如何系统学习 AI Agent？从 LLM 到生产工程
这不是一份框架 API 合集，而是一套面向生产工程的 AI Agent（Artificial Intelligence Agent，人工智能智能体）知识库。它从大语言模型（Large Language Model，LLM）的能力边界出发，逐步建立工具、状态、检索、安全、评估与运维体系。
先避开一个误区
会对话、接了向量库或能调用一次工具，都不等于 Agent。判断一个系统是否具有 Agent 特征，要看它是否围绕目标形成了决策、行动、观察、再决策的闭环，以及这个闭环是否受到代码级约束。
先给结论
学习 Agent 不应从“选哪个框架”开始，而应按 模型边界 → 工具调用 → 循环与状态 → 记忆与 RAG → 安全与可靠性 → 评估与部署 的顺序建立系统能力。生产落地时，优先用确定性 Workflow（工作流）管理主流程，只把无法穷举的局部决策交给模型。
观察下图时区分两条线：上半部分回答“Agent 如何完成任务”，下半部分回答“系统如何保证它可上线”。
上图不是“框架调用顺序”。Tool Calling、模型上下文协议（Model Context Protocol，MCP）和检索增强生成（Retrieval-Augmented Generation，RAG）是不同能力；安全、状态与评估也不能由某个框架自动补齐。
一、先按问题找入口
| 你现在的问题 | 推荐入口 | 学完应能回答 |
|---|---|---|
| Chatbot、Workflow、Copilot 和 Agent 有什么区别 | 02 Agent 概念 | 谁掌握控制流，为什么不应默认使用 Agent |
| 模型如何稳定返回程序可消费的数据 | 03 模型 API | 消息角色、结构化输出、异常与流式处理 |
| 如何让模型安全调用真实工具 | 06 Tool Calling | 模型提议与代码执行的责任边界 |
| MCP 能否直接解决工具安全问题 | 07 MCP | 协议能力、版本兼容与信任边界 |
| Agent 为什么兜圈、如何停止 | 08 Agent Loop | 规划模式、停止状态、步数与预算 |
| 记忆、状态和 RAG 到底有什么区别 | 10 记忆 / 11 RAG | 数据来源、生命周期、评测与删除规则 |
| Prompt 注入和越权工具如何防 | 14 安全 | 最小权限、校验、沙箱、审批与审计 |
| 非确定性输出如何测试 | 16 测试与评估 | 轨迹断言、离线数据集和线上指标 |
| Agent 怎样变成生产服务 | 19 部署 | 外置状态、队列、灰度、回滚与恢复 |
| LangChain、LangGraph 等如何选 | 20 框架选型 | 从需求与治理能力反推最小抽象 |
二、六个学习专题
1. 模型与上下文：先理解“模型会什么”
- 01 LLM 到底在做什么：Token、Embedding、Transformer、采样与非确定性。
- 02 什么才算 AI Agent：用控制流和反馈闭环划清概念边界。
- 03 模型 API 如何稳定接入：消息、结构化输出、流式传输与错误处理。
- 04 Prompt 能控制 Agent 吗：行为引导与安全边界的区别。
- 05 上下文越长越好吗：选择、压缩、截断、缓存与 Token 预算。
2. 工具与协议：让模型“会做”，但不能越权
- 06 Tool Calling 如何让 LLM 从“会说”变成“会做”：包含可离线测试的最小 Agent、成功轨迹和失败轨迹。
- 07 MCP 解决什么问题：Host、Client、Server，Tools、Resources、Prompts 与协议安全。
3. 编排、状态与知识：把一次调用变成可恢复系统
- 08 Agent 为什么会循环：ReAct、Plan-and-Execute、Reflection 与 Routing。
- 09 Agent 与 Workflow 如何协作：状态机、有向无环图（Directed Acyclic Graph，DAG）、事件与 Checkpoint。
- 10 Agent 真的有记忆吗：短期、长期、情景、语义、状态与 RAG 的区别。
- 11 接入向量库就算 RAG 吗：切分、召回、重排、引用与分层评测。
- 12 什么时候需要 Multi-Agent：Supervisor、Router、Swarm 与复杂度成本。
- 13 哪些操作必须让人确认：人在回路（Human-in-the-Loop，HITL）、审批与接管。
4. 生产治理：让 Agent 可控、可测、可恢复
- 14 Prompt 注入为何防不住：信任边界、最小权限、参数化执行与沙箱。
- 15 Agent 为什么会重复执行：幂等、超时、重试、熔断、补偿与断点恢复。
- 16 非确定性的 Agent 怎么测试：单元测试、轨迹断言、离线评测与红队。
- 17 Agent 出错时怎么定位：Trace、Log、Metric、Token、成本与工具轨迹。
