"agent 催人比人催 agent 多"：一家不卖 SaaS、自己就是那家机构的财富管理公司，"在能力的边缘约束、不要更早"，以及"放手让 agent 改 prompt，每个小修补都会变成整条 prompt"（Latent Space × Arca，2026-10-31）¶

嘉宾: Aman Singh — Arca 的 AI 平台团队负责人（AI 原生财富管理机构，自述近期融资 6,400 万美元；他的职责是"建底层的 harness 和我们的能力，用 AI 来跑这门生意，而那是我们的最终目标"）
主持: ⚠️ 转录稿未给主持人姓名，只说明场合是 AI Engineer New York 2026 大会现场；本页不写定主持人，相关人物页见 Latent Space 主播
来源: YouTube · 26 分钟
转录稿: sources/latent-space/20261031-KM3VQZKjpiY（⚠️ 自动字幕 en-orig，无说话人标签；转录稿用 >> 标换人，归属为编辑判断）

⚠️ 立场：他在代表 Arca，全部客户成果、规模与"比人做得更好"类陈述为自述、无第三方来源。 ✅ 但本页认为这一期的厂商色彩异常轻，依据是四处：① 他对"要不要用 Anthropic 的 managed agents"给了否定答案并说清了理由；② 对"交易失败时有没有决策模型做恢复"直接答"今天不是我们在探索的用例"；③ 对"自主交易"明确说没有做；④ 他主动给出了自家自动化路线里最难看的一条——"放手让 agent 改 prompt，它会改得很糟"。 ⚠️⚠️ 而本页必须标出一处没有被回答的问题（见末节）：主持人问的是"有没有哪个客户在投资或税务上拿到可度量的改善"，而他给的是一个销售阶段的发现案例，不是一个被度量的结果。

⚠️ 自动字幕的专名问题：⚠️⚠️ 两个模型名无法确证——"Luna"（被当作一个外部 benchmark 表现很好但自家内部不达标的模型）与 "Jev"（被当作一个小/快模型用于合规检查与决策模型）。本页照录转录稿写法并标为不可确证，不作型号采信。 ⚠️ "Sonic tier" 疑为 Sonnet 档位的字幕讹写；客户名 "Richard" 是他举例用的化名；⚠️ "$1,500" 那个收费数字没有计费周期口径。

✅ 本页认为这一期值得长期保存的是七处，其中四处是本库此前完全没有的： ① ⚠️⚠️ 一条本库此前没有的商业形态，而它在本期里做了三件不同的事："我们其实不是一家 SaaS 公司。我们就是那家机构本身。" → 因此可以把工作方式标准化（"这样我们的 agent 就能以工作必须发生的标准方式参与进来"）、可以强制要求用户给反馈（"我们有能力要求他们给我们反馈"）、并以此与"拿着 AI 工具的服务机构"划界。 ② ⚠️⚠️ 一条明确的分工定义："Arca 里 AI 的角色不是取代顾问，而是取代顾问周围的全部工作。" 配上客户完全不直接接触 AI，以及那句概括——"agent 催人比人催 agent 多，而它是一个 7×24 替他们跑着的主动服务。" ③ ⚠️⚠️ 一条可直接搬用的安全设计原则，而它和"在中间加护栏"相反："我们想把它们约束在能力的边缘，而不是更早。" 落地是四层：写数据的每一次工具调用都有快速 LLM 校验、入口侧（邮件/文档/通话）的提示注入检测、出口侧的确定性 PII 检查 + "一组小模型的共识来确保没有数据外泄企图"（连发一个日历邀请都算出口）、而所有安全限制"完全是确定性的，把决策权从 agent 手里拿掉"。 ④ ⚠️⚠️ 一个本库此前没有的沙箱用法："我们的 agent 其实不在沙箱里面。它用沙箱来卸载计算。" 而数据访问的做法是让 agent 写代码查数据 → "把它写的代码翻译成我们预期的一个严格格式，把代码丢掉，在那个格式到达后端之前给它套上护栏"。 ✅ 也就是把代码当成一个会被编译掉的中间表示，而不是真的拿去跑。 ⑤ ⚠️⚠️ 一条长时程的具体架构：任务跨 10 天；有在跑的流程的信号（邮件线程里的新回复）回到同一个 agent，而一个无所属的新信号（"中间打来的一个电话"）会让"一个全新的 agent 醒过来搞清楚这意味着什么"；状态靠按客户维护的记忆系统（现在在服务什么、谁负责什么、已经发生了什么、接下来几天必须发生什么、长期在跟踪什么）；⚠️⚠️ 外加"一个真的很像做梦的过程，去反思世界相对于这个客户的状态"并更新记忆。 ⑥ ⚠️⚠️ 本库第一条"审计日志同时就是 agent 的事件总线"："合规在乎的是可审计性" → 每一个动作都产出变更日志（改了什么、谁改的、从系统哪一部分、什么时候），⚠️⚠️ 而"这不只适用于 agent，也适用于人类操作者"；✅ 于是"同一个追踪 UI 变更的东西，也可以用来告知 agent 那件事发生了"。 ⑦ ⚠️⚠️ 本库认为全期最锋利的一句，而且它是一条自我不利的让步："我注意到，你要是放手让 agent 自己改 prompt，它们会做出相当糟糕的改动。每一个小修补都会变成整条 prompt。它们没法保持在元层面、把那个修补泛化成一条能泛化的 prompt。" ✅ 这是本库第一条关于"让 agent 改自己的 harness"的具体失败模式。

