开篇：为什么每天都要盯一遍 Agent 和 LLM 的动向

今天这篇日报式长文，说的还是 Agent 和 LLM 这两块。早上花了两小时把知乎、GitHub、Hugging Face 和几大技术社区的热帖扫了一遍，挑出那些真正值得开发者放下手头事情读一读的内容，按“安全、空间智能、评测、框架、本地部署、学习路线”几条线整理成文。说实话，2026 年这个节点，Agent 已经从“能跑通 demo”进入“能扛住生产流量、能防攻击、能跨端协同”的阶段，每天都有新坑、新解法冒出来，光是“LLM request failed: provider rejected the request schema or tool payload”这类报错，今天就看到好几个帖子在讨论。这篇适合正在做 Agent 落地的开发者、准备入行 LLM 应用层的同学，以及想搭一套自己的高质量信息流、但没时间每天刷帖的人。我尽量把每条内容展开成能直接用的经验，而不是简单贴个链接。

老规矩，先声明一下我筛内容的逻辑：优先选那些有代码、有复现路径、有真实踩坑记录的内容；纯概念讨论、纯转发新闻的往后放。今天这篇日报里，安全方向有 agentpoison，工程方向有并发扛压和 LLM as Judge，工具链方向有 Hermes Agent 和 GGUF 本地部署，还有一条比较完整的 Agent 学习路线，基本覆盖了从入门到进阶再到防御的全链路。

1. 今天最该读的三篇硬核内容

1.1 agentpoison：专门“投毒”Agent记忆和知识库的红队攻击

先把今天最值得警惕的一条放在最前面。agentpoison: red-teaming llm agents via poisoning memory or knowledge base这篇工作讨论的是：很多 Agent 系统依赖长期记忆或 RAG 知识库来做出决策，攻击者如果在记忆库或知识库里植入精心构造的恶意内容，就能诱导 Agent 在特定任务上做出攻击者想要的行为——而且这种攻击很难被上层指令察觉。

大概思路是这样：Agent 在执行任务前通常会先从记忆库或向量数据库中召回一批文本，再把这些文本拼进上下文喂给 LLM。攻击者不需要直接操纵 LLM 的参数，只需要在召回结果里“埋雷”——比如构造一段看似中立、实则包含隐藏指令的文本，让它恰好和用户的问题在语义上高度相关，从而被向量检索召回，最后被模型当成可信上下文执行。作者通过对记忆和知识库两套链路分别做 red-team 验证，展示了几类高隐蔽性的投毒方式，包括改写百科词条、在示例文档里藏指令、利用检索排序漏洞让毒文本排名靠前。

对做 Agent 工程的人来说，这篇论文值得细读的地方不是攻击手法本身，而是它暴露出的一个深层问题：当前 Agent 架构里“检索即信任”的假设过于危险。很多团队把记忆和知识库当作纯“输入”，完全没有校验这一层的数据可信度。实操层面，哪怕你暂时没有精力做完整防御，也至少应该做到三件事：第一，对写入记忆库的内容做来源标记和权限控制，不允许匿名来源直接写入高权限记忆区；第二，在检索后加一道“内容过滤”，把与任务无关的召回片段剔除，避免上下文被污染；第三，定期对记忆库做对抗性审计，主动用攻击样本测试自己的系统会不会被带偏。

1.2 Spatial LLM：让大模型开始理解空间位置

空间智能相关的讨论今天热度不低。所谓 Spatial LLM，简单说就是让 LLM 具备对空间关系的建模能力——比如理解“A 在 B 的左边 3 米处”、“这条路从东北方向绕过去更近”、“这间会议室在二楼走廊尽头”，而不只是把位置描述当成一段普通文本。这个能力对于具身智能、机器人导航、室内 AR 导航、物流路径规划这些场景都是刚需。

从技术路线上看，目前主流做法不是重新发明模型架构，而是通过在训练数据、评测集和推理链路里加入结构化空间标注来引导模型学习。比如用三维坐标替换二维文本描述，把“东南西北”加上精确方位角，把“附近”替换成具体距离区间，然后在任务层联合调用地图 API 或 SLAM 系统。比较典型的应用原型包括：直接问“从这个位置出发，绕过前面那排货架，走到第二排货架末端的路线是什么”，模型能结合空间数据库输出带转向指令的路线——这比单纯的“文本理解+搜索”进了一大步。

