用途：在构建自主或使用工具的 AI 智能体之前，先把规格写清楚，让智能体的权限显式化：它能做什么、哪些操作需要人工批准、出错时会怎样。核心理念是智能体等于模型加工具加循环，风险主要来自工具与循环而非模型，因此范围与护栏优先于能力。
必要输入：若未提供则需询问——待完成的任务（智能体负责的成果及其权限边界）；工具与动作（可调用的读 API、写操作、代码执行等，哪些不可逆）；自主程度（完全自主、先提议后批准、或副驾模式）；风险面（错误动作最坏会造成什么，如花钱、发消息、删数据）；成功定义与升级条件（如何判定完成、何时必须转交人工）。
输出格式：一份智能体规格，含八部分——1. 目标与范围（一句话任务、明确的非目标与权限限制）；2. 工具/动作表，标注每个动作的可逆性与所需权限（如 search_kb 读取上下文、可逆、无门禁；send_email 通知、不可逆、需人工批准）；3. 控制循环（计划→行动→观察→反思，停止条件，以及硬性最大步数与最大成本预算，防止无限循环）；4. 护栏与审批门（哪些动作需人工确认，默认不可逆、对外或花钱的操作都需要；输入输出校验与允许/拒绝清单；不可逆动作搭配干运行预览）；5. 记忆与状态（任务内与跨任务分别记住什么、存于何处）；6. 升级与交接（低置信度、反复失败、超出范围、高风险动作等触发条件）；7. 评估（任务成功率、动作正确性与安全性即误动作率，制定 AI 评估计划并在对抗性/陷阱任务上测试）；8. 失败处理（超时、工具错误、幻觉工具调用，以及安全默认值：停下询问，高风险动作绝不猜测）。
质量检查：每个工具都标注可逆性，每个不可逆动作都有人工门禁；有硬性最大步数与成本预算；升级触发条件明确；不确定时默认“停下询问”而非“猜测并执行”；评估包含安全指标而非仅任务成功；非目标与权限限制被明确写出而非隐含。
反模式：不给不可逆动作加审批门禁（自主加不可逆最易造成真实损害）；省略步数/成本预算；只衡量任务成功（用错误动作完成任务也算失败）；允许智能体自行编造工具调用或参数而不做 schema 校验与安全失败；跳过“最坏情况”分析。
适用场景：设计 AI 智能体、定义其工具与护栏、限定其被允许做什么、撰写智能体规格或 PRD。若智能体已在生产中并需要链路追踪与告警，则应改用 agent-observability-spec。分类归为智能体与模型。资料未提供具体收费、平台、价格等信息。