一、⚠️⚠️ "我们不是一家 SaaS 公司，我们就是那家机构本身"¶

（[00:13:08]、[00:15:08]、[00:20:10]）✅ 本页认为这是全期最该被 AI 商业化与价值捕获引用的一条，因为它不是一句定位口号——它在本期里被用来解释三件不同的事。

业务面（自述）：服务谱系是财务建议、财务规划、税务规划、保险与遗产规划；⚠️ 客户类型他给了三类：刚卖掉生意、要处理各路合伙人复杂性的人、想搞清楚提前退休真实方案的大型科技公司高管、以及"想买第一套房的小家庭"。

⚠️⚠️ 而那句形态陈述在本期出现三次，每次承担不同的论证：
① 用来解释为什么能把工作方式标准化（[00:13:08]）："这是我们作为一家——不只是 SaaS 公司——的另一个优势。我们其实不是一家 SaaS 公司。我们就是那家机构本身。所以我们可以把这件工作本身发生的方式标准化，这样我们的 agent 就能以工作必须发生的标准方式参与进来。"
- ✅ 而他前一句把要被操作化的东西说得很准："这一切都是我们为了把这个行业怎么运作的上下文操作化而做的工作。但不只是那个——还有 Arca 想让它怎么运作，以及我们关于这个行业里工作怎么发生的原则是什么。"
② 用来解释为什么能拿到评估数据（[00:20:10]）："那是我们作为这门生意本身、而不是一家 SaaS 公司的另一个优势——我们有能力要求他们给我们反馈。"
③ 用来和"拿着 AI 工具的机构"划界（[00:15:08]）：⚠️⚠️ "做一家有 AI 工具可用的服务机构，和做一家从一开始就被建成 AI 原生的机构，是非常不同的。拿着 AI 工具的那家机构，需要它的用户去 prompt 那些 agent 来产出工作。" → "而在 Arca，agent 催人比人催 agent 多。"
🔗 ⚠️⚠️ 本页标注这与本库既有材料构成一组正面对照，因为两者在同一个问题上选了相反的位置：Eve（10-30）是把软件卖给原告律师事务所，而它的护城河论证落在"数据不可爬"（判例意见不到百分之一、知识从未被写下来）；✅ 而 Arca 选的是不卖软件、自己当那家机构，而它的护城河论证落在"我们可以规定工作怎么发生"。 ⚠️⚠️ 本页不裁决，但指出两者的可检验点不同：Eve 赌的是"把分散的知识聚合起来"，Arca 赌的是"从零建一套标准就不用去聚合"。 ✅ 而本页认为后者的代价是明确的：它必须自己承担一家受监管金融机构的全部经营负担，所以它的扩张速度上限不是销售，而是开展业务本身。
🔗 ⚠️ 另一组对照是对模型厂商下场的反应：他对 Anthropic 进入这个行业的评价是"非常验证我们这个行业"（[00:15:08]），✅ 而他的差异化论证不是能力而是形态（谁 prompt 谁）。本页认为这比通常那种"我们有行业数据"的回答更可检验。

⚠️⚠️ 分工定义：不是取代顾问，是取代顾问周围的全部工作¶

（[00:01:01]–[00:02:03]）

⚠️⚠️ "Arca 里 AI 的角色不是取代顾问。它是取代顾问周围的全部工作。所以我们的客户其实并不直接接触 AI。" "他们体验到的只是这个行业此前不可能做到的一种服务水平，而它是通过一个人类顾问的共情与关照交付的。"

⚠️ 他对"机器在后面干什么"的描述："我们在给每一个客户建后面那套机器，它在不停地想：市场在做什么、它怎么影响这位客户？你生活里还发生了什么？你生活的哪些纹理会影响你的财务？" → "于是我们能主动得多、响应快得多。"
✅ 本页标注这条分工的位置值得记：⚠️⚠️ 本库既有的垂直 agent 材料里，自动化的目标多是"那个专业动作"本身（Lassie 的牙医行政、Eve 的索赔函与接案）；✅ 而这一条把界划在"专家本人"与"专家周围的一切"之间，并且把客户界面完全留给人。本页认为这是一个更保守但更容易合规的切法，而他给的理由也不是能力——见下一节里"连直接和客户沟通都要人在环"的那条。

二、⚠️⚠️ 长时程：10 天的任务怎么被接住¶

（[00:05:04]–[00:09:07]）✅ 本页认为这是全期技术含量最高的一段，也是本库目前最具体的一份长时程 agent 架构描述。

场景（他在大会演讲里用的同一个例子）：客户来邮件说有一笔税单 → 需要分析"这位客户的钱今天配置在哪里，以及把其中一部分变现出 10 万美元的最优方式是什么" → 这件事会跨 10 天。