这里我不想过度神化 Spatial LLM。它目前还处于“专用场景可用、通用场景不成熟”的阶段：模型对空间关系的推理依赖训练数据里是否包含足量的结构化空间样本，跨场景泛化还有明显短板。但对做 Agent 的团队来说，这是一个值得提前卡位的方向——尤其是做室内导航、仓储调度、AR 助手这类应用的，尽早把空间数据结构化、把评测基准固定下来，后面模型能力进步你就能直接受益。今天看到有人在讨论用空间关系生成中间思维链（Spatial CoT）来提升导航准确率，这个思路我比较认可，因为它绕开了“想一步到位训练空间基座模型”的高门槛，在现有 LLM 上做提示工程和工具增强就能见效。

1.3 LLM as Judge：拿大模型当裁判这件事，坑比想象中多

llm as judge不算新概念，但今天又有一批新帖子和工具在集中讨论开源评测集和压测方法论。LLM as Judge 的核心做法，是用一个强模型（比如 GPT-4 级别或开源顶配模型）来评估另一个模型或一个 Agent 系统的输出质量——包括相关性、正确性、指令遵循度、风格一致性等。它最大的优势是成本低、速度快、不需要大量人工标注，尤其是在 Agent 多轮交互的场景里，传统“参考答案比对”根本没法用，因为同一个任务可能有无数种合法完成路径，LLM 作为裁判反而能判断“过程是否合理、结果是否达成目标”。

但坑也多。我实际用过几轮，最典型的三个问题：裁判偏差（强模型偏好冗长回答、偏好结构清晰但内容空洞的输出）、指令理解偏差（裁判没理解评测维度，打出的分和你的评估目标对不上）、不可复现（闭源模型接口在高峰期判定不一致，latency 和温度设置都会影响打分）。今天看到的几篇文章和我自己的经验基本一致：LLM as Judge 能用，但一定要绑定 Rubric（评测量规），并且要在正式评测前人工校准裁判模型的一批典型样本。另外，强烈建议用投票方式取多次判定结果的平均值，而不是单次判定一锤定音。

对比来看，传统自动评测指标（BLEU、ROUGE、F1）在生成类任务上几乎失效，人工评测成本又高到没法规模化，LLM as Judge 是当下最务实的折中方案。做 Agent 迭代的时候，与其靠几条用例“感觉还行”，不如建一个固定评测集、固定裁判模型、固定评分 Rubric 的自动化评测 pipeline——这条链路搭起来之后，每次改提示词、换模型、调工具都能看到量化结果，省下的精力远超搭建成本。

2. Agent 系统架构与工程落地的关键问题

2.1 同一个 agent，为什么你在本地跑得顺、线上就“崩”？——并发与状态隔离

“AI Agent 怎么扛并发”这个话题今天好多人在问，触发点大概是不少团队开始从 demo 阶段往生产阶段推，一上并发就直接暴露问题。核心困难其实不在模型推理本身，而在于 Agent 的执行链路是有状态的、多步骤的、长时延的——一次任务里可能包含多轮 LLM 调用、多个工具调用、多次内部状态更新，这跟传统无状态 API 服务完全是两套逻辑。并发一上来，最先崩的往往不是 LLM 接口，而是你的任务状态管理。

我给大家一个常见的架构参考：

实测下来比较稳的做法：把 Agent 的执行单元拆成“规划”和“执行”两个阶段，规划阶段做轻量同步调用，执行阶段全部走异步任务——把多步工具的调用做成有状态的工作流，每一步都写入 Redis 并记录执行日志。这样即使某一步失败，也能从中断点恢复，而不是整个任务重跑。加上超时保护（单步工具调用超过 15 秒就终止并返回兜底回复），线上稳定性会明显上一个台阶。

2.2 框架与编排怎么选：LangGraph、AutoGen、CrewAI、Spring AI Agent

今天热词里agent框架、agent架构、agent框架与编排都排得靠前。实话说，到 2026 年这个节点，“选框架”已经不是一件事了，更准确的说法是“按场景选编排范式”。这里我按实际经验做个总结：

