FDE W5 Day 2 学习手册 · 工具运行时与可靠性

W5 Day2 · A 级（必须掌握，面试核心）· 4h · 学完能讲透"工具鉴权怎么落地（不是靠 Annotation）、执行预算怎么设、超预算如何优雅结束"

一、工具鉴权的本质：谁能在什么角色下调什么工具

工具鉴权回答一个问题：这次 Agent 调用，是否有权执行它想执行的工具？维度有三个——主体（谁）、角色（什么身份）、工具（干什么）。

规则示例：普通查询角色只能调 query_policy；只有"审批角色"才能调 submit_claim；adjust_limit（调整报销上限）需管理员 + 二次确认。

二、工具鉴权 vs MCP Tool Annotation（Annotation 只是提示）

MCP（Model Context Protocol）里每个 Tool 可带 Tool Annotation，如 readOnlyHint、destructiveHint、openWorldHint、idempotentHint。它们是给模型/客户端的"提示"，不是安全边界。

三、鉴权落地：角色 / 权限 / 策略实现

3.1 权限模型

推荐 RBAC（基于角色）+ 可选 ABAC（基于属性）。每个工具在注册时绑定所需权限标签，如 permissions:["tool:claim:submit"]。Runtime 调工具前，用"会话角色拥有的权限集合"∩"工具所需权限"判断是否放行。

// 伪代码：Runtime 调用前的授权拦截
function authorize(session, toolSpec):
    required = toolSpec.permissions        // 如 ["tool:claim:submit"]
    granted   = session.role.permissions    // 角色已授权集合
    if required not subset of granted:
        audit.deny(session, tool, required) // 留痕
        return ToolResult(error="FORBIDDEN", safe=true)  // 受控拒绝
    if toolSpec.requiresStepUp and not session.stepUpDone:
        return ToolResult(error="NEED_STEPUP")            // 二次确认
    return invoke(toolSpec, session)

3.2 实现位置

• Runtime 层统一拦截：所有工具调用必经此关，业务工具零侵入。
• 对接企业 IAM：复用现有单点登录/权限中心，不另起炉灶。
• 保险场景：理赔员角色可调 submit_claim，但 adjust_limit 需"管理员 + 二次确认（step-up）"。

四、执行预算①：工具调用次数上限

Agent 可能陷入"调工具 A→发现缺 B→调 B→又缺 A"的死循环，无限烧 token。必须设定单次 Agent 调用的工具调用总次数上限（如 20 次）。

• 设多少：取决于任务复杂度。简单理赔查询 5–8 次；复杂多工具编排 15–20 次。太低会"没查完就被掐断"，太高仍可能失控。
• 按工具分级：高成本/高风险工具（submit_claim）单独再设更紧的子预算。

五、执行预算②：Token 预算

除了工具次数，还要限制单次 Agent 调用的总 token 消耗（输入+输出+工具结果回填）。防止长上下文 + 多轮工具结果把成本/延迟拖爆。

六、执行预算③：时间预算

整体 Agent 超时：单次 Agent 调用设总时长上限（如 60s/120s）。超时就中断循环，返回目前为止的最佳答案或转人工。

• 时间预算 vs 工具超时：工具超时（W5D3）是单工具调用的超时；时间预算是"整个 Agent 调用"的超时，更上层。
• 用户感知：长任务可流式返回中间进度，避免用户以为卡死。

七、工具隔离：工具异常不影响主流程

工具可能在运行时抛异常（NPE、下游 500、超时）。隔离保证：单个工具失败，Agent 主循环不崩，而是拿到一个"受控错误"自行决策（重试 or 换工具 or 转人工）。

• 异常分类：网络/超时（可重试）→ 业务校验失败（不可重试，直接告诉模型"参数不对"）→ 系统错误（转人工）。
• 隔离粒度：按业务域分组线程池/协程，避免"查保单慢"拖住"算报销"。

八、资源限制：CPU / 内存 / 网络隔离

部分工具可能"吃资源"（如本地 PDF 解析、大模型本地推理、批量计算）。需要限制其资源，避免拖垮宿主。

九、预算超支时 Agent 如何优雅结束

"优雅结束"指：预算（次数/Token/时间任一）触发后，Agent 不抛异常、不卡死，而是产出当前最优结果 + 明确状态说明。

if budget_exhausted:
    answer = synthesize(current_facts)          # 用已收集信息尽量答
    return AgentResult(
        answer = answer,
        status = "PARTIAL",                       # 部分完成
        missing = unmet_requirements,            # 还差什么没查
        suggestion = "建议转人工 / 补充材料后重试"
    )

• 区分"失败"与"部分完成"：已查到保单就返回已知结论 + 说明缺失，比"对不起我超时了"有用得多。
• 可恢复：已收集字段保留（Checkpointer），用户补材料后从断点续，不重来。
• 转人工兜底：高敏/高风险任务超预算直接转人工，不硬编答案。

十、资源与监控：预算/鉴权全留痕

十一、面试达标线①：工具鉴权在企业里怎么落地（不是靠 Annotation）

十二、面试达标线②：执行预算怎么设、超预算时如何优雅结束

1. 次数预算：按任务复杂度设（简单 5–8、复杂 15–20），高敏工具单独更紧，含重试计数。
2. Token 预算：限制输入/输出/总成本，Runtime 维护 running cost，近阈值预警。
3. 时间预算：整体调用 deadline，比单工具超时更上层，安全中断可恢复。
4. 优雅结束：超支后用已收集信息合成答案，返回 PARTIAL 状态 + 缺失项 + 建议（转人工/补材料），已收集字段保留可续；高敏任务直接转人工，绝不硬编完整答案。

十三、W5D2 自测清单

十四、高频面试题速记卡