⚠️⚠️ 而职责的切分很明确："agent 最终对交付那个结果负责，但其中有些部分是它们做的、有些部分是它们不做的。"
"分析部分是完全自动化的"；
⚠️⚠️ "但它们无法自动执行任何资金移动或变现。" ⚠️ 他说明他们和托管方（custodian）有很深的集成、确实有 API 能做到，但"我们对任何会移动资金、变现资产，甚至直接和我们的终端客户沟通的事情，都有严格的人在环护栏"。
✅ 本页标注最后那半句的理由值得单独记，因为它不是安全理由："因为有一个我们期望的服务与质量水平。" ⚠️⚠️ 也就是说"直接和客户说话"被和"动钱"放进了同一个限制档位，而依据是服务标准而不是风险。本页认为这是本库第一条把客户沟通当成受管制动作的材料。
而衔接方式是："它们也会在需要时把对的那个人拉进来执行交易，并且会给出那个人能审阅、能调整的方案。"

⚠️⚠️ 恢复机制：信号路由 + 按客户的记忆系统 + 一个"做梦"过程¶

（[00:07:06]–[00:09:07]）主持人问的是"当一个 agent 几天后才接着做一个任务，你怎么确认那个方案还符合客户的需求"。

⚠️⚠️ 他的回答分成两类信号，而这个区分是本节最可直接搬用的部分：

"有些是比如，你可以想象有一个邮件线程在收到回复、有来回在发生——你可以想象那个线程里任何额外的回复，都会去到同一个那个在读这个邮件线程并做出反应的 agent。" ⚠️⚠️ "但一个全新的信号，比如中间打来的一个电话，那是一个全新的信号，不附着在任何其它正在进行的流程上。所以会有一个全新的 agent 醒过来，去搞清楚这意味着什么。"
⚠️⚠️ 而那个新 agent 怎么快速上手，靠的是按客户维护的记忆系统：

"我们对每一个客户都有这样一份持久化：现在正在发生什么、我们在试着服务什么、谁负责什么、到目前为止发生了什么、我们接下来在跟踪什么、接下来几天里什么必须立刻发生、我们在为长期跟踪什么、哪个人负责哪个动作。这一切都被我们的记忆系统跟踪着，而我们的 agent 会向它贡献内容。"
⚠️⚠️ 而除了 agent 的写入之外还有一个独立的反思过程，本页认为这是这套架构里最值得记的一个部件：

"但另外还有一个真的很像在做梦的过程，它反思世界相对于这位客户的状态，并且能够更新这些记忆系统，以便持久化长时程的任务。"
⚠️ 他后面把它称作"每日的反思"（[00:12:07]："我们的 agent 靠这种长期记忆持久化、加上每天对正在发生什么的反思"）。✅ 本页因此把它记为一个按天跑的、与具体任务无关的状态整理过程。
效果他给的是："那个收到新信号的 agent 会很快搞清楚情况，它会知道：好，我们其实正在执行一笔大额税单。然后它能看到：好，我的信号和那笔税单有关，那让我来为那个世界的状态做贡献。"
✅ 本页标注这整套为什么值得长期保存：⚠️⚠️ 本库此前的长时程材料多半停在"需要更好的记忆与更大的上下文"这个层面（Serval 的"一个一直回溯到我们第一次谈话的单一对话"）；✅ 而这一条给的是一套具体分解：按信号归属决定复用还是新起 agent、把状态外置成按客户的结构化记忆、再加一个与任务解耦的每日反思去维护那份状态。本页认为这三件事可以被分别评估，而"更大的上下文窗口"替代不了其中任何一件。

⚠️⚠️ "agent 催人比人催 agent 多"：谁在什么时候被拉进来¶

（[00:12:07]–[00:13:08]）主持人直接问 agent 怎么决定该拉谁进来、以及要给那个人多少上下文。

⚠️ 他的类比是人类的工作方式："这和我们这个行业里人怎么工作是类似的——有一个我们跟踪 10 天的流程，有多个参与者。第七步那个参与者现在可能还不需要知道这件事，他们是在对的时间被拉进来的。"
⚠️⚠️ 而机制接回上一节：长期记忆持久化 + 每日反思 → "反思此刻世界的状态在哪里" → "在有一个信号意味着那个人必须被拉进来的时候，把对的那个人在那个时候拉进来"。
✅ 本页认为这条和第一节的"我们就是那家机构"是互相支撑的，而这处支撑关系他自己说了出来：把"谁该在第七步被拉进来"写成规则，前提是你有权规定这个流程长什么样——而这正是他给"不是 SaaS 公司"的第一个用处。

三、⚠️⚠️ "在能力的边缘约束，而不是更早"：一套四层的安全架构¶

（[00:09:07]–[00:11:07]、[00:16:09]–[00:18:10]）✅ 本页认为这是全期最该被 LLM 安全长期引用的一段，而且那条原则本身是可直接搬用的。

原则先记（本期出现两次）：

⚠️⚠️ "我们有大量不同的护栏内建在 harness 里，原则是我们想把它们约束在能力的边缘，而不是更早。"（[00:10:07]） ⚠️ "……并且在能力的边缘做约束。"（[00:18:10]）

