AI智能体是什么：它和聊天机器人差在哪

女儿发来一条链接，说公司用的 LiteLLM 被投毒了：有人把带后门的版本挂上了官方下载渠道，装上就会偷浏览器密码、云账号，还有调大模型的密钥。更扎心的是，偷来的钥匙后来被拿去「劫持别人家的 AI」，让机器自己去扫漏洞、挖矿——安全圈这两天口头都在叫 LLMjacking。我问她：这跟我们平时聊的那个「会自己干活的 AI」是一回事吗？她说，差不多，就是 Agent，中文常说 AI 智能体。

我卡了一会儿才把两件事拧到一根绳上：聊天机器人主要是「回你话」；智能体是「接了话之后，还能替你去点按钮、查库、发请求」。钥匙一丢，丢的就不是一句错话，而是整串能代你行动的权限。

人话定义：它解决什么痛

压成一句：AI 智能体是一套能感知目标、规划步骤、调用工具并观察结果、再决定下一步的系统——不只生成文字，还试图把事情做完。行业里 Agent 这个词被用得很宽，有的产品只是多了几个插件，有的已经能连着跑上百步。你要抓住的核心不是名字时髦，而是行动权：它能不能改文件、能不能访问你的邮箱、能不能对服务器发命令。

它出场要对付的痛点很直白：纯聊天只能给建议，真正费人的是「建议之后那一长串操作」。请假要翻制度、填表、找审批人；排查故障要查日志、对比版本、开工单。智能体路线的许诺是——你给目标，它拆步骤、调用工具、把结果回传给你。许诺越大，钥匙就要递得越多；递得越多，出事时伤口也越大。

聊天机器人对比AI智能体

简史：几个绕得开的年份

大约 2010 年代中后期，强化学习里的「智能体」还多半待在游戏与仿真里：在格子世界里走路、在 Atari 里打砖块。那时公众几乎听不到这个词。

2023 前后，大模型突然会稳定地按格式输出「我要调用某个工具」。Auto-GPT、BabyAGI 一类开源项目把「规划—行动—观察」做成演示，网上一阵跟风；也很快暴露出：容易绕圈、容易花掉额度、容易在没盯着时干蠢事。

大约 2024—2025，客服、编程助手、办公套件开始把「工具调用」做成产品能力：查日历、改文档、跑代码、查工单。名字从炫技的 Agent 演示，慢慢变成招聘 JD 和供应商 PPT 里的标配词。

到了 2026，新闻里已经不只是「会不会用错工具」，而是「有没有人把你的模型接口偷走，当成自家的打手」。本周 LiteLLM 供应链事件里，攻击者偷到云与 AI 凭证后，公开材料里出现了验证身份、列举模型之类动作，和 LLMjacking（盗用他人大模型访问权）对得上号。Symantec 等厂商也披露过：暴露在公网、缺防护的模型接口，可能被恶意智能体接管，去扫目标、装挖矿程序，算力账单落到原主人头上。智能体从实验室词，变成了「谁握着钥匙谁说了算」的安全话题。

Agent几个关键节点

生活类比：请了一个会跑腿的管家

把它想成你请了一位口才很好的管家。普通聊天机器人像只会坐在客厅陪你说话的人：问什么答什么，很少擅自开门。智能体更像你把钥匙串递了过去——冰箱、车库、电脑开机密码、公司门禁卡——并交代：「帮我把周末的事办妥。」

办妥的过程通常是：听明白目标 → 列几步计划 → 真的去开门、去打电话、去填表 → 看结果是否达标 → 不行就改计划再试。你省下来的，是亲自跑腿的时间；你交出去的，是「他可能走错房间」的风险。

再换个画面：子女在外地，让你帮他在手机银行里「按我说的点」。你若只听口头指令、每一步仍由你确认，那是辅助；你若把验证码、支付密码也一次性交给一个「自动脚本」，性质就变了。智能体产品里，工具权限清单就像这串钥匙——少给一把，事办不成；多给一把，出事时更难收场。

我自己多懂的一层是：很多人把 Agent 听成「更聪明的聊天」。更准确的说法是——它把「说」和「做」焊在了一起。聪明与否仍看模型；危险与否，更看你让它碰哪些开关。

