交接测试

结论很直接：如果替换最强代理会摧毁公司的记忆，那么你建立的不是组织，而是一种依赖。强模型可以完成一次令人印象深刻的任务；组织则能在模型、对话或操作者改变后，重现被验收的工作。

这对一人公司尤其重要。创始人不可能监督每次转移、解释每次失败并记住每个隐藏依赖。长对话可能保存了所有文字，却丢掉决定工作是否安全、是否完成的少数事实。接替者真正需要的是目标、已检查证据、已遇失败、仍有效权限和验收状态。

Anthropic 的 Memento research 提供了一个有边界的结果。新的 Qwen3.5-9B 实例继承前任工作区和简短失败笔记后，在 20 条实验谱系中，推理环境配置成功率从首代 45% 提高到后续世代的 61% 至 84%；增加 Opus 4.8 顾问没有可测改善。这是特定安全研究任务，不是通用企业自治证明。它仍然提出了一个可测试的问题：能力究竟属于模型，还是属于围绕模型的工作区？

出色助手不等于组织

助手可以依靠个人连续性推进任务。它记得某个奇怪文件为何存在、哪个来源被否决、短指令背后的含义，以及哪个检查已经失败两次。只要同一个助手一直在场，这种连续性很像组织智慧。

替换会暴露差别。新代理看到文件、日志和指令，却未必知道哪一项仍然有效。它可能重开废弃路线，把旧批准当成长期授权，或只因为命令再次运行就宣布完成。更大的上下文窗口能让错误解释得更流畅，却不能自动决定哪份证据具有规范性。

组织层必须独立于助手存续。它区分当前状态与历史，标明每项决定的所有者，记录失败路径，区分“可检查”与“可发布、可花费、可联系、可部署”，并用另一名代理也能验证的测试与回执定义完成。

Your AI Should Remember Less 提出的来源、置信度、有效期、权限范围和纠正路径，回答一条记忆能否被信任与使用。交接还要多回答一个问题：不同执行者能否快速重建运行状态？接替者不需要继承前任的个性，只需要一个紧凑、可检查的转移包。

五个对象让交接可转移

最小可用交接包含五个对象。

目标。 用可观察结果写清请求。“继续工作”太弱；“通过受保护发布路径发布四种语言，并逐一验证公开 URL”才有终点。目标也要记录排除项，避免相邻工作悄然进入范围。

证据。 列出规范文件、源材料哈希、公开文档和已验证观察。把事实与推断分开，把过期或缺失证据标为未知。接替者必须能够重新打开决定性来源，而不是只能相信摘要。

失败记录。 保存失败尝试、确切错误，以及什么条件会让重试变得合理。它能阻止接替者花第一个小时重新发现前任第一个小时发现的问题。

权限边界。 写清哪些内容可读取、修改、发布、联系、购买或执行。permission-loss test 从另一面说明，权限消失时系统必须安全降级；执行者改变时，交接也必须保留相同边界。

验收状态。 列出已完成检查、未通过关卡、待审产物和完成所需回执。Autonomy Needs Acceptance Tests 解释了为何运行中进程或看似合理的输出弱于已验证结果。接替者应从第一个未满足关卡继续。

更多上下文可能保存错的东西

复制整段对话看似安全，却有三个问题。第一，对话混合不同权威级别：脑暴、废弃选项、所有者决定和外部网页可能相邻出现。第二，对话保存顺序，却不可靠地保存状态；旧来源、失败命令和早期草稿仍可能被检索出来。第三，对话制造恢复成本；接替者要用时间和 token 重建前任本可显式写出的状态。

替代方案不是失忆。把不可变源材料、日志和对话保留为历史证据，再在上方放置一个短清单，说明什么是当前状态、为何有效、未知项在哪里。历史供审计，运行表面保持精简。

NIST AI Risk Management Framework 并未规定这种交接格式，但支持把预期用途、情境、测量、治理和持续管理连接起来。交接正是这些抽象概念在两个执行者之间落地的地方。