⚠️⚠️ 而第一条实现是把决策权整个拿走："我们所有的安全限制都完全是确定性的，它们把决策权从 agent 手里拿掉。" ✅ 分档是："某些工具让 agent 自己执行那个工具——如果是像简单记录这类工具，它就会执行。"
四层的具体形态：
① 写入侧的逐次校验（[00:09:07]）："每一次调用一个会写数据的工具，我们都会在那个动作上跑基于 LLM 的校验——这些很快的 LLM 调用，会分析对我们数据库的每一次写入。"
② 入口侧的提示注入检测（[00:10:07]）：⚠️⚠️ 他把威胁面点得很具体："我们也摄入大量外部信息。有邮件进来、文档进来、电话被打进来，而这些都是提示注入的目标。" → "所以我们在边缘跑各种校验，去检测某些风味的提示注入的存在。"
③ 出口侧的双重检查（[00:10:07]）："任何时候有数据离开我们的系统——比如最明显的网页搜索，但也包括如果我们给客户发一个日历邀请，那也是一种外部数据" → "我们既有对我们已知是 PII 的某些信息是否存在的确定性检查，也有一组小模型的共识，来确保没有任何数据外泄被尝试。"
- ✅ 本页标注"连一个日历邀请都算出口"这个口径值得记，因为它说明出口面的定义比通常理解的宽得多。
④ 产出物侧的发布前校验（[00:17:10]–[00:18:10]）：沙箱产出的制品（例如一份可以发给客户的财务规划 PDF）一旦生成就跑一组校验——确定性的那部分查"你是不是刚把一个原始账号放进去了？你不该那么做"；⚠️⚠️ 而小模型那部分查"可能让这份制品不合规的东西，比如你真的不该在那份制品里承诺收益率"。
⚠️⚠️ 而他对"AI 做合规比人做得更好"给了一个很窄、因此更可信的理由：

"而做这件事其实让我们的合规比人来做更好，因为 AI 在找出哪怕最小的一处不合规表述上是不会累的。"
✅ 本页标注这条为什么值得保存：⚠️⚠️ 他主张的优势是穷尽性（tireless），不是判断力——而这是一个可以被检验的、范围明确的主张。本页认为这比"AI 比人更懂合规"那类说法有用得多。
⚠️ 而监管那一侧他给了一句很干净的区分（[00:11:07]）："这个行业在乎结果，但合规在乎可审计性。"

⚠️⚠️ 沙箱：agent 不在里面，而代码是一个会被丢掉的中间表示¶

（[00:16:09]–[00:17:10]）✅ 本页认为这是本期最该被单独引用的一条工程设计。

⚠️⚠️ "沙箱是我们 harness 的一个组件。我们的 agent 其实不在沙箱里面——它用沙箱来卸载计算。" ⚠️⚠️ "我们建了一些系统，让沙箱里的代码访问我们的数据是安全的。所以我们有这么个东西：把它写的代码翻译成我们预期的一个严格格式，把代码丢掉，然后在那个格式到达你的后端之前给它套上护栏。"

目的是保留表达力："所以我们允许 agent 用代码来查询我们的数据，这意味着它们可以聚合、可以处理、可以按它们认为合适的方式去加工，从而产出像一份财务规划那样的东西。"
✅ 本页标注这条模式为什么值得长期保存：⚠️⚠️ 它既不是"给 agent 一组固定工具"（表达力不够），也不是"让 agent 直接跑代码打数据库"（面太大）。它把生成的代码当成一个会被编译掉的中间表示——agent 的自由度停在"写出查询意图"，而真正到达后端的是一个受约束格式。 ✅ 本页认为这正是上面那条"在能力的边缘约束"的最佳实例，而且它可以被任何有敏感数据后端的 agent 系统照搬。
🔗 ⚠️⚠️ 本页标注这与本库既有安全材料的关系，因为它们在同一个方向上但处理不同环节：Anthropic 平台团队的"大脑和手分开"（凭据在独立 vault、agent 只看到占位符、出口代理注入）处理的是凭据；Serval 的 just-in-time 提权 + 确定性审批处理的是权限授予；✅ 而这一条处理的是数据访问的表达形式。本页认为三者拼起来是同一个判断的三个落点：不要试图在模型层让它"别做坏事"，而是在它的输出必须穿过的那个窄口上做确定性检查。
🔗 ✅ 而本页标注这与本库"解法谱系"的位置：本库此前记过三种形态——用模型层做判断（Guardian、"AI 看管 AI"）、用基础设施做硬墙（凭据 vault、出口代理）、用人类审批逐项放行能力（Serval）；⚠️⚠️ 而本期是第四种：把 agent 的输出在到达系统前强制降格成一个受约束的表示。 ✅ 本页同时注意到 Arca 在四种里用了至少三种（确定性硬墙 + 小模型共识 + 人在环），而他把它们按"离边缘的距离"排列，而不是按技术类型。

⚠️⚠️ 审计日志同时就是 agent 的事件总线¶

（[00:11:07]–[00:12:07]）✅ 本页认为这是本期第二条值得长期保存的架构洞察，而本库此前完全没有。

形态："我们每一个 agent 采取的动作都会产出一条变更日志：改了什么、谁改的、从系统的哪一部分、什么时候。"
⚠️⚠️ 而关键的那半句是："而顺便说，这不只适用于 agent，也适用于人类操作者。所以如果你在 UI 里改了一个会影响客户的东西，我们也会记录那个动作。"
⚠️⚠️ 于是同一份设施有两个用途："这既让我们默认就拿到可审计性，也驱动了我们的一部分 agentic 能力——因为同一个追踪 UI 变更的东西，也可以用来告知 agent 那件事发生了。"
✅ 本页标注这为什么重要：⚠️⚠️ 合规要求的审计日志通常被当成成本；这里它被同时当成 agent 的输入通道，于是"人改了什么"自动成为 agent 的一个信号源。本页认为这条可以直接搬用，而它也解释了上一节里"新信号唤醒一个新 agent"是怎么在实现层面成立的——人的动作和外部事件走的是同一条总线。

