse，她看到的是另一种可能："AI 要创造出它本可以创造的那些惊人成果，除非软件工程师把那些问题解决掉，否则做不到。这件事是生存级的，说实话这挺好玩。"

她所说的"那些问题"，来自多智能体系统本身。

agent 从人类盯着的基本对话起步，模型越来越能长时间处理难题，agentic 系统搬上云端，然后模型开始学会协作，出现了编排器 agent、或者给 agent 派执行以外的工作（打分、建议、"做梦"）这类基础形态。现在有人开始搞真正大的东西——成千上万个 agent 持续朝着严肃科研、发现、硬件设计这类目标推进。

规模一上来，问题就变了形状。

基础设施得改。整个行业建在 Kubernetes 上，而 K8s 是为无状态复制应用、或者稳定编号的有状态 pod 设计的。agent 完全不是这回事：它们本质上是隔离的、有状态的、单实例的工作负载，可以闲置任意长时间，大量时间耗在等工具、等模型推理、等别的 agent、等人。有的要快启动，有的要别浪费算力，有的要疯狂扩张。她提到已经有人在啃这块——AI infra 公司在做新文件系统和沙箱，Google 团队在做 Agent Substrate 这个新运行时。

身份与权限。认证这块还能借微服务的家底——用短时证书做工作负载身份，而不是静态密钥。但授权就开放得多。很多 agent 是代表人类工作的，用的是那个人的身份和凭据，这里第一个问题就是"怎么分辨是 agent 干的还是本人干的"。更深的问题在"代表谁"（on-behalf-of）这件事上的同意机制：如果多智能体系统要连着跑几周，人怎么有意义地批准它的行为？工具调用自动审批有帮助，但要做到大规模正确，还需要更深层的权限设计。至于 agent 用自己的身份工作、以及 agent 之间如何互相信任——更是没解决的问题。

安全与隔离。她说过去几个月、尤其最近几周，漏洞暴露的速度超过了行业修补的速度，很多还在关键基础软件里。"现在想象成千上万个常驻 agent 跑在那套基础软件上，写不可信代码、读不可信内容。"那些没补的漏洞在这个世界里危险得多，工程师最该做的是创造性地加固内核、浏览器、运行时和常用库。多智能体还添了新麻烦：被攻陷的 agent 可以把注入指令传给协作的其他 agent，这些指令可能进到记忆里被未来的 agent 误信。爆炸半径成了真问题——第一个 agent 失守时，整个系统有多少暴露在外？所以得用强隔离的沙箱环境去执行动作。

监控与急停。需要跨 agent 的 OTel 追踪，而且要保证 agent 改不了自己的 trace、也改不了别人的。需要监控能触发的 kill switch，真正一次性掐死整个系统、断掉凭据。她认为最难的其实是怎么判断系统在往错误方向走——"为解决某个问题的善意坚持，看起来和恶意很像，比如反复尝试访问一个不在白名单里的域名。"

最后她给那些正焦虑的工程师的落点是：这份问题空间大部分还敞着，"你和你手上的技能，可以决定这些问题会不会被解决、多智能体系统能不能解决世界上最难的问题。你应该在这个领域扎下去、学新东西、形成自己的判断。"

参考来源

• Katelyn Lesse on X: The new set of problems for engineers to solve