很多人学习大模型时，会在模型原理、Prompt、RAG、Agent 框架和各种新工具之间来回切换。每个概念都看过一些，真正面对一个企业需求时，却很难回答三个问题：任务如何可靠地完成，系统如何安全地接入业务，效果和成本如何长期运营。
这组文章从一个可以持续运行的项目出发，用 180 天把模型调用、Agent Runtime、知识库、工具权限、评测观测、前后端和部署串成一条路线。目标不是把所有框架都学一遍，而是能独立完成一个有状态、可恢复、可评测、可审计的 AI 应用，并能在面试中讲清楚取舍。
先确定最终要交付什么
半年后的作品应该是一套“企业知识与任务协作平台”的最小实现。用户可以从网页发起任务，系统根据权限检索知识，调用受控工具，必要时等待人工审批，最后返回带证据的结果。平台还要能回答：这次任务用了哪个模型、哪份知识、哪些工具、花了多少成本，失败后能否恢复。
可以把目标拆成四类产物：
| 产物 | 最低要求 | 面试时要能说明 |
|---|---|---|
| 可运行项目 | 前端、API、任务执行器、数据库和部署脚本 | 一次请求经过哪些组件 |
| 工程文档 | 架构图、数据模型、权限模型、故障处理 | 为什么这样分层，哪些地方保持确定性 |
| 质量证据 | 回归集、安全样本、trace 和成本统计 | 如何证明改动没有让系统变差 |
| 面试题库 | 模型、RAG、Agent、平台和系统设计 | 如何从原理回答到生产取舍 |
项目不必一开始就拆成很多微服务。先把边界写成接口，再根据真实负载拆分，通常比先搭一套复杂平台更容易验证。
六个月的学习顺序
第 1 个月：模型工程和服务基础
先建立统一的 ModelClient，处理模型路由、超时、重试、流式响应、结构化输出和 token 统计。同步补齐 Python 或 TypeScript 的服务开发、异步任务、数据库和 HTTP 基础。
第一个月的结果不是“会调用一个模型”，而是让任何业务代码都不需要直接依赖某一家模型供应商。每次调用都记录模型标识、提示词版本、输入输出 token、延迟和错误分类。
第 2 个月：Agent 核心和可恢复执行
学习 Tool Calling、ReAct、Planner、Workflow 与 Agent 的边界、短期记忆、长期记忆和 MCP。重点实现任务状态机：任务可以暂停、补问、等待审批、重试、取消和恢复。
Pi、Claude Code、ChatGPT Agent 等工具放在这一阶段对照学习。关注它们如何读写文件、调用工具、保存上下文和获得用户确认，再把这些能力抽象成自己的运行时接口。MCP 可以作为工具和数据源的连接协议来研究，而不是把它当作业务权限系统。
第 3 个月：RAG 和企业数据
从文档解析、切分、元数据、向量检索、关键词检索和重排开始，逐步加入版本、租户、权限过滤和引用。每个答案中的关键结论都要能追溯到具体证据，知识快照也要可以重建。
这一阶段会复用已有的知识库证据文章和问答评测文章，把“搜到相关内容”进一步变成“找到足以证明结论的内容”。
第 4 个月：企业 AI 平台能力
把模型注册、模型路由、限流、成本、Prompt 版本、工具注册、租户身份、队列和异步执行整理成平台能力。固定顺序的流程使用 Workflow 表达，需要根据输入选择下一步时才开放 Agent 决策。
这一阶段会结合已有的企业 AI 平台分层设计和企业级 Agent 架构，完成项目架构图、数据表和一条端到端任务链路。
第 5 个月：评测、安全和运营
为正常任务、缺少信息、资料冲突、工具故障、提示词注入、越权和高风险写入准备评测样本。把结果指标、过程指标、风险指标、延迟和成本分开统计；用 trace 把线上失败还原到模型、检索、工具或策略层。
安全控制要放在执行器和业务服务中，包括短时最小权限、参数 schema、幂等键、审批、审计和取消后的迟到结果处理。可以参考已有的Agent 工具调用安全和Agent 评测与运维。
第 6 个月：全栈交付和面试表达
用 React 或 Next.js 完成任务列表、流式输出、引用展开、审批和运行详情；后端提供 SSE 或 WebSocket，数据库保存任务、步骤、证据、审批和审计记录，最后用容器和 CI 脚本部署。
每周进行一次系统设计和项目复盘：先用三分钟讲清业务目标，再用五分钟讲架构和关键链路，最后主动说明一个失败场景、一个取舍和一个可观测指标。面试官关心的不只是“用了哪个框架”，还会追问并发、权限、成本、降级和数据一致性。
每天如何推进
每天的内容固定为四部分，保证学习、实现和面试不会彼此割裂：
- 一篇主文章：概念、架构、代码或伪代码、常见坑和实践任务。