四、⚠️⚠️ 模型与 harness：内部 benchmark 否掉了外部 benchmark，以及为什么不用 managed agents¶

（[00:02:03]–[00:05:04]、[00:13:08]–[00:15:08]）

⚠️⚠️ 一条来自买方的 benchmark 证词，而失败模式是延迟和成本¶

（[00:03:04]）✅ 本页认为这是本期最该被评估与 Benchmark 引用的一条。

模型使用史（自述）：今天用 Anthropic 与 OpenAI 的前沿模型，"Claude 一直算是我们的主力模型"；⚠️ "但我们这些年换过好几代模型——我们很早以前在 Gemini 上，然后 OpenAI，然后 Anthropic。"
⚠️⚠️ 而决策依据是内部 benchmark，且他给了一个具体的否决案例：

"指导我们所有决策的，是我们内部为我们那套通用 harness 在跑这门生意时必须表现出的各种能力所建的 benchmark。" ⚠️⚠️ "所以比如最近，尽管外部 benchmark 对 Luna 宣称了很棒的结果，它对我们其实并没有像我们预期的那样work。它太慢了，而且花了很多钱。"（⚠️ "Luna" 这个模型名本页无法确证，照录转录稿写法，不作型号采信。）
✅ 本页标注这条的具体形状值得记：⚠️⚠️ 被否决的理由是延迟与成本，不是能力。而外部 benchmark 通常既不测延迟也不测单位成本——所以这不是"外部 benchmark 被刷分了"，而是维度根本不重叠。
🔗 ⚠️⚠️ 本页标注这与 Eve（10-30）那条买方 benchmark 批评是同一周的第二条，而两条指认的缺口不同：Eve 说的是"公开 benchmark 关心的是单任务做对没有，而我们只在乎 agentic 的结果"（任务粒度错配）；✅ 而这一条说的是"它在我们的 harness 上太慢太贵"（非能力维度缺失）。本页认为两条合起来给出一个更完整的指控：买方的选型函数里至少有三个变量（结果达成、延迟、单位成本），而公开 benchmark 主要只覆盖其中一个的一部分。
⚠️ 而原则是模型无关："作为一条原则，我们想要模型无关，不要对某个提供方或某个实验室的某个 harness 形成依赖，给我们自己留着那个可选性。" harness 是自建的、模型无关的（[00:04:04]）。
档位机制（[00:04:04]–[00:05:04]）："我们有基于任务复杂度不同的模型档位。" 像税务规划协助或税务分析这类任务会拿到最重的档（⚠️ 档内还有弹性，"你可以用一个 Opus 档的模型、或一个 Sonnet 档的模型、或一个重的 GPT 模型"）；而"我们的 agent 参与的大量后台活动"按复杂度用更低的档。 ✅ 而顾问完全不知道这件事："他们并不知道这些在发生。我们把这件事从他们那儿完全抽象掉了。"

⚠️⚠️ 为什么不用 Anthropic 的 managed agents：界线划在记忆与运营知识上¶

（[00:13:08]–[00:15:08]）✅ 本页认为这是本期对"应用层拿什么对抗模型层"最清楚的一条表述。

主持人问得很直接：大会上 Anthropic 做了 managed agents 基础设施的 workshop，连编排都在变得更自动化——你们会不会用它？而它显然带来一个危险，就是人不再必然在环里。

⚠️ 他先把态度分开："我们对来自 Anthropic 以及像 OpenAI 这样的实验室的模型非常看多，但对把依赖押在像 managed agents 这样的产品上就没那么看多。"
⚠️⚠️ 而理由被指认得非常具体——不是能力，不是价格，是记忆与运营知识的归属：

"因为 managed agents 的一个关键点，是模型怎么持久化并贡献关于世界上在发生什么的记忆，以及它们为了成功所需要用到的全部运营知识。" ⚠️⚠️ "所以让它们拥有这门生意的那一部分，算是一种风险——因为拥有那个就是拥有你的智能，而那给了你影响这门生意的能力。如果你把智能交给另一个提供方，你就失去了一部分你需要的控制权，而那是你用来建出某种独特、为你这门生意量身定制到足够高程度、以至于它真能影响你生意的东西所需要的。"
🔗 ⚠️⚠️ 本页标注这是本库"应用层防线"材料里的第三种说法，而三者划的线不同：
Town（10-19）：模型中立 + 用户拥有 context（"切走只要一天"）+ 不训练——界线在契约与可迁移性。
Eve（10-30）：数据不可爬——界线在那些知识从来没被写下来过。
本期：⚠️⚠️ 界线在记忆与运营知识这一层的归属权，而这一层恰好是"managed agents"这类产品正在接管的东西。
✅ 本页认为这一条最直接地指认了模型厂商向上吞并的那个具体接口：不是模型，不是工具调用，而是"谁来持久化这门生意的运营知识"。而它给了一条可操作的判据——凡是会把你的运营记忆放进厂商产品的集成，都在交出可被替代性。

