工具、Agent 与上下文状态

函数调用常表现为模型生成结构化动作，例如工具名和 JSON 参数。宿主运行时收到动作后，校验参数、权限和超时，再执行数据库查询。工具结果作为新的上下文进入后续生成，模型提出动作后，需要收到环境返回，才能确认执行结果。

ReAct 等工作研究推理与行动交替；生产系统还需要重试、幂等、事务、停止与预算。这些机制共同决定任务的完成率、失败恢复能力和运行成本。

上下文管理要决定保留原文、结构化事实还是摘要。压缩能省 token，却会丢失细节并引入新错误。要给关键约束、工具结果和证据保留来源；评估时同时记录压缩率、任务成功率和可恢复性。长窗口、RAG 和微调分别改变可见条件、信息获取与参数策略，选型时按这些作用分别设计，也可以组合使用。

分别测动作格式、参数正确性、工具执行成功、目标状态是否达到、失败恢复、成本和延迟。任务是否完成应由环境状态验证，例如查询结果或操作后的状态。多次运行时固定或记录环境快照、随机性、工具版本和预算，比较完整轨迹。

工具调用的字符串匹配不总是充分：等价的调用序列可能都有效，某些看似合理的动作却会产生错误副作用。评估目标状态、证据引用和异常分支，比只看最终回复更贴近真实可靠性。

长任务中，信息会不断更新：用户改了日期，工具给出新结果，某项操作尚未执行。摘要需要保留目标、约束、状态、来源和时间关系。删掉重复输出能减少长度；删掉“只给方案、不要预订”则可能改变后续动作的权限。

从任务轨迹回收训练数据时，要区分真实成功、用户修正和模型自报成功。成功轨迹、失败恢复与困难反例可以进入后续 SFT 或 RL；先做权限、去重、污染隔离和质量检查。用户在一轮中纠正了模型，只有进入明确的数据与训练流程后，才会成为持久参数更新。

检索页、邮件、仓库文件和工具返回都可能包含命令式文字。间接提示注入试图让模型把这类外部内容当成更高权限的指令。需要保留内容的来源与信任等级，运行时根据用户目标和工具权限验证动作。

检测器和防御训练可以提供额外保护，文本分隔符也有助于标记来源，但这些机制需结合权限控制和对抗评估。把工具输出摘要写入记忆时，仍要保留“外部声明”的身份，避免在下一轮变成无来源的任务要求。