• LangGraph：适合需要精细控制状态流、支持条件跳转和循环的复杂 Agent。优点是节点和边的概念足够灵活，调试直观；缺点是上手比纯链式调用难一档，需要你把任务的 DAG 先在脑内画清楚。
• AutoGen：强在多智能体对话式协作，适合开会式任务分解、多角色讨论，但生产化需要额外补状态管理和可观测性，否则迭代到后期会有点乱。
• CrewAI：上手最快，角色和任务概念非常贴近业务，适合快速验证多 Agent 流水线。但深度定制能力相对受限，生产环境复杂逻辑时容易碰壁。
• Spring AI Agent：Java 生态的选手，今天热词里也出现了。如果你整个后端是 Spring Boot，用它能少引入一套异构技术栈，与 Spring 的 AOP、事务管理、监控体系天然整合。但当前生态成熟度相比 Python 系框架还是差一截，AI 组件里的坑需要自己填。

我的建议是：不要一上来就选最重的框架。先用最简单的“提示词 + function calling + 状态字典”把业务逻辑捋清楚，再按痛点引入编排框架——被状态流折磨就上 LangGraph，被多角色协作折磨就试 AutoGen，Java 团队想省事就直接 Spring AI Agent。框架是为了服务你的业务状态流，而不是反过来。

2.3 语言模型调用的错误处理：不要再被 “provider rejected the request schema or tool payload” 劝退

这个报错今天反复出现：llm request failed: provider rejected the request schema or tool payload。频率高到我觉得值得单独写一段。先说结论：这条报错几乎都是提示词或工具定义出了问题——不是网络挂了，也不是额度用完了，而是你发给模型的 tool schema（工具定义）里出现了 provider 不认的格式或内容。

我排查这个报错的经验顺序，基本是这么走的：

1. 检查工具参数格式。比如把additionalProperties设为 false 但又在 properties 里漏定义字段、把type写错、把 enum 里的值写成了对象类型——这类低级格式错误最容易触发 provider 拒绝。
2. 检查工具数量。部分模型和接口对单次请求携带的工具数量有上限（比如 128 个），超了会直接报错。可以把不常用的工具移到“按需加载”，而不是一股脑全塞进去。
3. 检查工具描述里的特殊字符。有些 provider 对 JSON schema 里的转义字符、Unicode、换行符很敏感，尤其当你用代码生成工具定义时，容易被注入杂散字符。
4. 打印原始 payload。调试时把发给模型的完整请求体打印到日志里，肉眼扫一遍比啥都快。很多时候你会发现工具定义里混进了一个None或者undefined——Python 转 JSON 时这类问题很隐蔽。
5. 降级方案。临时把工具调用关掉（tool_choice: "none"），看是否恢复。如果关掉就好了，说明问题一定出在 schema 或 payload 本身，再针对性去查。

这个错我曾经排查到凌晨三点，最后发现是一个工具的 description 里不小心带了一个没转义的{导致 JSON 解析失败。所以一定记得：工具定义要用代码生成，不要手写，并且每次改动后跑一下 schema 校验，再上到生产环境。

2.4 多 Agent 与 Agent Skill：为什么“拆任务不如拆技能”

多agent、agent skill教程、agent skill今天也都很热。关于“多 Agent”我有个很鲜明的个人观点：很多团队做多 Agent 协作，本质是在用“拆角色”代替“拆任务”，这是本末倒置。角色拆得再多，如果每个 Agent 的底层能力边界不清晰，最终就是一堆 Agent 来回传递同一段上下文，性能和可维护性双双崩掉。

更好的思路是做Skill（技能）拆解：先梳理业务里有哪些不可再拆的能力单元，把每个能力单元封装成可独立调用的 skill——比如“网页保存成 Markdown”“PDF 内容抽取”“结构化信息校验”“数据库查询优化”，然后让一个主 Agent 按任务目标动态编排这些 skill。这其实就是今天热词里claude agent skills: a first principles deep dive、agent 将网页保存成markdown的 skill在讨论的玩法。