在相同预算下测试三种交接

使用 20 个因可观察原因失败过、且没有外部副作用的任务，包括研究综合、小型代码修复、本地化、结构化数据验证，以及不含生产凭据的发布模拟。先冻结任务集，再分配条件。

三种条件分别是：一，接替者获得完整对话、工作区和日志；二，获得工作区与“目标、证据、失败记录、权限边界、验收状态”五对象交接包；三，只获得原始任务和当前工作区。

三组使用相同模型家族、工具、token 上限、时限和验收测试。随机化条件顺序，每次从相同快照开始。所有动作保持本地、可逆，不包含金融执行、账户变更、外部通信或生产发布。

主要结果是预算内的合格完成率。次要结果包括重复失败、过期证据使用、权限越界、人工救援分钟、token 消耗和首次有效提交用时。结构化交接只有在合格完成率不低于完整对话，同时减少重复错误与人工救援，并且没有新增权限违规时才获胜。

把任务记忆与代理身份分开

任务应拥有自己的持久状态。代理身份可以提供写作风格或工具偏好，但这些偏好必须与具体任务的证据和权限分离。

这种分离提高供应商独立性。只有单一模型能理解的任务包，即使使用开放格式，仍是一种专有依赖。交接应足够朴素，让其他模型、运行时或人工审阅者不必逆向隐藏记忆就能检查。

它也改善事故恢复。OpenAI 的 long-horizon safety note 说明，单独看似可接受的动作可能组成不受欢迎的轨迹，因此需要轨迹级审阅与中断。对交接的启示是：接替者要继承目标轨迹和停止条件，而不只是最后一个可见动作。

任务所有权还能限制爆炸半径。不要在交接中复制 secret、账户级权限或无关私人上下文；应引用获准存储位置，只包含任务所需权限，并把外部文本当作证据而非授权。

接替者必须质疑前任

交接是证据，不是经文。若下一步依赖文件哈希、时间戳、进程所有权、仓库状态或公开可用性，接替者应重新验证。它也必须保留未知项，不用合理故事填补缺口。

验证力度应与后果匹配。本地格式主张可能只需一次确定性检查；发布主张则需要受保护修订、成功构建、公开响应和内容回读。缺失证据也不是负面结果。若前任无法确认外部回执，接替者继承的是 UNKNOWN，以及已经尝试过的路径和解决它所需的证据。

前任应记录证伪条件，例如“只有不可变源哈希匹配才继续”或“只有受保护检查通过才重试发布”。接替者则追加新失败、标记已解决未知项并保存最终回执，不重写历史来让路径显得必然。

完成能够证明什么

实验成功只能说明，在这组测试条件下，结构化状态能让任务能力跨替换存续。它不能证明公司全自动运行、模型等价或高影响领域安全。20 个无害任务只是一个工作流的路由结果，不是通用基准。

失败仍有价值。若完整对话获胜，就检查缺少了哪种状态；若无交接表现相同，工作区可能已足够结构化；若三组全败，验收测试或任务设计可能有缺陷。目的在于定位能力，而不是捍卫格式。

本篇完成了实验设计和转移模式，没有运行 20 个任务，没有替换生产代理，没有检查私人对话、改变权限、发布社交媒体、部署代码、花费资本或联系供应商。结果在匹配实验产生证据前保持未知。

运行规则很简单：先让任务可被替换，再让代理不可替代。保存目标、证据和失败；限定权限；写清验收测试；然后让新执行者证明组织真的学会了。

分类与关键词

分类： Agentic AI；治理；一人公司；系统。

关键词： AI agent handoff；组织记忆；代理替换；验收测试；权限边界；恢复状态；RobinOS。

Hashtags: #AgenticAI #OrganizationalMemory #AIGovernance #OnePersonCompany #RobinOS