过去一年里AI Agent 项目层出不穷——自主编程助手、浏览器自动化工具、多 Agent 编排框架…，每周都有新玩家入场。但一个尴尬的事实是：大多数 Agent 在生产环境中仍然频繁失败，而且失败的原因惊人地一致——它们缺乏一个可信的运行时。

开发者们陷入了一个死循环：花费大量时间调整 Prompt。试图让模型“更听话”，但 Agent 在执行真实任务时依然会出现不可控的删库、死循环或权限越权。这种“推理很强，执行很乱”的现状。让 AI Agent 难以真正走出 Demo 阶段进入生产环境。

领域花费了巨大精力调整模型如何思考，却几乎没有人关注 Agent 如何执行。这种不平衡正在变得越来越危险。

解决了简单的那部分

在 LLM 早期阶段确实少不了。通过思维链、ReAct 循环、规划 Agent 等技术，我们明显提高了模型的推理质量。

但这些技术也制造了一个危险的错觉：

当你发现无论如何调整 System Prompt。Agent 依然会在特定场景下调用错误的 API 或在文件程序中乱搞时你就意识到：提示词可以影响推理，但提示词无法强制执行安全边界。

真正的问题始于工具执行

大多数现代 AI Agent 最终都会收敛到同一种架构：

LLM → 工具选择 → Python 函数 → Shell / 网络 / 文件程序

模型决定调用哪个工具、传递什么参数、何时停止。在 BoxAgnts 的设计中，我们对此有清醒的认识。说起来，看一下 boxagnts/query/src/query.rs 中的查询循环——这是整个程序的心脏：

// run_query_loop 的主要原因：
// . 向 API 发送对话
// . 处理流式响应
// . 检测工具调用请求并分发执行
// . 将工具结果反馈给模型
// . 处理自动压缩、token 限制恢复、预算超支等边界条件

这个循环暴露了一个根本问题：模型成为了运行时决策引擎。但这个引擎本身并不可信， 提示注入攻击已经证明 LLM 可以通过网页、文档、工具响应、检索结果控。老实说，

这代表着 Agent 无法安全地假设自己的推理可信、外部内容可信、工具输出可信。只是许多 Agent 运行时仍然允许无限制执行——这本质上是一个架构矛盾。

AI Agent 需要运行时边界

传统软件基础设施早就假设了应用会失败、进程会崩溃、服务可能被攻破。这就是我们建立容器、虚拟机、进程隔离、能力程序的原因。

BoxAgnts 在这个问题上的态度很明确。看一下 boxagnts/tools/src/tool.rs 中 Tool trait 的设计：

pub trait Tool: Send + Sync {
fn name -> &str;fn description -> &str;
fn permission_level -> PermissionLevel;// 定义权限等级
fn input_schema -> Value;async fn execute -> ToolResult;}

每个工具都有明确的 PermissionLevel——ReadOnly、Write、Execute 或 None。这不是装饰性的标签，而是运行时强制执行的约束。在正确的架构中，不是想办法让模型更可信。而是让运行时对不可信模型具有弹性。

运行时工程改变了设计哲学

{BoxAgnts} 的主要原因是：由运行时负责能力隔离、权限治理和资源约束。说起来，模型只是更大执行程序中的一个组件。老实说，

为什么 Rust 对 Agent 基础设施越来越关键

# BoxAgnts 实现下载即运行 :boxagnts --workspace-dir /path/to/workspace --port

// boxagnts/wasm-sandbox/src/run.rs - 精确定义资源边界指标指标指标指标指标指标指标指标指标指标指標指標指標指標指標指標指標指標指標指標指標指標指標指標指令数边界 }

注Rust 的所有权语义使得 BoxAgnts 能在语言层面就定义好内存边界和时间边界，确保即使 Agent 进入死循环也不会拖垮服务器配置资源。

WebAssembly 不仅仅是部署格式

{BoxAgnts} 中的 WASM 工具不是用 Python 子进程执行的，而是通过 Wasmtime 在沙箱中运行。所有文件读写、网络请求都必须经过沙箱网关且受 RunOption 的约束限制。

多 Agent 程序增加了运行时隔离的需求

$\text{Manager} \rightarrow \text{Executor}1。\text{Executor}2,\dots,\text{Executor}_n$

**如果没有这种物理级别的隔离** $\rightarrow$ 一个被攻破的 Executor 会污染其他 Executor $\rightarrow$ 上下文污染扩散 $\rightarrow$ 全局崩溃。

AI 基础设施的下一层

当前缺失的技术栈层级

• 顶层模型 API
• 中层提示词框架 $\rightarrow$ 工作流编排
• 底层 ：运行时基础设施 $\leftarrow$ {BoxAgnts} 提供之部分

BoxAgnts 的模块化布局

boxagnts/├── api/ ← 模型 API接口├── core/ ← 类型定义├── gateway/ ← 网关与调度├── query/ ← 查询循环与编排├── tools/ ← 工具与权限模型├── wasm-sandbox/ ← WASM 沙箱├── wasm-tools/ ← 工具封装└── workspace/ ← 工作空间管理

$\text{Agent} = \text{推理程序 } + \text{执行程序 }$

$\text{未来的竞争力} = \text{更安全的执行能力}> \text{更聪明的推理能力}$

$\textbf{结论}$ ：当你的 Agent 开始操作真实世界的文件和命令时$Run\ Time$ 不再是实现细节 $\rightarrow$ 它是整个程序的基石。不过，

相关资源

• Boxagnts 开源仓库：github.com/guyoung/box…

---