What happens when your agent can touch money

当你的代理可以接触资金时会发生什么 - 梯度流动

当你的代理可以接触资金时会发生什么

发布者

Ben Lorica

2026年7月7日

发布于

未分类

标签：

newsletter

.meta-info

.post-thumbnail

订阅 • 前期版本

你的 CLI 是为人设计的，而非代理

开发者之间存在一场友好的争论，讨论如何为 AI 代理提供可靠的方式使用外部工具、数据和服务，使其能够完成超越文本生成的实用工作。一方支持 CLI（命令行界面），代理通过 CLI 运行针对 git、aws、jq、duckdb 和内部脚本等工具的文本命令。另一方支持 MCP（模型上下文协议），它为代理提供了一种结构化的方式发现工具、进行身份验证，并通过定义的模式调用服务。这似乎仅限于代码代理，但这种权衡对任何在运营、金融、客户成功或任何需要代理接触真实系统的流程中部署代理的人来说同样适用。一旦代理开始采取行动，它与外部世界的接口就不再只是技术细节。无论代理是编写代码还是管理客户数据，这都成为安全、成本和治理的关键决策点。

如果你经常阅读，请考虑成为付费支持者 🙏

##### CLI：快速、熟悉且锋利

CLI 最强的优势在于其熟悉性、灵活性和低成本。首先，AI 模型是在大量 shell 脚本、开发人员文档和终端内容上训练的，这意味着它们在没有特殊配置的情况下已经理解 git、docker 和 kubectl 等工具，这种熟悉度直接转化为可靠性和更低的错误率。其次，CLI 输出具有可组合性：代理可以将一个命令的输出直接传递给另一个命令，在数据进入模型的工作内存之前进行过滤、聚合或重塑。最后，令牌效率优势是真实且可衡量的。加载单个 MCP 服务器的完整工具模式可能在任何有用工作开始之前消耗数万个令牌，而 CLI 工具不需要任何前期上下文成本，代理可以通过内置的 --help 标志按需发现工具的功能。问题是 CLI 访问可能过于强大。在没有沙箱、凭证隔离和审批门的情况下向代理提供原始 shell 访问权限，会使防止未经授权的文件和网络更改变得极其困难。

##### 代理使用 MCP 的理由

MCP 的支持者对 CLI 优先的观点有直接回应：CLI 没有考虑到 AI 在现实世界中的实际使用方式。大多数与 AI 代理互动的人通过基于浏览器的聊天界面或移动应用进行交互，在这些环境中运行 shell 命令根本不可行，而且许多商业工具根本没有 CLI 等价物。对于这些场景，MCP 解决了一个真实的问题：它为代理提供了一个自描述接口，代理在连接时可以自动发现可用工具及其使用方法，无需猜测命令语法或解析文档。与 CLI 不同，MCP 内置了 OAuth 身份验证、按用户权限和满足企业安全要求的审计跟踪。

主要批评点在于开销问题。糟糕的MCP实现可能在有价值的工作开始前就加载大量工具模式，消耗令牌、增加延迟，并压缩推理空间。MCP还可能引发服务器故障、认证摩擦和更复杂的调试过程。实践经验表明，MCP需要优秀的接口设计：更小的任务级工具、渐进式披露、模式过滤，以及仅向代理展示其所需内容的网关。

##### 你的CLI是为人类而非代理设计的

代理可以学习命令语法。更困难的问题在于，大多数CLI是为人类而非受时间、令牌和安全约束的软件代理设计的。我们很容易忽视这些缺陷，因为人类擅长填补空白。我们可以从糟糕的手册中猜测缺失步骤，解读模糊的错误信息，并自行意识到工具在显示选项前需要我们登录。而代理对每个空白点都要付出具体代价：重复的发现循环、浪费的令牌、脆弱的文本解析，以及不必要的中断询问用户下一步该做什么。CLI本身没有改变，改变的是用户。

实际应对方式是将CLI代理就绪性视为可测量和改进的指标，而非简单假设。一个名为CLIARE（CLI Agent Readiness Evaluation）的开源项目正是这样做的。它检查实际安装的二进制文件而非文档，记录实际发生情况，并在六个维度生成评分报告：命令是否可发现且可导航、是否能构建有效调用、命令是否能完整执行而不卡顿、错误输入是否能以清晰错误信息失败、是否提供可用的机器可读输出模式，以及只读探测是否保持只读属性。结果是一个可运行、可跨版本追踪并分享给构建代理的团队的评分表。这将接口质量从猜测游戏转变为可衡量的指标。

这不仅影响代理开发。企业可通过CLI暴露真实操作权限：部署、财务流程、数据库作业、云控制平面、支持脚本、分析流水线和内部平台。如果代理要接触这些界面，相关问题不应只是"CLI是否存在"，而应是"代理能否在不猜测的情况下理解并使用它"。向代理暴露CLI的AI团队应尝试CLIARE，或至少借鉴其核心理念：使命令界面可测量、可版本化、可解析，并明确说明前提条件、输出、副作用和风险。

##### 将接口与风险匹配

我不认为这是CLI和MCP之间的宗教性选择。更关键的问题是代理被赋予何种权限，以及它代表谁行事。在工作流本地化、可组合、可检查且已贴近终端的场景中使用CLI：代码、测试、日志、文件、数据检查、构建系统、成熟供应商工具和内部脚本。但如果代理将频繁使用该CLI，应在依赖前使用CLIARE测量其接口。

使用 MCP 的场景包括：工作流需要托管、多用户协作、权限控制，或与依赖 OAuth、用户授权、作用域访问和审计日志的 SaaS 系统集成。无论哪种情况，当代理涉及资金、身份信息、生产系统、客户数据或不可逆状态时，都应提高安全标准。通用设计原则很简单：暴露任务本身，而非整个系统。保持接口简洁，优先使用可解析的输出格式，分离读写操作，记录具有影响性的操作，并为不可轻易撤销的操作强制要求审批。传输方式的选择很重要，但接口设计的影响更为关键。

AI 开发者生产力辩论：实地指南

来自《AI 是否真正提升了开发者生产力？正反两面的证据》 /think