在 Agent 开发中，这种“黑盒”往往让人头疼。你只能看到输入与最终输出，却无法窥探模型思考、工具执行或 token 具体消耗在哪一步。Hook 机制正是为了解决这个“看不见、拦不住”的痛点。怎么说呢，

没有 Hook 的时代：你只能猜

想象一个最原始的 Agent：把 prompt 发给 OpenAI。拿到工具调用指令，执行工具，再把结果塞回循环。从此时你只知道来看，

但对的观点是。

• 模型到底想了什么
• 工具调用花了多长时间
• 是否出现异常

都一无所知。说起来，这导致三类典型事故：

1️⃣ Token 消耗失控

Agent 可能在某一步循环重试导致 token 大幅上升。却难以发现，

2️⃣ 工具调用静默失败

搜索 API 返回空或部分结果。但 Agent 没检测到异常，继续推理，最终给出貌似合理却方向错误的结论。

3️⃣ 安全边界失守

邮件发送工具被设计为需使用者确认。但仅靠 Prompt 层约束易被忽略，缺乏可强制拦截的手段。

第一批解法这方面。 观察者模式的回调

LangChain Callback System

• BaseCallbackHandler: 继承六个 Mixin，分别监听 LLM、链、工具、检索等生命周期事件。
• 事件流天然构成树结构：run_id & parent_run_id
• IDEs 与监控网站都是回调总线实现 tracing 的。

from langchain_core.callbacks import BaseCallbackHandler
class SimpleLogger:
def on_llm_start:
print
def on_tool_start:
print
def on_llm_end:
tokens = .get
print
handler = SimpleLogger
chain.invoke({"input":"..."}。config={"callbacks":})

This solves “能看见”的问题，但仍不能修改或阻断执行流程。

AgentMiddleware：从观察到干预

Migrating from Callbacks to Middleware

Hook Point	Trigger Time	What You Can Do
	Once when Agent starts	Validate / transform initial context

Before every LLM call Modify prompt history,filter available tools。de‑identify PII.

modelcallWrap entire LLM invocation Intercept exception,apply exponential back‑off,switch models.

After each LLM response Approve result,transform output.

Once when Agent finishes Finalize state,persist results,notify stakeholders.

Wrap Tool Calls – User Approval/Sandboxing…\t

wraptoolcall — Interceptor for tool execution   \t

\t

\t

\t

\t

d

d d

---