机制：可以记成感知—规划—行动—观察

抛开厂商黑话，常见回路长这样：

你给出一个目标，比如「把这份体检报告里异常项整理成给我看的问题清单」。系统先感知：读你的话、读已有附件、读允许它看的资料。然后规划：拆成「识别指标 → 对照参考范围 → 列出待问医生的问题」几步。接着行动：调用工具——可能是读 PDF、查知识库、写进备忘录。每做一步，它观察返回结果：文件读没读开、库里有没有对应说明。不够就再规划；够了就汇总给你。

中间那根筋叫 工具调用（也有人说 function calling）：模型不直接「长出手」，而是输出一种约定好的请求——「请执行某某工具，参数是这些」。旁边的程序真的去执行，再把结果塞回对话。没有这根筋，它只是会说话；有了这根筋，它才开始像管家。

还有个容易忽略的细节：循环次数。演示里跑三五步很漂亮；真环境里可能上百步。步数一多，费用、误操作、被带偏的概率一起涨。本周安全材料里提到的「长时间无人值守自动攻击」，可怕处不在某一句狠话，而在循环被交给了不怀好意的目标函数。

智能体四步：感知规划行动观察

容易搅在一起的三个词

智能体 ≠ 普通聊天机器人。 聊天机器人主业是生成回复；智能体主业是在约束下完成任务。同一个产品里两者常混装：先聊几句，再弹「是否允许读取你的邮箱」。允许之前，它更像聊天；允许之后，才进入管家模式。

智能体 ≠ RAG。 上一篇若你读过 RAG，会记得那是「先查资料再回答」。RAG 解决的是「话有没有依据」；智能体解决的是「事有没有人办」。可以叠在一起：先检索制度，再自动填表——但检索增强不是行动权本身。

智能体 ≠ 已经「有自我意识」。 营销文案爱把 Agent 写成会思考的数字员工。工程现实更冷：它是模型 + 工具 + 循环 + 权限。没有神秘灵魂，只有你配置的边界。边界松，它像能干的助手；边界乱，它像拿着你家钥匙却听错地址的快递员。

银行 App 里的「一键办理」、手机里的「帮我总结邮件并起草回复」、公司里的「自动分拣工单」，场景不同，结构同类：你听到的是智能，背后若接了工具，就要问——它能碰哪几把钥匙？每一步要不要人点头？出错了能否撤回？

局限、误区，以及我怎么跟家里人说

常见误区一：「接了智能体就等于全自动放心。」工具会失败，计划会绕圈，提示被污染时它也可能一本正经地执行错指令。无人值守不是美德，是风险选项。

常见误区二：「我们又不是科技公司，跟 LiteLLM 无关。」你可能不用这个软件，但子女公司、医院信息系统、云上客服，都可能用同类「模型网关」。供应链一出事，偷的是密钥；密钥被拿去 LLMjacking，账单与数据风险会落到实际业务上。普通人能做的，不是去读补丁说明，而是：别随便把验证码转给「自动助手」；重要操作保持人工确认；听子女说「公司 AI 被盗用」，先问清换没换钥匙（轮换密钥）、关没关对外暴露的接口。

常见误区三：把「模型很强」当成「可以裸奔在公网」。本周材料反复提醒的是：缺认证、缺限额、缺监控的模型接口，本身就是招风的窗户。智能体能力越强，窗户该装的锁就该越结实——身份校验、最小权限、操作审计，这些笨规矩，比换一个更炫的模型名字更救命。

对我这种年龄段更实用的态度是：把 Agent 记成会跑腿的管家，不是会算命的神仙。养生、转账、改密码、授权登录，这些地方宁可慢一步人工确认，也不要图快把整串钥匙甩出去。子女转发「AI 已经能自己干活了」，先问两句——能干哪些活？谁批准它碰支付和隐私？

我写这篇时一度想堆更多英文缩写，后来压成现在这样：因为五六十岁的读者真正需要的，不是再记一个时髦词，而是能搜到、点得开、读完知道——下次听见「智能体」，该关心的是行动权，不是口才。

三句话管住钥匙

所以我更愿意把 AI 智能体记成：能调用工具、能循环办事的系统；聊天是嘴，工具才是手。 本周 LiteLLM 与 LLMjacking 的新闻，不过是把「手」和「钥匙」的关系摊开给普通人看。钥匙只借给必要的门，办事过程留人工点头，丢了立刻换锁——这三句话，比背任何产品口号都管用。