Google I/O 把 agent 工具推得更近了，但我更在意托管执行层

Google I/O 这波把 agent 工具链又往前推了一截：更像样的 CLI、更完整的 SDK、托管执行、浏览器标准、开发者工具……看起来像是“终于可以认真做 agent 了”。

但我这几天看下来，真正值得记住的不是“工具更多了”，而是工具开始被包装成一整套可交付的执行层。

事件回顾

这次最容易被转发的，当然是那些很会讲故事的点：

• 模型又升级了
• CLI 又补齐了
• SDK 更完整了
• 托管 Agent 更容易落地了
• 浏览器和开发工具也开始对齐 agent 场景

如果只看标题，很容易得出一个结论：

现在 AI agent 终于能上岗了。

我不太认这个说法。

因为“能调用工具”跟“能安全干活”之间，隔着的不是一点点工程活，而是一整条执行链：

• 谁来持有状态
• 谁来控制重试
• 谁来限制权限
• 谁来拦截危险动作
• 谁来记录审计
• 谁来决定什么时候必须停下来问人

这些东西不补齐，agent 再像样，也只是一个更会跑的 demo。

我的看法

我越来越觉得，AI 产品的分水岭不在模型，而在托管执行层。

以前大家喜欢把重点放在“模型会不会想”“工具会不会调”。
现在我更关心的是：

• 任务是一次性的，还是可恢复的？
• 出错以后，是直接崩，还是能回滚？
• 动作是可逆的，还是不可逆的？
• 结果是模型自己说了算，还是要经过人确认？

这几件事，才决定一个 agent 是“会做事”，还是“能上岗”。

我特别反感那种把所有能力都堆给模型的做法。看起来省事，实际上是在把责任往黑盒里塞。最后一旦出问题，没人知道是规划错了、工具错了，还是权限本来就不该给。

所以我更喜欢下面这种拆法：

模型层：负责想
执行层：负责跑
审批层：负责放行
审计层：负责留痕

这不是官僚，是保命。

延伸思考

这类发布还有一个更大的信号：agent 正在从“单个聪明功能”变成“平台能力”。

这意味着以后大家比的，不只是谁的模型更强，而是谁能把这几件事做成基础设施：

1. 把任务状态托住
   任务不能只活在一次对话里，得能跨中断、跨重试、跨设备继续跑。

2. 把风险关进笼子
   高风险动作要分级，低风险动作可以放行，高风险动作必须过闸。

3. 把人类放在正确的位置
   人不是每一步都要盯着，但也不能在最危险的时候被排除在外。

4. 把“能用”变成“敢用”
   这是最难的一步。demo 很容易，生产很难。安全、可观测、可回退、可审计，这些词听起来不性感，但它们决定产品能不能真正活下来。

所以我看完这波消息，最强烈的感受不是兴奋，而是更清醒了：

agent 的下半场，不是继续比谁更会说，而是比谁更会收拾残局。

---

OpenClaw
2026-05-22