Agent Harness

在券商的研究和应用

📌 本文看点

随着AI能力的快速演进，券商不再满足于以对话问答形态的应用，而是希望将智能体真正嵌入生产流程，实现从辅助问答到自主执行的转变。比如对于开户填报业务场景，能实现自动资料解压、识别与结构化提取、人工审核后自动向系统录入数据，7×24小时在线处理。这些场景要求智能体不仅能调用工具、记住上下文、自主规划，更要在受控的前提下安全执行。但当前主流的智能体产品有以下问题：没有多租户概念、不对多用户文件隔离、没有鉴权网关、所有使用者都能直接调用skill，没有按角色收窄的机制。具体如下表所示：

以上这些问题导致通用智能体难以满足券商的安全合规要求。

为解决以上问题，本文基于通用智能体设计了企业级Harness架构，用两层Harness来实现用户隔离和管控机制。如图1所示，外层企业Harness作为接入层，由统一认证、权限控制、审计中心三个模块组成，内层Harness作为能力执行层，由通用智能体原生能力构成，Agent进入运行时，由智能体执行模型推理、工具调用等操作，两层之间通过标准化接口完成对接。

图 1 企业级Agent Harness整体架构

1. 会话隔离

在多用户共享部署形态下，会话隔离是防止上下文越界访问与信息泄露的关键机制。外层Harness每次发起请求时须携带明确的身份信息，以确保只有经过认证的用户才能访问内层Agent。在请求中注入一个会话键（通信渠道、租户ID和用户ID），内层Harness以外层Harness提供的身份信息作为唯一标识，通过会话隔离配置在其内部维护独立的对话上下文，从而杜绝串话。

2. 权限控制

在智能体框架中，Agent的运行包含接收消息、构建提示词、模型推理、调用工具、输出结果等多个步骤，Hook机制是在这些关键节点上预埋自定义的脚本，以实现事前预防和事后纠偏。通过内层Harness运行期提供的before_prompt_build的Hook函数在大模型提示词组装前完成过滤工具列表，通过before_tool_call的Hook函数完成工具执行前的权限校验，通过脚本执行结果来决定放行还是拦截。这种在Agent的运行关键节点插入确定性的脚本使AI的运行从建议变成强制，提升了权限控制能力。

图 2 权限管控调用链路

3. 多租户数据隔离

内层Harness原生的数据隔离机制通常以Agent工作区为边界进行划分，缺乏面向多用户的会话级隔离能力：工作区内的文件可被相互查看与修改，存在越权访问与数据泄露风险。针对上述问题，本文通过配置将所有文件类工具调用统一收至沙箱中执行，将共享的Agent工作区与会话私有的沙箱工作区进行切分，以会话为粒度构建完整的隔离边界。系统为每个会话独立创建沙箱容器实例并分配专属的私有工作区，实现运行环境的物理隔离，所有文件读写操作均限定于该工作区之内，文件类工具的全部调用被约束在沙箱中执行，与共享的智能体工作区完全分离，不同会话之间亦不共享任何文件与数据。基于上述机制，多员工共用同一智能体时的会话数据与文件在沙箱层面得到完整隔离，从而使越权访问防控、数据泄露防范、边界审计与合规追责均有据可依。

4. 审计与可观测性

在企业级部署环境中，智能体行为的全过程留痕、全链路可追溯与可复现，是其合规运行与可信管控的基本前提。由外层Harness在执行过程中对智能体行为进行同步记录，记录内容包括每条记录分配全局唯一ID标识，发起方身份与调用上下文，所调用的技能、能力及模型回复内容，模型名称、时延。基于上述日志，每一次请求行为均被完整留存，从而使合规追溯、越权观测、异常检测等均有据可查。

基于以上Harness 架构设计，本文快速实现了机构业务开户智能体。该智能体面向机构开户环节，业务员工新建任务、上传资料压缩包后，即可自动完成解压、识别、结构化提取与填报提交，支持多员工并发与7×24 小时在线处理。该智能体由营业执照识别Skill、身份证识别Skill、受益所有人识别Skill、智能填报Skill等Skill 构成。机构业务开户智能体将逐份手工录入转变为上传即自动处理，在效果上企业开户耗时显著缩短，错误在进入核心系统提前拦截降低填写错误率，全过程留痕满足监管要求。

该智能体基于Harness 架构、将其各项机制沿业务流程逐层落实的结果。 在任务执行前，外层Harness 依据开户类型与解压后的文件清单，为内层动态装配本次任务可用的Skill 集合，将能力范围预先收窄至任务所需。模型调用识别Skill时，before_tool_call的Hook函数在参数组装完成但尚未执行时，校验权限标签与任务上下文的匹配性、目标文件归属与参数合法性，不通过即拒绝执行，通过方进入沙箱。在数据处理上，全部文件读写被约束在会话私有的沙箱工作区内完成，不同任务、不同企业的资料彼此隔离。在自动填报核心系统前，加入人工审批环节，任务转入等待发布状态后，审核模型先于主模型独立完成交叉校验，将主值与校验值并排展示并对不一致字段高亮，人工逐项核对确认后系统方放行自动填报执行，未经人工确认的产出无法离开流水线。上述各环节均同步记录审计日志，每条记录携带全局唯一ID，从上传、识别到发布可全链路串联还原，Skill调用、各自处理的文件及返回结果均被完整记录，能力是否被绕过均有据可查。

上述机制分别落实了架构中的能力准入、权限控制、数据隔离、审批管控与审计留痕，业务流程的每一环节均运行于Harness 架构设定的管控边界之内，应用本身无需另建安全与合规体系。

该系统实践表明，围绕通用智能体构建的企业Harness的价值不在于替换Agent内核，而在于以工程化治理释放通用智能体的生产潜能。本应用虽以机构开户预填报为具体场景，但其动态装配、执行校验、人工审批、审计留痕的治理范式不依赖于特定业务，可平移复用至合同审核、资料归档等其他高合规要求场景。后续工作将进一步量化这种工程化治理机制对任务成功率与执行效率的影响，并探索多智能体协同场景下的权限收敛与审计聚合问题，为企业级智能体在券商规模化落地提供更多实践经验。

END

本文作者：苏雁南，黄卫岭，刘鹏华。