五、⚠️⚠️ 把反馈变成 eval，以及"放手让 agent 改 prompt"的失败模式¶

（[00:20:10]–[00:23:11]）✅ 本页认为这一段里那条让步是全期最锋利的东西。

主持人引他的演讲材料：每一次员工的编辑或取消都带着一个"为什么"，并成为一条 eval。

闭环形态（自述）：所有反馈被灌进一个数据存储，"把那条反馈和产出它的那个 agent 的 trace 耦合在一起" → "每一晚我们跑一个流程：收集来自真实世界、来自我们在野 agent 的 trace，在它上面跑一个 meta agent，让它建议对我们 harness 的改动" → 建议的类型他给了三种：有误导性的工具、出错的东西、知识库里缺失的知识。
⚠️ 而人还在环里："今天我们在真正上线一个 prompt 改动之前，仍然有一个人类工程师在环里。"
⚠️⚠️ 而理由是本页认为全期最值得保存的一句，因为它是一条具体的失败模式、而且对自己不利：

"我注意到，你要是放手让 agent 自己去改，它们会做出相当糟糕的 prompt 改动。每一个小修补都会变成整条 prompt。" ⚠️⚠️ "而它们没法保持在元层面、把那个修补泛化成一条能泛化的 prompt。"
✅ 本页标注这条为什么重要：⚠️⚠️ 本库此前关于"用 AI 改进 AI"的材料多在实验室一侧、且多是能力叙述（Sacks 转述的"造下一代模型所涉任务的 26% 已在用 RSI"、元模型、自改进的组织）；✅ 而这是第一条来自应用层、关于"让 agent 修改自己的 harness"的具体失败模式，而且它指认的缺陷是抽象层级——agent 把一个实例修补当成了规则，而不是去归纳。 ⚠️⚠️ 本页认为这条很可能是一个一般现象而不是这家公司的特例，因为它和本库既有的"围绕当期模型缺陷建的脚手架有半衰期"是相反方向的同一问题：那边是人写的脚手架会过时，这边是机器写的修补不会泛化。
✅ 而他把这套反馈采集的位置说得很准："我们有从产品里直接采集的反馈回路，它是一等的产品功能，用来收集 eval 并把它们变成改进。" 🔗 而"有能力要求用户给反馈"这件事又接回第一节的"我们就是那家机构"。

⚠️ 知识库：交给专家维护，而不是交给工程师¶

（[00:22:11]–[00:23:11]）

形态："我们有一个知识库，它被表示成文件。" ⚠️⚠️ 而维护权的归属是关键："我们保持它更新的方式，是我们把它交给了我们的专家去策展和更新。所以它是我们产品里的一等功能——左手边有一个叫 knowledge 的标签页，里面是我们的 agent 正在使用的完整运营上下文。"
✅ 而闭环是靠引用建立的："当它们在做事的时候，它们能够引用知识。于是形成这样一个循环：哦，我们注意到这个知识是错的，而那会在我们的 trace 分析里被暴露给我们。而因为它是产品本身的一部分，人们可以进去直接编辑那个 skill。"
🔗 ✅ 本页标注这与本库"markdown 即员工 / skillify"这条线的关系：⚠️⚠️ 本库既有材料多是开发者在给自己写 skill（Anthropic 的"cookbook 在变没用"、Supabase 的"把 Claude 指向一个参考架构"、Serval 的 Catalyst）；✅ 而这一条的不同在于编辑者是领域专家（财务顾问）而不是工程师，而且"skill"被做成了产品 UI 里的一个标签页。本页认为这是本库目前"把运营知识交给非工程师维护"的最具体样本。

⚠️⚠️ 决策模型：一个很干净的陈旧参数化知识的例子¶

（[00:18:10]–[00:19:10]）

⚠️⚠️ 他描述的问题是过度自信加上知识陈旧，而例子具体到可以直接复现：

"我们注意到，当模型在处理财务数据、在回答需要财务知识的问题时，它们对自己拥有的知识非常自信。" ⚠️⚠️ "一个小例子是，模型会很乐意用 2025 年的税率档位来做出一份分析，然后说：好了，就这样。但那显然是错的。"
对策："这是我们在 harness 里使用决策模型的方式之一——在模型即将给出一个财务建议、或者任何需要财务严谨性的动作时，去检测并推动模型使用我们那个关于世界今天为真的已核实事实的知识库，或者使用它的网页搜索。"
✅ 而他把这件事接回了 harness 的所有权："所以这算是关于 harness、以及拥有 harness 的一点——它让你能做这样的事，帮你的模型在重要的地方准确。"
✅ 本页标注这条为什么有用：⚠️⚠️ 它给了一个最小可检验的例子（税率档位的年份），而机制是"在动作类型上触发，而不是在内容上判断"——也就是用"这是不是一个财务建议"这个相对容易的分类，去触发"必须查已核实事实库"这条硬规则。本页认为这比试图判断答案本身对不对要可靠得多，而这个思路可以迁移到任何有时效性参数化知识的领域。

