小红书 Agent 开发二面：结论正确性、安全边界与本地云端扩展
本场面试题
- 分析类 Agent 返回结论，怎样证明它可靠？
- 结构化结论用了什么格式？
- 如何防御通过 Prompt Injection 窃取指令或改变 Agent 行为？
- Agent 工具调用不作限制有哪些风险，怎样避免？
- 多 Agent 拆分在安全与正确性上会新增哪些风险？
- 本地 Agent 和云端 Agent 同时扩展到大量设备，架构重点是什么？
面经与参考答法
小红书 Agent 开发二面：结论正确性、安全边界与本地云端扩展
这是一轮小红书 Agent 开发二面，原记录没有明确面试日期。本页选录以下六个技术角度：分析结论正确性、结构化格式、Prompt Injection、工具调用风险、多 Agent 拆分风险，以及本地与云端设备扩展。
未展开实习项目的部门背景、整体架构和输入到输出流程、OpenManus 与 LangGraph 的框架取舍、并发资源争抢、上下文与状态隔离、Workflow 与自治 Agent 的差异、为何不拆成多 Agent、未来 AI 与编程趋势，以及到岗等个人事项。短答中的 Schema、授权、校验和部署设计均为教学补充，不代表作者的现场答案或项目实现。
（1）分析类 Agent 返回结论，怎样证明它可靠？
先把“正确”拆开：事实是否有来源支持，计算是否可复现，推断是否遵守业务规则，建议是否符合当前权限和风险阈值。Agent 输出不应只有一段结论，还要带证据引用、数据时间范围、使用的方法、假设、缺失信息和置信/不确定性。确定性计算、规则校验和数据查询应由工具执行，模型负责解释和组织，不能让模型凭文本替代计算。
评测使用冻结的案例集，覆盖正确、缺数据、冲突数据和诱导性输入；分别统计事实准确、引用有效、计算一致、拒答正确和人工推翻率。高风险结论设置人工审批与可追溯审计，模型自评“我很确定”不构成验证。
延伸阅读：Agent 评测、Agent Benchmark 的设计与解读。
（2）结构化结论用了什么格式？
原记录没有披露作者采用的格式。作为教学方案，Schema 应服务下游动作，而非为了格式好看。为结论定义版本、必填字段、枚举、数值范围、引用 ID、证据时间和不确定状态；将面向用户的解释与机器可执行字段分开。模型输出先通过严格解析与 Schema 校验，再校验引用是否属于本次允许证据、数字是否与工具结果一致、建议是否落在策略范围内。
解析失败、缺字段或校验不通过时，应返回可修复错误并限次重试，或降级为“无法形成合格结论”；不能把近似 JSON 用宽松解析悄悄放进下游。Schema 演进采用版本化和契约测试，保证旧消费者有明确迁移路径。
延伸阅读：工具结果校验。
（3）如何防御通过 Prompt Injection 窃取指令或改变 Agent 行为？
把用户输入、网页、文档、工具输出和其他 Agent 消息一律视为不可信数据，并在结构上与可信系统策略分隔。即使模型被诱导改变文本，也不能绕过服务端的身份、对象授权、参数校验、出站限制和审计；系统提示本身不应存放可造成实质损害的密钥或权限规则。
检索和工具结果需按权限过滤、限制大小、清理危险内容并标注来源。对读取敏感数据、外发、写入和执行命令等动作采取最小权限、显式确认和策略引擎门禁；测试集应包括直接与间接注入、数据外泄、跨租户和审批绕过。
延伸阅读：Prompt Injection 与间接注入防御、Agent 威胁建模与安全测试。
（4）Agent 工具调用不作限制有哪些风险，怎样避免？
模型可能选错工具、伪造参数、重复执行、访问超出用户范围的数据，或在被注入后执行高影响操作；无限重试还会造成成本、配额和下游资源耗尽。工具注册表应把每个能力标记为只读/有副作用、可否幂等、数据敏感级别和所需确认级别，并由服务端根据主体、资源、环境和当前任务状态做授权。
执行前展示可理解的操作摘要和影响范围；执行时使用短期凭据、幂等键、额度、超时和网络出口限制；执行后写入不可抵赖的操作日志。模型可建议动作，但不能成为最终权限裁决者。
延伸阅读：最小权限、授权与工具调用确认、Agent 工具契约、Schema 与错误语义。
（5）多 Agent 拆分在安全与正确性上会新增哪些风险？
拆分会扩大消息边界与攻击面：一个子 Agent 的错误摘要可能污染其他人的判断，权限若沿父链无差别继承会越权，多个角色也可能重复调用工具、相互肯定错误结论或在冲突状态上做出不一致写入。更多上下文复制还会增加敏感数据暴露和成本。
因此每个角色都应有最小工具集、输入快照、数据分类和明确 owner；跨 Agent 消息使用版本化 Schema、来源/完整性验证和引用，而不是复制整段历史。共享副作用交给单一提交者，关键结论通过独立验证器或人工门禁裁决，并在评测中专门测试协作失败而非只测单 Agent 成功率。
延伸阅读：多 Agent 消息与状态同步、多智能体系统。
（6）本地 Agent 和云端 Agent 同时扩展到大量设备，架构重点是什么？
控制面统一管理身份、设备/Agent 注册、版本、策略、模型与工具目录、配额和审计；数据面按任务调度到本地或云端。含本地文件、低延迟交互或不宜外传的数据优先留在设备侧，云端承担弹性计算、协作和集中评测，但每次跨边界传输都要有用户/租户授权、最小数据集和加密传输。
设备可能离线或版本不一致，因此任务使用稳定 ID、租约、心跳、幂等命令、断点续传和状态同步协议；调度器按设备能力、网络、数据位置和风险选择执行地。云端 worker 还要做队列背压、租户隔离、限流、分区扩容和失败迁移，不能依赖“多开实例”解决状态与权限问题。
延伸阅读：分布式 ID、Agent 服务部署、扩缩容与版本发布。