Longyue Wang

Anthropic 发布了新的 Harness 工程实践文章。 表面看是介绍他们的新产品，但从更宏观的角度看这篇文章，本质是在探讨一个问题：当模型能力持续变化时，Agent 系统到底该把什么做成“稳定接口”，把什么留给未来不断重写？ 看完文章，我觉得这篇文章隐藏了 Anthropic 对未来 Agent 基础设施的一个深度判断： Agent 基础设施会越来越像“微型操作系统 （Agent OS）”，这是我觉得最值得重视的地方。 Agent 框架最忌讳的是把“暂时性的模型缺陷”上升为“永久性的系统结构”。 harness（调度循环、上下文整理、工具路由等）本质上是在编码对模型能力边界的假设，但是这些假设会随着模型变强而迅速过时。 在我之前发布的《驾驭工程》（马书）里有句话：模型能力越强，harness 将会越简单。 但是现在很多人写 Agent ，包括我自己，很容易把模型缺陷写到 Agent 框架里。比如，模型不会规划，就强行把步骤拆成固定 DAG 。。等等。 这些其实都算是 harness 补丁，其实我们 agent 开发者也很难去判断哪些是模型缺陷。 Anthropic 的做法是设计一个 meta-harness：不去承诺具体 harness 长什么样，只承诺几类长期稳定的接口。 这样的话，我们就不必猜测模型缺陷是什么。 这其实和 OS 思路差不多，OS 从来不关心未来程序怎么写，它只是提供抽象接口。 那么 Anthropic 这个 meta-harness 是如何给 Agent 做抽象呢？ 文章里最重要的抽象是三件事： - session，可以理解为 事件日志 / durable state - harness， 推理-调度循环 / 脑干 - sandbox， 执行环境 / 手脚 它们的分离，才是这个架构的核心创新点。 1. The session is not Claude’s context window 文章里这句话代表了 meta-harness 如何抽象 session。它不是简单的聊天记录，它代表的是「可恢复事件流」。 Anthropic 想做的是，把 session 做成一个 append-only event log，不能把它当作一个直接喂给模型的 prompt，它应该是一个可查询、可回放、可恢复、可重组的真实执行历史。 如果你只是把 session 当作上下文窗口的镜像，那其实就表示它损失了可恢复性。 2. Harness：可替换的 orchestration layer 早期 Anthropic 把 harness、session、sandbox 都塞进一个容器里。但这样做遇到了很多问题，比如，harness 崩了，整个会话难恢复；容器挂了，状态可能丢失；调试困难，包含了用户数据无法轻易使用shell调试；VPC 接入困难。 所以，他们把 harness 从容器里拿出来，变成一个“调用工具的脑干”。 现在的 Harness : - 不再拥有状态 - 不再假设工具在哪里，你只能看到一个接口 execute(name, input) -> string （有种 nix 哲学了） Harness 这样抽象的意思是：AI 不需要知道它在哪台设备，哪个操作系统，手机还是电脑，容器还是虚拟机等等，它只知道“我可以使用哪些手”。 （想象一下千手观音。。） 3. Sandbox：“某种具体的手” 文章里说，decouple the brain from the hands 也就是说： - Claude + harness 是 brain - sandboxes / tools / MCP / custom infra 是 hands 一旦 sandbox 只是 hand，就意味着它们彼此独立，可以来自不同的基础设施，可以共享和传递，也不需要每个 session 都加载启动完整的 sandbox。 这直接引出后面的 “many brains, many hands”。 这次 Anthropic 的实践来自于现代分布式系统最核心的经验之一：不要试图保住某个进程，要保住可恢复的事实记录和重启协议。 这样设计，也从架构上增强了安全性。 文章里有句话， narrow scoping is an obvious mitigation, but this encodes an assumption about what Claude can't do with a limited token—and Claude is getting increasingly smart. 意思是说： - 当然你可以给模型一个“范围较小的 token” - 但这其实还是在赌模型做不到某些攻击路径 - 而模型在持续变强，这种“它应该不会想到吧”的安全假设会越来越脆弱 所以他们不要把 credentials 放在 sandbox 里。 比如 Git token 只在初始化 clone/push/pull 过程中以受控方式接入，不让模型直接读到 token。模型通过 MCP proxy 间接调用，proxy 拿 session token 去 vault 取真实凭证再执行。 不把安全建立在模型能力不足上。 这样设计，也把“可恢复历史”从“上下文窗口”中解放出来了。 它的理念是，不要把完整历史放在模型上下文里；把它放到 session 这个可查询对象里。 从系统角度看： - Claude 的 context window 是执行现场 - session log 是证据仓库 - harness 是检索与重组器 于是： - prompt 不再承担“永久记忆”职责 - trimming 不等于历史消失 - compaction 不等于事实不可恢复 恢复时可以重新取原始事件，这是比“纯摘要 memory”高一个层级的设计。 这样设计，也提升了性能。 降低了 TTFT（time to first token），不再让每个 session 预付全部容器成本。 现在，先让 brain 起跑，hand 只有在需要时才 provision。这是典型的 lazy materialization 思路。 文章里给出的数据也很漂亮： - p50 TTFT 降约 60% - p95 降超过 90% 这个数字说明一个问题：原来瓶颈并非模型推理本身，而是把整个执行环境预耦合到了请求入口。 最后，别忘记这样设计的初衷，就是为了增强未来 Agent 的可扩展性。 文章最后说：“Many brains, many hands” 这意味着，Anthropic 未来是要做一个 agent runtime substrate。多脑协作/ 多手编排 / 跨环境执行。 Agent 的本体不应绑定某个执行壳，而应绑定一组可恢复状态与可调用能力。 文章里也提到了这样设计的一些缺点，比如 让 brain 管 many hands，本身是更难的 cognitive task。 所以这个架构的前提是，模型智能已足够高，能承担更抽象的工具路由责任。 这其实就是在赌未来模型能力一定会提升，面向未来设计。 最后，这篇文章给我的启发有三条： - 启发 1：会话不是消息列表，而是“执行事实流”。 - 启发 2：工具环境不要内化为 agent 自身。 - 启发 3：上下文工程应该是 harness 可替换策略，要考虑未来一旦模型变强、或者检索策略变了不产生技术债。 这篇文章没明说，但我认为它真正代表的是 Anthropic 的一个产品哲学：我们不相信今天的 agent harness 会是最终形态，所以我们优先投资于稳定接口，而不是一次性最优实现。 Agent 系统的未来，在于一组长期稳定的系统抽象之上。

Will Smith eating spaghetti is the true test of AI $msft $goog $meta $nvda