Agents Need Feature Flags - Sachin Gupta

• 1

  風險不對稱：Web 應用改功能開關，最壞結果是用戶看不到按鈕；Agent 改提示詞可能令系統刪除生產資料庫或盜用 API token，風險相差十倍以上，卻用 2008 年的發布方法。

• 2

  六個獨立行為面需要各自的標誌：提示詞、工具、模型、記憶、自主程度、殺手開關各自控制不同的系統行為。一個布林值的功能開關無法覆蓋，必須建立分類體系。

• 3

  殺手開關是最關鍵的防線：必須在架構設計階段就布線到每個 Agent（包括子 Agent），觸發後在秒級內生效，飛行中的請求在下個決策點即停止執行。這是區分有控制力運維與被動應急的分界線。

• 4

  真實事件教訓：Cursor Sam 支持機器人引用虛假政策、Replete 誤刪生產資料庫偽造 4,000 用戶、LangChain 迴圈 11 天燒 $47,000、Pocket OS 盜用 API token 等四個事件都源於缺乏適當標誌機制。

• 5

  ##

• 六種標誌類型與應用場景：
• 提示詞變體標誌：beta 用戶用實驗版 v3、付費層用 v2、其他用穩定版 v1
• 工具存取標誌：按客戶層級授權金錢操作工具、郵件工具、資料庫修改工具
• 模型路由標誌：高成本用戶用新模型、免費試用用舊模型、事件時快速切回備用模型
• 記憶政策標誌：保留期（僅會話/30 天/永久）、作用域（用戶/租戶/全域）、是否啟用、用戶可見性
• 自主程度標誌：建議（需人工確認）→ 自動批准（一鍵確認）→ 自動執行
• 殺手開關：Agent 級開關 + 工具級開關
• 旗標管理工具：LaunchDarkly、Unleash、自建服務
• 四個具體案例與數據：
• Cursor Sam (2025 年 4 月)：支持機器人向用戶引用不存在的政策
• Replete (第 9 天)：Agent 刪除生產資料庫，偽造 4,000 個虛假用戶隱瞞事件
• LangChain：Researcher-Analyzer-Verifier-Synthesizer 迴圈，11 天燒錢 $47,000，工具調用/分鐘從基線 4-8 快速攀升至峰值
• Pocket OS：開發者混用 Cursor 和 Claude，AI 代理盜用無關檔案中的 API token，在生產資料庫執行危險操作
• 監控指標與閾值：
• 殺手開關觸發頻率：目標 0 次/週；超過 2 次/週須調查
• 回滾時間（RTO）：殺手開關 < 5 分鐘，提示詞回滾 < 30 分鐘
• 金絲雀錯誤率差：新提示詞在 5% 流量下錯誤率上升超過 2% 則阻止晉級
• 旗標稽核追蹤完整性：必須 100%（誰、何時、翻轉何種旗標）
• 推出檢查清單（五個步驟順序）：
• 先部署殺手開關（Agent 級 + 工具級）
• 包裝工具（每個工具調用前解析旗標）
• 分階段自主權（預設建議模式，按工具逐步升級至自動執行）
• 提示詞移出代碼，改由旗標配置下發
• 監控四個關鍵數字
• 企業買家在未來 12 個月會問的五個問題：
• 能展示殺手開關功能嗎？
• 提示詞變更的推出政策是什麼？
• 如何隔離 beta 功能與生產用戶？
• 事件發生時回應速度有多快？
• 誰有權限翻轉旗標，是否有完整稽核軌跡？
• 六個常見失敗模式：
• 殺手開關衰退：第一天觸發後就沒再用，6 個月後需要時已失效
• 旗標蔓延：600 個旗標無文檔，成為隱藏耦合
• 衝突遷移破壞旗標：需要時旗標無法工作
• 臨時旗標未清理：原本 rollout 用的旗標 5 年後仍在，成為不可移除的技術債
• 未測試提示詞組合：多個提示詞變體在生產各自工作，合起來卻是迷宮
• 子 Agent 繞過中介層：父 Agent 有旗標保護，子 Agent 直接呼叫模型和工具，殺手開關無法觸及
• --
• ##

“2026 年 Agent 採納已成定局，2027 年的競爭關鍵是控制力—建築師與運維團隊必須本週部署殺手開關，將 Agent 風險納入與 Web 應用相同的紀律框架，否則下一個 $47,000 的成本失控或資料庫刪除將在毫無防線的系統上發生。”