工具、工作流与 Agent：能力从哪里来，边界划在哪里

工具调用其实很朴素

模型不会自己打开文件，也不会自己访问网络。所谓工具调用，是运行环境事先告诉模型有哪些工具可用、各需要什么参数；模型在需要时产出一段格式规整的调用请求；外部程序解析这段请求、真正执行、再把结果作为新的文本送回上下文。整个回路里，模型始终只在读写文本。围绕这一思路的研究很多，共同点是把语言模型当作决策与表述的部件，把确定性工作交给外部程序。^S1

由此可得一条实用原则：凡是能写成确定步骤的，就不要让模型来做。统计条数、比对字符串、按规则排序、检查字段完整性，这些交给几行程序既快又准。让模型去数一份年表里有多少条 1923 年的记录，是在用最不适合的工具做最容易出错的事。

近年出现了若干把工具接入方式标准化的公开规范，使同一套工具可以被不同产品复用。这类规范值得关注，但对使用者而言，关键仍然是弄清每个工具实际拥有什么权限，而不是它遵循哪种协议。^S2

固定工作流与自主 Agent

两者的分界在于「下一步做什么」由谁决定。工作流由人预先排定：先切分，再抽取，再校验，再汇总，模型只在每一格里干活。Agent 则由模型自行决定调用哪个工具、要不要重试、什么时候算完成。^S3

可靠性差别相当大。工作流的每一步都可以单独测试、单独回放，出错时能立即定位。Agent 的路径每次可能不同，某一步的小偏差会影响后续所有判断，且失败往往表现为「跑完了，但结果不对」，比直接报错更难发现。因此稳妥的做法是默认用工作流，只在路径确实无法预先确定时才用 Agent，并且给它设置明确的终止条件与人工确认点。^S3

外部内容一律视为不可信

一旦允许模型读取网页、邮件或他人提供的文件，就必须假定这些材料里可能夹带针对模型的指令。模型并不天然区分「这是要处理的材料」与「这是要遵从的命令」，两者在上下文里都是文字。已有工作把这类风险归入受工具增强的语言模型所特有的安全问题。对个人使用者而言，最简单的防线不是让模型学会分辨，而是不给它可以造成不可逆后果的权限。^S1S4

从手工到自动化的四个台阶

自动化不必一步到位，实际上一步到位几乎总是失败。稳妥的路径是四个台阶，每一级都能独立产生价值，也都能停在那里不再往上走。第一级是纯手工加模型辅助：材料自己贴，结果自己复制出来，模型只负责生成与判断。这一级最慢，但对陌生任务是必要的，因为你需要先弄清楚这件事到底该怎么做。

第二级是把确定的部分脚本化：切分、格式转换、字段校验、结果汇总交给程序，模型仍由人逐批调用。这一级的收益最大，因为它消灭的是最枯燥也最容易出错的环节，而风险几乎为零。多数个人项目停在这一级就足够了。第三级是固定工作流：把整条链路串起来自动跑，人只在预设的检查点介入。第四级才是让模型自行决定步骤，即前面说的 Agent。^S3

还有一条与技术无关的判断：这件事你会做多少次。只做一两次的工作，手工加模型辅助永远最划算，为它写脚本是在赔本。要做几十次以上、且每次形态相近的工作，才值得往上走。本站的书目整理、体例统一、年表核对属于后者，而某一篇文章的翻译润色属于前者，两类工作不必用同一套办法。

此外还有一条容易被忽略的成本：自动化本身也要维护。脚本会因材料格式变化而失效，工作流会因某一步的产品更新而中断，而这些故障往往在你最赶时间的时候出现。因此每上一级之前，不妨先估一估维护它需要多少精力，若这份精力超过了它省下的，那就不值得往上走。