六、⚠️⚠️ 三处明确的"没有"，以及一处没有被回答的问题¶

✅ 本页认为这一节是本页判定本期厂商色彩轻的主要依据，但也包含本期最该被标出的缺口。

三处否定答案：

⚠️ 不做自主交易（[00:20:10]）："目前我们没有在用 agent 做自主交易。非常明确地是 agent 会提议我们做哪些交易，而是否是对的交易、以及执行交易，完全取决于我们的专家。"
⚠️ 交易失败的恢复没有用决策模型（[00:19:10]）：被问到有没有在"交易执行失败"这类恢复路径上用决策模型，答 "没有，今天没有。那不是我们今天在探索的用例。" ✅ 本页标注这是一个对自己无利的直接否定。
⚠️ 不用 managed agents（见第四节）。

而那处没有被回答的问题，本页必须标出（[00:23:11]–[00:25:11]）：

⚠️⚠️ 主持人问的是："能不能给我们举一个例子——某个客户通过这套 agent 系统在投资或税务上拿到了可度量的改善，以及 agent 架构里的什么帮到了那个客户？"
⚠️⚠️ 而他给的例子不是一个被度量的结果，而是一个销售阶段的发现："这个人当时还不是客户，但他们处在要成为客户的那个点上" → agent 读完全部文件、报表与现有投资，分析其自述目标，也分析"现在这个顾问是谁、收他们多少钱" → "他们发现这个人在收他们一些他们并不知道的费用"，⚠️⚠️ 并且"让他们不只意识到自己被过度收费，还意识到那个人甚至不是 fiduciary（受托人），所以没有义务为他们的利益行事"。
⚠️ 他提到的"他们收我 1,500 美元"没有计费周期口径，本页不记这个数字。
⚠️⚠️ 本页的判断：这个例子展示的是文档审阅的穷尽性（与第三节那条"AI 在找最小的不合规表述上不会累"同构），而不是投资或税务结果的改善。主持人的问题实际上没有被回答，而本页记下这一点——因为"可度量的客户结果"恰恰是这类公司最难给、也最该被追问的东西。
✅ 他另给的一类例子是主动性，本页记为形态描述而非成果："有几个主动性的例子，比如某人有一个截止期要到了，或者他们有错过 RMD 的风险之类。" ⚠️⚠️ 而他对这类事的定性值得记："这件事对人来说在规模上很难跟踪，但它在 Arca 是我们 agent 的默认行为。" ✅ 本页认为这句是"agent 催人比人催 agent 多"的最实际含义：被自动化的不是判断，是不间断的监视。

