Anthropic Platform Lead: Multi-Agent Deployment Stuck on Infrastructure, Identity, Isolation, and Kill Switches

多智能体时代，工程师要解的是基建、身份、隔离与急停

Anthroic 平台负责人 @katelyn_lesse 认为：工程师的「身份危机」被看反了，模型再强，多智能体要做出可信结果，仍靠人把基础设施、身份与授权、安全隔离、可观测与急停做对；这些题大多还空着，正是未来一两年工程师的主战场。

背景：从人机对话到成群持久智能体 智能体从「人在环里的聊天」走到更长程、上云；再出现编排器拉子智能体、以及打分/顾问/「做梦」等非执行角色。下一步想象是成千上万个智能体长期协作，去做严肃研究、发现、硬件设计。能力边界外移时，一批软件工程问题已经冒出来。

问题一：基础设施要换思路 Kubernetes 擅长无状态副本或稳定编号的有状态 Pod；智能体更像隔离、有状态、单实例的负载：可能长时间空闲，大量时间在等工具、推理、其他智能体或人。有的要冷启动快，有的要少浪费算力，有的要极端扩缩。作者点到 AI 基建公司在做新文件系统与沙箱，以及 Google 的 Agent Substrate 一类新运行时，空间还很大。

问题二：身份与访问 认证侧可借微服务积累：工作负载身份、短时证书代替静态密钥，开始往智能体上套。授权更开放：多数智能体「代表人」拿人的凭证做事，先要分清动作是人做的还是智能体做的；更难的是 on-behalf-of 下的同意：系统跑几周，人如何有意义地批准权限？平台里的「工具调用自动批准」不够，还要更深的权限模型。智能体自有身份、以及智能体之间如何互信，更不成熟。

问题三：安全与隔离 近月（尤其近几周）核心软件漏洞冒得比补丁快。其上若跑数千持久智能体、写不可信代码、读不可信内容，未修漏洞的危险被放大。作者呼吁在内核、浏览器、运行时、常用库上更有创意地加固。多智能体还有横向扩散：被攻破的智能体把注入指令传给同伴，指令进记忆后被后来者误信，爆炸半径是系统级的。因此动作应落在强隔离沙箱里（详见其沙箱架构博文）。

问题四：监控与急停 需要跨智能体的 OTel 追踪，且智能体不能改自己的或别人的轨迹；需要监控可触发的 kill switch，一次停住整系统并切断凭证。难点往往是判定「走偏」：善意的死磕（例如反复撞不在白名单的域名）和恶意很像。

对工程师的态度 结尾是动员而非悲观：觉得技能要贬值的人，恰恰可能是决定这些系统能否被信任、能否去治病而不是闯祸的人。题面大片空白，值得深挖、形成判断。