本资料围绕构建可安全使用工具的 LLM 智能体展开。用途：帮助开发者设计智能体循环、工具接口与安全边界。
主要能力与要点： 一、智能体循环。智能体是观察→决定→行动→观察的循环：组装上下文、带工具定义调用模型、执行所请求工具、追加结果，直到模型停止或触达上限。迭代次数、墙钟时间、token 与成本都需设界。
二、能力即设计。智能体能做什么完全由所持工具决定；可靠与安全来自工具面设计，而非提示模型“小心”。不存在的工具就不会发生的故障模式。
三、模型是不可信输入。智能体读到的一切（网页、文档、工具结果、邮件）都可能含针对模型的指令；每次工具调用都应视为不可信方的请求并独立授权。提示词无法消除该属性。
四、自主性是旋钮。步骤越多错误越累积；固定阶段加模型决策点的工作流通常更可靠、便宜、易调试，应选择解决问题所需的最小自主性。
五、工具设计。工具描述即提示词；工具应少而区分明确（约二十个以上选择准确率下降）；说明何时不用并给出替代；用枚举与范围约束而非散文；返回结构化且有界的结果；错误信息也应可指导重试；绝不暴露裸执行器（如 run_sql、execute_shell）。
六、有界循环。每条路径都终止、每次工具调用按用户权限而非智能体权限授权、不可逆操作暂停等人工批准、失败的工具体返回可行动的错误而非抛异常。
七、记忆。上下文不等于记忆，需有意决定持久化内容：工作记忆（当前任务状态，裁剪消息列表）、情景记忆（摘要记录，按相关检索）、语义记忆（用户或领域事实）、程序记忆（提示词、工具、技能，作为代码版本化）。压缩时保留首尾、摘要中间；写入持久记忆必须有出处与删除方式。
八、MCP。模型上下文协议是模型宿主与工具服务器之间的标准接口，能力一次编写多处复用。运营规则：固定并审查所连服务器（其工具描述会进入模型上下文并可能携带注入指令）、凭证最小化、外部托管服务器视为不可信依赖。
九、多智能体。子任务确实需要不同工具、上下文或模型时才有益；拓扑包括流水线、监督者、并行合并、辩论，各自有风险。优先带阶段间检查的流水线。
十、安全。提示注入尚未解决，应设计为注入成功也无法造成实质伤害：按动作与用户逐次授权、读写分离、不可逆操作人工批准、沙箱执行（默认无网络、只读文件系统加临时目录、CPU 与内存限制、短超时）、出口允许列表、记录每次工具调用的执行者、参数、决定与结果。
最佳实践：先做成工作流，仅在固定阶段确实失败处增加自主性；按轨迹而非仅最终答案评估；工具尽量幂等，否则要求幂等键；流式报告进度；工具与提示词一起版本化；限制单次运行成本并监控分布。
反模式：给智能体 shell 或裸 SQL、把工具输出当作事实、无界循环、用提示词消除注入、工具过多、本可用函数却用智能体。
限制：资料未提供具体收费、价格、平台支持与效果数据；MCP 代码仅为示例片段，未给完整安装命令。