Skill 的底层实现并不复杂，本质上是一个“描述文档 + 可执行代码”的组合。描述文档（比如 SKILL.md）写清楚：这个技能解决什么问题、输入什么、输出什么、怎么调用、有哪些注意事项。可执行代码则是真正干活的函数或脚本。主 Agent 根据用户请求，从技能列表里检索最相关的 skill，加载它的描述和代码，再执行任务。好处是很明显的：技能可以单独测试、单独更新、单独复用，而且天然支持动态加载——不用把所有能力都塞进上下文，只在需要时把它加载进来，省 token 还减少指令冲突。

如果你正在做 Agent 项目，我建议你花一周时间把现有单 Agent 的“角色提示词”改成“技能清单”，这个改动带来的收益往往比引入多 Agent 框架更大。

3. 工具链与生态新动向

3.1 Hermes Agent 与 Obsidian：为什么大家都在折腾“第三方工作台”

hermes agent、hermes agent obsidian、hermes agent 第三方工作台、hermes agent安装今天的搜索热度很高。Hermes Agent 是一个偏向本地优先、可扩展的 Agent 运行框架，它比较特别的点在于把“工作台”的概念做得很重——你可以把它挂到 Obsidian 这类笔记工具里，让 Agent 直接在知识库环境下执行任务：读笔记、整理笔记、建立双向链接、按照你的笔记体系检索信息。对知识管理重度用户来说，这种“Agent 长在笔记里”的体验很自然，毕竟你过去几年的积累都在笔记里，Agent 能读懂它，才能真正帮上忙。

从安装到使用，我走下来的路径分享下：先用官方安装脚本装运行时，再配置一个本地模型接口或远端 API 地址，然后最关键的是把“工作台目录”指到你的 Obsidian Vault 路径并做好读写权限控制。第一次跑通“把网页保存成 markdown 并自动写入指定文件夹”这个 skill 时，你会明显感受到“Agent 开始成为工作流的一部分了”而不是一个聊天玩具。它能做的事包括批量整理周报、把散落的文献笔记按主题聚类、把过去的会议记录自动提炼成行动项——当然，前提是你愿意先把笔记结构梳理规范，否则 Agent 也会被一团乱麻搞晕。

3.2 安卓本地跑 GGUF：把 LLM 装进口袋的现实与妥协

安卓本地运行gguf格式llm软件、支持安卓8这两个热词背后是一大批想在手机上跑本地模型的用户。GGUF 是 llama.cpp 体系的标准量化格式，它的核心价值是让大模型能在大众级硬件上跑起来——包括手机。但这里我必须泼点冷水：安卓本地跑 LLM，体验高度取决于你的手机 SoC 和内存。

以我现在用的旗舰手机为例，跑 7B 量级的 Q4_K_M 量化模型（大约 4.5GB），生成速度在 8-12 token/s 左右，能用但谈不上快；跑 3B 量级模型会流畅很多，日常对话、简单问答、摘要完全够用。如果是老设备，安卓 8 系统 + 6GB 内存这种配置，建议只跑 1.5B-3B 模型，并且要做好发热和耗电的预期管理。内存是关键瓶颈——模型文件加载后还要留出 KV cache 和系统运行空间，8GB 内存跑 7B 模型其实已经很紧了。

实操上建议装一个支持 GGUF 加载的安卓端推理应用（比如基于 llama.cpp 的封装），下载量化模型文件，然后在设置里调整上下文长度（老设备建议 1024）、关闭 GPU 加速（部分 SoC 的 GPU 支持反而引发兼容问题）。本地模型没有联网隐私风险，但能力上限摆在那里，指望它替代云端旗舰模型不现实——更合理的定位是“断网环境的兜底”“隐私敏感场景的本地处理”，和云端模型形成互补。

3.3 Rust 写 Agent 与 ADK：从语言层面提升 Agent 的可靠性

基于rust语言ai agent和adk.dev 的 kotlin 快速上手在 jvm 上跑通一个 agent今天也有人问。Rust 写 Agent 的思路我个人比较看好：Rust 的内存安全和并发模型，天然适合处理 Agent 这种“多工具、多状态、并发执行”的系统；加上编译期检查，很多在 Python 里跑着跑着才暴露的类型错误和状态错误，在 Rust 里写的时候就会被拦下来。代价是开发效率比 Python 低，团队如果 AI 应用迭代节奏极快，Rust 会拖后腿。折中方案是 Rust 做底层引擎，Python/TS 写业务编排——底层跑工具执行、状态管理，上层做快速迭代。