- 三到五道面试题：标注方向和难度，给出参考答案与追问。
- 一到三条资料：优先使用官方文档、论文、公司技术博客和可核验的公开题目，记录检索日期。
- 一项项目提交：代码、测试、架构图、评测样本或复盘记录中的一项。
每七天做一次小测和路线复盘，每三十天交付一个阶段项目。当天没有可靠的新题目时，使用经典题并说明来源和原因，不用未经核验的“内部真题”填充数量。
第一天先做一个最小闭环
今天先不要接十个工具。选一个“读取资料、生成建议、等待确认、保存结果”的任务，建立下面四个对象：
1 | Task 目标、发起人、租户、状态、版本 |
最小状态流可以是：
1 | CREATED -> RUNNING -> WAITING_FOR_INPUT |
模型只负责提出结构化的下一步建议，执行器负责检查工具、参数、权限和状态迁移。这样以后换模型、换检索器或增加前端时，核心任务仍然有稳定的边界。
第一天的面试题
1. Workflow 和 Agent 应该怎么选？
方向： Agent 设计，难度：中。
固定顺序、分支规则明确、失败处理可预期的流程优先用 Workflow；需要理解自然语言目标、选择资料或决定下一步时，才把局部决策交给 Agent。两者可以组合，Workflow 负责边界，Agent 负责受约束的决策节点。
追问： 如果 Agent 连续调用工具失败怎么办？
答题时应提到最大步数、超时、错误分类、重试预算、降级路径和人工接管，不能只回答“让模型重新规划”。
2. 为什么不能把对话历史当作任务状态？
方向： Agent Runtime，难度：中。
对话历史是给模型理解语境的输入，不能保证状态迁移、幂等和并发安全。任务状态应持久化在数据库或任务存储中，每个 Step 有明确状态和版本；恢复时从最后一个已确认步骤继续，而不是让模型猜测做到哪一步。
追问： 取消任务后，迟到的工具结果如何处理？
工具服务和执行器都要校验任务版本及可写状态，已取消的任务拒绝迟到写入；对于外部副作用，还要依靠幂等键和补偿动作。
3. RAG 的召回率提高了，为什么答案仍然可能错误？
方向： RAG，难度：中。
召回只说明候选里可能有相关内容，不代表材料版本、权限、适用条件和证据强度正确。还需要元数据过滤、重排、版本判断、结论与证据绑定和引用检查。评测时要分开统计检索命中、结论正确、引用支持和最终任务完成。
追问： 多租户知识库的权限过滤放在哪一层？
权限范围应由服务端根据身份计算，并在检索候选阶段过滤；模型只能使用过滤后的证据，不能自行决定用户是否有权访问。
4. 如何控制 Agent 的成本？
方向： AI 平台，难度：中高。
先记录每个任务及每个 Step 的 token、模型、工具和重试成本，再按任务类型做模型路由。对简单抽取使用低成本模型，对复杂规划使用更强模型；同时限制上下文长度、最大步数、并发和工具预算，并设置缓存、超时和降级。成本指标要与成功率、延迟和人工接管率一起看。
追问： 只换成更便宜的模型是否足够？
不够。还要比较结构化输出通过率、工具参数错误率、任务完成率和长尾延迟，否则节省的模型费用可能被重试和人工处理抵消。
5. Agent 的安全边界为什么不能只写在 Prompt 里？
方向： 安全与平台，难度：高。
Prompt 可以约束模型行为，但不能提供可靠的身份认证、资源授权、参数校验和审计。执行器和业务服务必须独立校验短时能力令牌、租户资源、工具 schema、审批状态、幂等键和风险等级；外部文档只能作为不可信数据，不能覆盖系统指令。
追问： 如何评测安全？
为越权资源、提示词注入、过期授权、缺失审批、重复写入和取消后的迟到结果准备应该拒绝的样本，并把策略版本和 trace 纳入回归测试。
今天的资料
- OpenAI Agents 文档：了解 Agent、工具、会话和流式事件的官方概念。
- Claude Code Overview：观察一个编码 Agent 如何读取代码、修改文件并调用开发工具。
- MCP 入门：理解 AI 应用连接外部数据、工具和工作流的协议边界。
今天的实践任务
在本地仓库建立 agent-platform/ 目录，完成一个不依赖具体模型供应商的 ModelClient 接口、一个内存版任务状态机和一份工具契约。为任务写三条测试：正常完成、缺少信息时等待补问、取消后拒绝迟到结果。明天从 Agent Runtime 的状态机和可恢复执行开始，把这个闭环接到持久化存储。
这 180 天的每一步都要留下可运行的证据。只要每天都能把一个概念变成接口、测试、文档或一次复盘，半年后就能用一个完整项目回答“你做过什么、为什么这样做、出问题时怎么处理”。
