这是《智能体进研发流程》系列第二篇。第一篇 讲入口怎么放开，这一篇讲放开之前闸门怎么建。
Stack Overflow 2025 年开发者调查收到 177 个国家的 4.9 万份回答。问及用 AI 工具最大的挫败，66% 的人选了同一项：方案"几乎对，但不完全对"（2025-07-29）。
Anthropic 于 2026 年 8 月 20 日发布的《The Claude Code Guide For Startups》里，受访公司 Zingage 讲了另一半：早期给了编程智能体（agentic coding）完全自主权，得到的是飞快交付、看上去讲得通的代码，“问题在于它以看着对但其实不对的方式偏离了我们的架构”。这类偏离不报错、不崩溃、评审时挑不出，要等三个月后改另一个功能才暴露。
指南把"信任但验证"写成"自动化琐事"的必要推论：没有可靠手段监控并验证结果，就没法把一个流程自动化。另一句更贴中国读者：AI 智能体不是确定性的，可大量强监管工作要求流程每次都以同样方式执行。一家融资担保公司要把授信材料的形式审查交给智能体初筛，这里每条规则都要能说清、每次执行都要一样，出事要能回答当时按的是哪一版。要回答的问题因此只有一个：哪些环节已经具备可验证的手段。
做得成的公司靠四层撑住：写下来的常驻约定、到点必执行的硬闸门、停止条件自洽的循环、长期维护的评测集。
第一层：写下来的约定是上下文，不是强制配置
官方文档把这层的性质说死了：常驻约定文件被当作上下文，不是被强制执行的配置；要做到无论模型如何决定都拦住某个动作，必须改用钩子（Claude Code 官方文档 · Memory）。
Zingage 的补救办法是把不变量逐条写下来：怎么界定问题，无论如何都必须为真的是什么，怎么证明一个东西能用，而不去信一个自信的回答。他们说这是 567 行"这个团队怎么思考"（受访企业自述）。官方文档同时建议单个文件控制在 200 行以内，两个数字不打架：越长的约定越可能按层级散在多个目录。一家城商行的信贷子系统就可以这样分，根目录写"任何查询必须带授权编号"这类全局不变量，子目录写本目录的字段命名与金额精度约定。价值在于人能读、能评审、能进版本库。
第二层：硬闸门每次都执行，与模型怎么想无关
钩子是挂在生命周期固定节点的自定义命令，每次都执行，与模型判断无关。指南给的三个典型用法是：静态检查不通过就拦住写入、提交前必须测试通过、任何东西离开沙箱前先剥掉密钥。
在中国的银行和保险机构，这一层性质再变一次。金发〔2026〕8号《关于银行业保险业人工智能安全开发应用的指导意见》（2026-06-18）第（十九）条要求，对外部引入的开源组件应进行审查评估，加强代码审计、漏洞扫描及安全测试。同一个动作，在硅谷公司是工程习惯，在受监管机构是写进文件的义务。由此得到一条朴素标准：漏做一次就要写情况说明的事，不该依赖谁的自觉。
第三层：只有停止条件自洽的活，才配交给循环
循环是重复执行直到满足停止条件的智能体。大量团队的第一个循环都是修不稳定测试，因为停止条件清晰且自足，它能靠重跑测试直到通过来自证修复，轮次上限是兜底。
对账差异的自动排查可以交给循环，“两边轧平"是能自己验证的终点；“把这份尽调报告写好"不行，好没有停止条件。指南点出的长任务三种失效正对应验收要防的：过早宣布完工、复审时偏袒自己的结论、偏离原始目标。
第四层：评测集测的不是代码对不对，是行为有没有漂
评测集是一组经核实的题目与判分规则，回答"这次改完到底变好了还是变差了”。指南要求为关键用例维护多套并定期更新，既防漂移，也用来评估将来换上的新模型。它的价值集中在一句话里：临界点通常是用户反馈改完变差了，而团队除了猜和试没有别的验证办法。
第一篇 引的独立对照实验说明了"团队觉得还行"为什么不算验收结论：主观感受与实测耗时能差出接近 40 个百分点。
评测集怎么建、围栏怎么划、留痕怎么做，站内《智能体上线前必须做的三件事》 已给做法；权限怎么分级、进生产过几道门槛，见《从试点到组织复制》 。
受监管场景的范式：修原则，不修个例
指南里最完整的受监管案例来自医疗编码公司 Cainex。它的前提句是：在医疗编码里，一个错码的性质是计费与合规事件，不能按笔误处理，这个事实决定了他们怎么建系统。换成中国机构的语境不用改，一条错误的报送记录、一次错误的额度计算，性质同样如此。
回路如下：
- 智能体处理一批，审核员在内部应用里复核。他们看到的不只是结果，还有模型的推理过程，对两者都留评论，全部有版本、可审计。
- 下一轮直接从数据库读原始预测与每条修正、评论，每条修正按编码类型打标。
- 定位到产生该错误的那段指令并改写，确属新情况才写新指引；改动作用在有版本的指令上，并针对失败的记录做测试。规则是：修原则，不修个例。
- 校验不做字符串匹配。一条记录可能有多个可接受答案，用语义匹配加一个裁判判定：这是真错，还是另一条同样成立的路径。
- 候选改动先跑黄金样本集加随机抽样，把回归暴露在上线之前。
最值钱的是他们承认第一版失败了：早期版本过拟合，靠把具体个案编码进去来"修复”，累积的是补丁。改法两条：强制归纳为一般原则，给单次改动能引入多少具体细节设上限。
对照金发〔2026〕8号，两边说的是同一件事：第（二十一）条要求"加强模型开发、变更管理和训练过程记录"，第（二十二）条要求关键决策"须设置人工复核节点，完整保留原始数据、推理路径及阈值触发记录"。外方当最佳实践，中国的持牌机构当合规义务。领域专家的位置也在这里，不逐例修改，只让判断进入自改进回路。
四层闸门在机构里分别归谁
没有责任人的闸门会一起停在方案文档里。最后一列是判断它有没有真建起来的动作：
| 层 | 内容 | 通常归属 | 怎么判断它不是空壳 |
|---|---|---|---|
| 常驻约定 | 架构规则、字段口径、不可变项 | 业务与架构 | 版本库里有没有修改历史 |
| 硬闸门 | 扫描、测试、密钥剥离等卡点 | IT 与安全 | 关掉它还能不能提交成功 |
| 自校验循环 | 停止条件自足的任务 | 应用开发团队 | 停止条件写在哪，谁核准的 |
| 评测集 | 黄金样本集与判分规则 | 质量与合规 | 上次更新是何时，谁核定答案 |
可信金科为金融机构做垂类系统与垂类智能体的定制开发，落地时先与业务、IT、合规一起定下四层的责任人和判定标准，再谈自动化范围；评测集由机构自己的真实案例构成，交付后留在机构手里。
自动化的边界不由模型能力划定，由验证能力划定。能自动化多少，取决于能验证多少。
下一篇讲资产：模型能力持续变化时，研发投入里哪些该当资产、哪些该当耗材（第三篇 ）。