至于 ADK（Agent Development Kit）在 JVM 上用 Kotlin 跑通 Agent，适合已经有 JVM 技术栈沉淀的团队。Kotlin 的协程对 Agent 这种异步密集型任务非常友好，上手路径也比你以为的平滑——定义工具函数、绑定模型、跑一个简单任务，半小时内就能对 Agent 开发建立直观感受。如果你团队对 JVM 生态熟，完全没必要因为“AI 开发=Python”的惯性思维而硬换技术栈。

3.4 从 Web 到 Markdown：一个“小技能”背后的通用设计

agent 将网页保存成markdown的 skill今天被多次提到。这个小技能看起来不起眼，但它背后的设计思路值得展开说说——网页转 Markdown 远比想象中麻烦：要处理正文抽取（去掉导航、广告、评论）、代码块保留、图片相对路径改写、表格结构保留、链接去重等。如果只用正则去抓文本，你会得到一坨带大量标签噪音的垃圾；真正好用的转换器会先做 DOM 解析、正文区块识别，再生成结构化的 Markdown 树。

我建议把这个技能设计成两个层次：一层是“通用网页转 Markdown”的底层工具函数，另一层是“针对特定网站的自定义清洗规则”。底层工具解决 80% 的常规需求，自定义规则解决剩下的 20%——比如知乎专栏、微信公众号、技术文档站各有各的 DOM 结构，预置几套站点规则会让转换质量大幅提升。实现上可以直接调成熟库（比如 turndown、Readability），不要自己从头写 DOM 解析——除非你想研究前端工程，否则那是纯浪费精力。

4. 聊聊本地部署、记忆与安全防御

4.1 模型的本地部署与记忆机制：GGUF、LLM Studio 与记忆管理

llm studio和llm wiki以及gguf这些热词背后是本地部署这条线。LLM Studio 是一个对新手非常友好的本地模型管理工具，内置模型文件下载、量化选择、API 兼容服务启动等功能。我可以直接说结论：在 Windows 或 Mac 上想最快跑通一个开源模型，LLM Studio 仍然是当前最推荐的工具之一，因为它把“下载模型-配置量化-启动服务-对接应用”整条链路做成了图形界面。只要选对量化等级（Q4_K_M 是性能质量均衡选择），普通笔记本也能流畅跑小模型。

关于 Agent 的记忆机制（agent记忆），这是很多人忽略但实际决定体验上限的模块。短期记忆相对好做——把最近几轮对话放进上下文窗口就行，滚动截断或摘要压缩。长期记忆则复杂得多：怎么存、怎么检索、怎么更新、怎么删除，全都是问题。我的经验是分两层：用向量数据库（比如 Chroma 或 Milvus Lite）存语义记忆，用传统 KV 库存事实性记忆（用户偏好、任务状态、时间节点）。检索时先做意图判断——这个查询需要语义搜索还是精确匹配，再走对应的记忆通道。另外，记忆的写入要谨慎：不是每句话都值得记住，建议在 Agent 完成一个完整任务后再总结提炼记忆点，否则记忆库会被中间过程的噪音淹没，召回质量迅速劣化。

4.2 Agent 安全不止防注入，还要防“记忆投毒”

回到开头提到的 agentpoison。2026 年做 Agent 安全，已经不能只盯着经典的提示注入攻击了，记忆投毒正在成为新的攻击面。简单说，攻击者不直接骗 Agent 执行恶意指令，而是通过对记忆库或知识库的“信息投毒”，让 Agent 在未来的决策中持续偏向攻击者预期。这种攻击更隐蔽，因为它不是一次性的欺骗，而是潜伏在系统内部的慢性污染。

防御上我的建议是：给所有写入记忆库的内容加来源标签（用户会话、网页抓取、API 导入、人工录入），不同来源设置不同信任级别；建立记忆审计机制，定期抽检记忆条目，看它们是否与实际任务结果一致，发现离群偏差及时清理（这是针对投毒的有效恢复手段）；RAG 检索后加一道一致性校验——如果召唤出的上下文和当前任务目标明显矛盾，宁可放弃检索结果也不要盲目拼进提示词。安全这块的成本不会产生直接收益，但一旦被攻击，损失远超那点防御成本。