本页认为值得长期保存的¶

条目	内容
"我们不是一家 SaaS 公司，我们就是那家机构本身"	⚠️⚠️ 这句在本期承担三件不同的事：① 可以把工作方式标准化（"这样我们的 agent 就能以工作必须发生的标准方式参与进来"）、② 可以强制要求用户给反馈（"我们有能力要求他们给我们反馈"）、③ 与"拿着 AI 工具的服务机构"划界；🔗 与 Eve（卖软件给律所、护城河是数据不可爬）构成正面对照——Eve 赌"把分散的知识聚合起来"，Arca 赌"从零建一套标准就不用去聚合"，✅ 而后者的代价是扩张上限不是销售而是开展业务本身
分工定义	⚠️⚠️ "AI 的角色不是取代顾问，而是取代顾问周围的全部工作"；客户完全不直接接触 AI；✅ 本库既有垂直 agent 材料自动化的是"那个专业动作"，这一条把界划在"专家本人"与"专家周围的一切"之间
"agent 催人比人催 agent 多"	⚠️⚠️ "它是一个 7×24 替他们跑着的主动服务"；而最实际的含义是末节那句——"这件事对人来说在规模上很难跟踪，但它在 Arca 是我们 agent 的默认行为"：✅ 被自动化的不是判断，是不间断的监视
一条可直接搬用的安全原则	⚠️⚠️ "我们想把它们约束在能力的边缘，而不是更早"（本期出现两次）；配"所有安全限制都完全是确定性的，它们把决策权从 agent 手里拿掉"
四层护栏的具体形态	① 写数据的每一次工具调用都跑快速 LLM 校验（"分析对我们数据库的每一次写入"）；② 入口侧提示注入检测（"有邮件进来、文档进来、电话被打进来，而这些都是提示注入的目标"）；③ 出口侧确定性 PII 检查 + "一组小模型的共识来确保没有数据外泄企图"（✅ 连发一个日历邀请都算出口）；④ 产出物发布前校验（确定性查原始账号，小模型查"你真的不该承诺收益率"）
沙箱：agent 不在里面，代码是会被丢掉的中间表示	⚠️⚠️ "我们的 agent 其实不在沙箱里面——它用沙箱来卸载计算"；"把它写的代码翻译成我们预期的一个严格格式，把代码丢掉，然后在那个格式到达后端之前给它套上护栏"；✅ 本页判这是"在能力边缘约束"的最佳实例，可被任何有敏感数据后端的 agent 系统照搬；🔗 与 Anthropic 的凭据分离、Serval 的提权审批是同一判断的三个落点
审计日志同时就是 agent 的事件总线	⚠️ "这个行业在乎结果，但合规在乎可审计性"；每个动作产出变更日志（改了什么/谁改的/从哪部分/何时），⚠️⚠️ 而"这不只适用于 agent，也适用于人类操作者"；✅ "同一个追踪 UI 变更的东西，也可以用来告知 agent 那件事发生了"——合规成本被同时当成输入通道
长时程的具体分解	任务跨 10 天；有所属的信号（邮件线程新回复）回到同一 agent，无所属的新信号（"中间打来的一个电话"）让"一个全新的 agent 醒过来搞清楚这意味着什么"；状态外置成按客户的结构化记忆（现在在服务什么/谁负责什么/已发生什么/接下来几天必须发生什么/长期跟踪什么）；⚠️⚠️ 外加"一个真的很像在做梦的过程"（他后文称每日反思），与具体任务解耦地维护那份状态；✅ 本页判这三件事可分别评估，而"更大的上下文窗口"替代不了其中任何一件
人在环的档位，以及一条非安全理由	分析完全自动化；不能自动执行资金移动或变现（尽管托管方 API 具备能力）；⚠️⚠️ 而"直接和终端客户沟通"被放进同一个限制档位，依据是"有一个我们期望的服务与质量水平"——不是风险；✅ 本库第一条把客户沟通当成受管制动作的材料
一条来自买方的 benchmark 证词，失败模式是延迟与成本	⚠️⚠️ "尽管外部 benchmark 对 [某模型] 宣称了很棒的结果，它对我们其实并没有像预期那样 work。它太慢了，而且花了很多钱"（⚠️ 模型名无法确证）；✅ 本页判这不是"外部 benchmark 被刷分"，而是维度根本不重叠；🔗 与 Eve 的任务粒度错配批评合起来：买方选型至少三个变量（结果达成、延迟、单位成本），公开 benchmark 主要只覆盖其中一个的一部分
为什么不用 managed agents：界线在记忆与运营知识的归属	⚠️ "对模型非常看多，但对把依赖押在像 managed agents 这样的产品上就没那么看多"；⚠️⚠️ 理由是"managed agents 的一个关键点是模型怎么持久化并贡献记忆，以及它们所需的全部运营知识……拥有那个就是拥有你的智能。如果你把智能交给另一个提供方，你就失去了一部分控制权"；✅ 本页判这最直接地指认了模型厂商向上吞并的具体接口——不是模型、不是工具调用，而是"谁来持久化这门生意的运营知识"；🔗 是本库"应用层防线"的第三种说法（另两种：Town 的契约与可迁移性、Eve 的数据不可爬）
本页判全期最锋利的一句（且是自我不利的让步）	⚠️⚠️ "你要是放手让 agent 自己去改，它们会做出相当糟糕的 prompt 改动。每一个小修补都会变成整条 prompt。而它们没法保持在元层面、把那个修补泛化成一条能泛化的 prompt"；✅ 本库第一条来自应用层的"让 agent 改自己的 harness"的具体失败模式，而缺陷被指认为抽象层级；⚠️⚠️ 本页判这很可能是一般现象，且它与"人写的脚手架有半衰期"是同一问题的相反方向
反馈 → eval 的闭环形态	每一次员工编辑或取消都带一个"为什么"并成为一条 eval → 反馈与产出它的 agent trace 耦合入库 → 每晚收集在野 trace 并跑一个 meta agent 建议 harness 改动（有误导性的工具／出错的东西／知识库缺失的知识）；⚠️ 上线 prompt 改动前仍有人类工程师在环
知识库交给专家而不是工程师	知识库表示成文件，"我们把它交给了我们的专家去策展和更新"，是产品里的一等功能（左侧 knowledge 标签页，装着 agent 正在用的完整运营上下文）；✅ agent 能引用知识 → 错误知识在 trace 分析里被暴露 → "人们可以进去直接编辑那个 skill"；🔗 本库"markdown 即员工 / skillify"这条线上第一个编辑者是领域专家而非工程师的样本
一个很干净的陈旧参数化知识例子与它的对策	⚠️⚠️ "模型会很乐意用 2025 年的税率档位来做出一份分析，然后说：好了，就这样。但那显然是错的"；对策是在"即将给出财务建议"这个动作类型上触发，强制去查"关于世界今天为真的已核实事实"的知识库或网页搜索；✅ 本页判这个思路比判断答案本身对不对可靠得多，可迁移到任何有时效性参数化知识的领域
"AI 做合规比人更好"被限定成一个窄主张	⚠️⚠️ "因为 AI 在找出哪怕最小的一处不合规表述上是不会累的"；✅ 他主张的优势是穷尽性，不是判断力——而这是一个范围明确、可检验的主张
三处明确的"没有"	不做自主交易（"agent 会提议，是否是对的交易以及执行完全取决于我们的专家"）、交易失败恢复没有用决策模型（"那不是我们今天在探索的用例"）、不用 managed agents；✅ 本页判这三处是本期厂商色彩轻的主要依据
⚠️⚠️ 一处没有被回答的问题	主持人问"有没有哪个客户在投资或税务上拿到可度量的改善"，⚠️⚠️ 而给的是一个销售阶段的发现案例（尚未成为客户的人，agent 读完文件后发现现有顾问收了未披露费用、且"那个人甚至不是 fiduciary"）；⚠️⚠️ 本页判这展示的是文档审阅的穷尽性，不是投资或税务结果的改善——而"可度量的客户结果"恰恰是这类公司最该被追问的东西