Agent治理：用Hook机制封堵LLM的偷懒、越权与失忆

在大模型应用落地过程中，Agent（智能体）已成为连接大语言模型与企业业务场景的核心桥梁。然而，当这些Agent进入生产环境处理真实业务时，一个被忽视的真相浮出水面：大语言模型并非万能的执行者——它会「偷懒」，会在未经授权时「越权」，更会在长对话中「失忆」。这些问题在消费级对话场景中或许只是体验瑕疵，但在数据仓库开发、代码发布等生产操作中，每一次截断、每一次越界、每一次遗漏，都可能演变成影响下游系统的生产事故。传统的Prompt Engineering（提示词工程）在这些问题面前显得力不从心——它本质上是一种软约束，无法从物理层面阻断危险行为的发生。

概述

本文聚焦于Agent框架层的确定性治理方案，核心思路是：利用Hook（回调/切面）机制，在模型执行的关键节点嵌入防护逻辑，将「prompt管不住的」问题在代码层兜底解决。这套方案并非纸上谈兵，而是源自真实生产环境的数仓Agent引擎实践——在日均处理上千次数据开发任务的场景下，我们通过Hook机制成功堵住了三类典型问题：长脚本的截断略写、未确认的发布操作、以及上下文传递中的信息遗漏。

Hook链：框架层的通用切面机制

现代Agent框架普遍提供了Hook（或称Callback）机制作为扩展点，在Agent运行的每个关键节点——围绕「模型调用」和「工具调用」各有执行前后——暴露出切面供开发者注入逻辑。这套机制的核心价值在于：基础设施和推理逻辑完全解耦，新增或删除一个Hook，主流程代码无需任何改动。在实际实现中，我们主要使用以下几个切面：Before Tool（在工具执行前拦截，可修改入参或直接阻断）、After Tool（在工具执行后、结果返回LLM前，可修改返回值）、以及Before/After Model（在每次LLM请求前后执行）。基于这些切面，我们构建了三条相互配合的防护链路。

长文本完整性护栏：读写两侧Offload

第一个问题是「偷懒」——当LLM处理动辄上千行的SQL或Python脚本时，会出现截断、占位略写（输出「-- 其他字段...」）、跳步骤、甚至将长文本「复印式重写」到token耗尽为止。这种问题的根因是结构性的：长脚本在物理上超出了LLM的上下文token预算，无法通过提示词约束解决。解法是让LLM永远不直接接触脚本全文。两端都用Hook拦截配合沙箱文件做「中转站」：拉取侧（After Tool），当工具返回包含长脚本的响应时，Hook自动将全文写入沙箱只读快照，响应中替换为引用句柄告知LLM「需要改先复制文件再局部修改」；写回侧（Before Tool），工具执行前从沙箱加载完整脚本覆盖入参，确保写回的是完整内容而非截断片段。这套机制带来的直接效果是：修改任务的工具调用输出token直降约90%（上下文仅留引用句柄），彻底消除了「复印重写」导致的自截断问题。

危险操作确认：HITL门禁机制

第二个问题是「越权」——发布、回刷、冻结、解冻、终止实例等写生产或不可逆的操作，LLM无法区分其可逆性差异，可能把发布和查询视为同一类「完成任务的步骤」而不打招呼直接调用。解法是在框架层强制植入一道「门禁」：所有危险工具必须经过Human-In-The-Loop（HITL）确认，没拿到用户明确授权，工具就是不能执行。这道闸的本质是一个特殊的Before Tool Hook——判断「是不是危险操作、用户授权了没」，没授权就阻断并向用户展示确认对话框。用户完成选择（如选择发布方式、填写审批人信息）后，结果写入会话状态，下一轮LLM重调该工具时状态已就位，守卫放行。关键设计点在于：必须框架层拦截，不能信任LLM的自觉性；确认动作只能由真实用户在界面触发，LLM无法绕过。

如有侵权，请联系删除。