4.3 用聊天记录精调 LLM：从“能用”到“好用”的进阶实操

使用聊天记录模型精调llm是一个偏进阶的热词。精调这件事，我的建议是：不要一上来就全职微调开源底座模型。优先做提示词优化、检索优化、工具编排优化——这三个方向往往能解决 80% 的“不好用”问题。只有当你的任务具备以下特征时，精调才有明显收益：输入输出模式高度重复、语言风格有强领域性（比如医疗问答、法律文书）、需要严格遵循某种输出格式且提示词很难约束住。精调像微调手感——数据准备比训练本身更决定成败。今天正好看到一个关于精调数据清洗和去重的讨论，很认同它强调的“聊天记录里的错误回答必须人工剔除，否则模型会照单全收”。

5. 学习路线与资源盘点

5.1 一份可执行的 Agent 开发学习路线

agent学习路线、agent开发学习路线、agent开发教程这种问题每周都有人问，我在不同平台回答过不下十遍，今天统一整理一个版本。这套路线不要求你有很强的机器学习背景，编程基础够就行，预计 4-6 周能建立完整图景。

• 第一阶段（第 1 周）：理解 LLM 是怎么“说话”的。先搞清楚 token、temperature、top_p、system prompt 这几个概念，再亲手调几次 API，体验“同样的输入换个参数结果翻天覆地”的感觉。这个阶段不碰 Agent 概念，只练对模型行为的直觉。
• 第二阶段（第 2 周）：掌握 function calling / 工具调用。这是 Agent 的灵魂机制。用 Python 写一个支持“查询天气”的 function calling demo，注意体会模型如何把用户请求映射到工具参数——这才是 Agent 决策的起点。
• 第三阶段（第 3 周）：实现一个最小 ReAct Agent。自己手写（不借助框架）一个“思考-行动-观察”循环。你会在这一步深刻理解“Agent 为什么总是跑偏”“上下文为什么这么容易超限”，这些痛苦后面都会变成优化经验。
• 第四阶段（第 4-5 周）：选择一个框架做完整项目。推荐用 LangGraph 做一个带记忆的问答 Agent，把文件检索、网页搜索、数据库查询三种工具接进去，目标是回答“涉及文档+实时信息+结构化数据”的综合问题。
• 第五阶段（第 6 周+）：做评测与安全加固。搭建 LLM as Judge 评测流程，尝试用对抗样本考验你的 Agent，体验从“跑通”到“可控”的全过程。这一步很多人会跳过，但我想说——这恰恰是把 Agent 项目变成产品的分水岭。

这条路线里有个很重要的学习心法：永远先手写核心逻辑，再用框架。直接上框架会让你形成“会用调度器但不懂调度逻辑”的空中楼阁状态，一旦遇到框架解决不了的需求就寸步难行。手写一个 ReAct 的代码量不过一百多行，一天足够，但这个经验值后面值万金。

5.2 为什么“知乎版日报”值得自己搭一套

最后聊一点和“日报”本身相关的体会。我每天花在追踪 Agent 和 LLM 信息上的时间在 1 到 2 小时之间，前期也走过“收藏等于学会”的弯路。后来调整思路：不再追求“每篇都看”，而是按自己的项目方向筛选——比如我这个月在调 Agent 稳定性和工具链路，那就重点盯并发、评测、报错排查、框架更新；空间智能和移动端推理只做趋势级了解，不深入。信息源也收敛成固定清单：几个高质量的英文博客、GitHub trending 里 filter 到 LLM 相关仓库、知乎上几个长期产出干货的答主、arXiv 的 cs.CL 分类。每天把这些过一遍，有价值的展开读，其他直接标记为已读，形成固定的信息节律。

如果你准备自己搭一套类似的“技术精选日报”，我建议从三个维度做过滤：直接相关（做当前项目用得上吗）、趋势相关（未来六个月用得上吗）、认知相关（能否打破某个已有认知）。只有至少命中一个维度，才值得进入精读列表。这样你的“日报”就不会变成“信息收藏夹”，而是真正驱动项目迭代的决策输入。用这种方式持续三个月以上，你再回看最初收藏的那些内容，会发现自己对技术判断的成熟度有了肉眼可见的提升——这比收藏任何一份现成日报都更有价值。