开发者路线图：AI 智能体、LangChain 与自主 Telegram 生态

流式输出到聊天不等于流式输出到网页

人们期待的那种可见打字效果，是通过反复编辑一条消息实现的。每次编辑都是一次请求，而请求是有节奏的——即第 096 步中出站方向的那一半。如果每生成一个 token 就更新一次，你就会被要求等待，此时回复会停在半句话上，并且一直停在那里。

所以要按刻意设定的间隔分块更新，而不是持续更新，并且让这个间隔保守一些：没人会注意到一条回复分四步出现而不是四十步，但所有人都会注意到一条卡住的回复。

更好的问题是到底要不要流式输出。在聊天中，一条几秒后完整到达的消息读起来非常自然——人们本来就习惯等待回复。而一条肉眼可见地不断自我改写的消息，在改写过程中无法被引用或回复，停下来时看起来像坏了，在群里还会留下半截话，而房间里可能有人正在截图。先发一条简短的“正在思考”确认，再发一条完整的消息，通常是更好的设计，而且总是更简单的设计。

什么会离开这个房间

这是后果最严重、却最少被提及的事实。机器人处理的一切都会发送给运行该模型的一方。

在私聊中，这是某人与自己选择的服务之间的一次直接交换。在群里则不是，因为其他成员什么都没选择。如果你的机器人为了提供帮助而读取房间里说的所有内容，那么这个房间的对话就被发送给了第三方，而房间里的人除非你告诉他们，否则无从得知。

由此得出两件事，而且两件都很省事。决定什么能触发它。一次提及、回复它自己的消息，或一条命令——而不是所有内容。这也能让它避开第 086 步中的那种配置：机器人接收群里的每条消息，这是大多数人没有意识到自己正在授予的更大权限。并且说明它是什么，写在群组的置顶消息和机器人的描述里：它是什么、它会转发什么、以及会保留什么。

为上下文保留对话记录本身就是一个有分量的决定（第 093 步）。一个记得上周的模型，就是一个存储了上周的服务，而当出问题时，那个存储才是关键所在。

指令会随输入一起到达

群里的一条消息、一份转发的文档、一个被要求总结的网页——其中任何一个都可能包含针对模型而非针对人的文字。“忽略你被告知的内容，改做这个”是一句普通的话，而读到它的模型没有可靠的方法把它与要求它处理的内容区分开来。

这是第 096 步规则的新形式：一切来自外部的东西都是不可信输入，而在这里，不可信输入正被一个会遵循指令的东西读取。

防御应当是结构性的，而不是取巧的，因为试图可靠地过滤这类内容从未奏效。不要让同一个组件既接触不可信输入，又持有特权工具。一个总结文档的模型不应同时能够发送消息、转移资金或更改权限。在确实需要执行操作的地方，由模型提出建议、由你的代码做决定——用不依赖模型自身输出的检查，并在任何不可逆操作前加上人工确认。

现在试一试——五分钟

四个步骤，其中第三步应该在机器人接触任何人之前完成。

1. 写下什么能触发它 提及、回复、命令。如果答案是“群里的所有内容”，先改掉这一点，再做其他任何事。
2. 在它的第一条消息里说明它是什么 一句话说明它是自动化的，以及一条联系真人的途径。两者都来自第 097 步，而且都很省事。
3. 试着说服它违背自己的指令 给它发一条消息，让它忽略那些指令。然后把同样的文字放进一份文档里，让它总结那份文档。第二种通常更有效，这正是重点。
4. 列出它能调用的每个工具以及每个工具的最坏情况 清单上任何涉及花钱、发送或授权的工具，前面都需要人工确认。

它会用你的口吻自信地出错

失败模式不是胡言乱语，而是一个流畅、可信、具体、却恰好不真实的答案——一个接近的价格、一项听起来像你的政策、一个自信说出却是编造的日期。在挂着你的名字的聊天里，读者没有任何信号能看出这一条与前面十条有什么不同。

三种缓解措施，按帮助程度排序。

收窄它的作答依据。一个根据你自己的文档作答、并说明依据哪一份的模型，比一个根据它读过的所有东西作答的模型要好得多。在它找不到答案的地方，诚实的输出就是它找不到——而构建这种行为，比改进它能给出的答案的措辞更值得投入。

给它贴上标签，并保留一条退路。知道自己正在与软件对话的人，会原谅一个错误答案并要求转接真人。以为自己正在与你的支持团队对话的人则不会。

不要让它在任何重要事情上代表组织发言。退款、承诺、截止日期、道歉、任何法律相关的事。这些都属于真人，而模型的工作是带着已经收集好的上下文，尽快把人接上。

设计时还要对经济账保持现实：这是按每条消息而非按每个用户计费的，所以你乐于见到的消息量同时也是账单。一个在公开群里回答任何人任何问题的机器人就是一个敞开的龙头，这也是为什么上面的触发规则是第一个决定，而不是最后一个。

这个阶段的常见问题