- 18 Agent 成本为何失控：路由、降级、缓存、上下文瘦身与硬预算。
- 19 Agent 如何上线：API、队列、状态外置、容器化、灰度与回滚。
5. 选型、项目与排障：从 Demo 走向交付
- 20 Agent 框架怎么选：LangChain、LangGraph、LlamaIndex、CrewAI 等的选型维度。
- 21 如何把 Agent 做成项目：编码、数据分析、客服与运维四类场景。
- 22 Agent 兜圈、幻觉或越权时如何排障：九段式证据驱动排障。
6. 复述与检索：检查是否真正掌握
- 23 AI Agent 面试与动手练习：概念题、工程题和带验收标准的练习。
- AI 大模型高频面试题：按“简要回答 → 机制 → 工程取舍 → 追问”组织。
- 术语表：中英文全称、缩写和一句话边界。
三、三条推荐路线
| 路线 | 阅读顺序 | 适合场景 |
|---|---|---|
| 1 天建立边界 | 01 → 02 → 06 → 14 | 需要快速评审 Agent 方案 |
| 2 周系统学习 | 01 → 23 按编号阅读，每章完成迁移练习 | 需要独立设计和实现 Agent |
| 生产落地专项 | 09 → 13 → 15 → 16 → 17 → 19 | 已有 Demo，准备上线 |
学习时不要只看最终代码。每章至少保留一条成功轨迹和一条失败轨迹，并能说明失败是被哪一层发现、拦截或恢复的。
四、统一实战主线：KB-Ops Agent
全库使用“知识库运维助手”作为统一案例，避免每章切换业务背景：
它可以通过 RAG 回答文档问题，调用只读工具查询数据库运行指标，并在人工审批后创建工单或执行受控运维动作。
| 工具 | 副作用 | 最低控制要求 | 主要章节 |
|---|---|---|---|
search_docs | 无 | 引用来源、检索评测、内容不可信 | 06 / 11 |
get_slow_queries | 只读 | 实例白名单、查询超时、结果脱敏 | 06 |
create_ticket | 写入 | 参数校验、幂等键、审计 | 15 |
kill_query | 高危写入 | 重新鉴权、HITL、幂等、审计与结果核验 | 13 / 14 |
五、示例运行环境
- Python 3.11+ 为主，Node.js 20+ / TypeScript 5+ 为辅。
- 模型示例使用 OpenAI-compatible Chat Completions 接口，但不绑定具体供应商。
- 凭据通过
MODEL_API_KEY、MODEL_BASE_URL、MODEL_NAME等环境变量注入，不写入代码。 - 默认只连接本地 Mock、内存数据或隔离测试环境，不连接真实生产系统。
export MODEL_API_KEY="sk-xxxx-fake"
export MODEL_BASE_URL="https://api.example-llm.com/v1"
export MODEL_NAME="your-chat-model"六、版本与验证边界
核验日期：2026-09-07。 协议、SDK 与模型能力变化很快，使用前应复核官方文档。
| 内容 | 当前状态 |
|---|---|
| 厂商中立的概念、架构与安全边界 | 可直接作为设计基线 |
| 06 Tool Calling 的 Mock 最小 Agent | 已在本地执行成功与失败轨迹 |
| MCP、LangChain、LangGraph 等版本结论 | 写作时已核验，使用前需再次确认 |
| 依赖真实模型 API 或第三方框架的示例 | 标记为待验证，不宣称在当前环境可直接运行 |
七、不可协商的安全原则
- 用户输入、网页、文档、邮件、数据库记录、MCP 描述、工具返回和其他 Agent 消息都默认不可信。
- Prompt 不是安全边界；高危工具必须执行代码级鉴权、参数校验、审批、幂等和审计。
- SQL 使用参数化查询；Shell 使用允许列表和参数数组，不把模型输出直接拼接执行。
- 删除、支付、外发消息、权限修改、生产命令和业务写入必须显式人工确认。
- Trace 与日志默认脱敏，禁止记录真实密钥、Cookie、内部地址和不必要的个人数据。
八、阶段验收
- 概念验收：能用“控制流归属”解释 Agent 与 Workflow 的区别。
- 编码验收：能实现一个只读工具 Agent，并覆盖非法参数、超时和最大步数。
- 架构验收：能画出状态、工具、RAG、审批、Trace 与外部系统的信任边界。
- 上线验收：能给出任务完成率、安全违规率、P95 延迟、单任务成本和人工接管率。
- 复盘验收：拿到一条失败 Trace 后，能区分模型、上下文、编排、工具和外部依赖问题。
九、高频面试题
先阅读 AI 大模型高频面试题，再使用 23 面试与动手练习 自测。回答时遵循：
先给结论 → 解释机制 → 说明适用边界 → 给出失败路径 → 用指标或轨迹验证