Agent 跟传统应用最大的差别是：它替用户做事——每多一种「做事」的能力，就多一类基础设施问题。下面按 agent 完成一次任务的顺序，列出七类场景各自的问题与方案。
让 agent 记住这个用户，而不是每次都从零开始。
跨会话记住用户的偏好和过去的决定；检索用户上传的文档、代码库和历史对话，把真正相关的那部分带进当前任务的上下文。
记忆必须按用户隔离，不能串；要长期存在还要能随时检索；上下文窗口有限，不能把所有历史都塞进去，得有取舍和压缩。自建一套向量库，还要额外承担索引同步和运维成本。
每个用户的 agent 实例自带一份独立数据库存放结构化记忆，配合会话管理做上下文压缩与检索；业务数据放关系型数据库，可以每个租户一个库；文档和代码库的检索交给托管服务：文件存入后自动完成切块与索引，支持关键词与语义两种检索方式。
每个用户的记忆彼此隔离、长期保留，检索链路也不必自己运维。
agent 替用户上网，但在目标网站眼里，它就是一个爬虫。
查实时报价、读新闻做市场调研、登录后台导出数据、填写表单、截图存证。这些页面往往依赖 JavaScript 渲染，还需要维持登录态。
渲染和登录态只是工程问题，真正的墙是身份：金融数据、学术出版、招聘、房产这类高价值站点拦得最严，agent 一上去就被挑战。逐站去谈授权在商业上不成立，靠不断更换 IP 对抗，长期难以为继。
用云端真实浏览器承担渲染与交互，可由代码或 AI 驱动，支持会话录制回放，agent 卡住时人还能接管；登录态独立存储、可复用。出站流量走固定的专用出口 IP，让 agent 拥有可做信誉管理、可审计的稳定身份。在此基础上，用抓取控制能力把取数从对抗变成协商。
稳定到达目标站点，取数过程可解释、可审计。
agent 能做多少事，取决于它能调用多少工具。
调用日历、数据库、内部业务系统、第三方 SaaS，让 agent 不只是「会说」，而是能真的改数据、下单、建工单。
工具需要动态扩展，不能每加一个就发一次版；每个用户要授权自己的那套工具，权限不能串。更关键的是形态选择：本地的工具协议需要用户自行安装，换一台设备就没了，这对云端产品是硬伤。
把工具以远程 MCP Server 的形式托管在边缘：用户无需本地安装，登录即拥有整套工具，跨设备一致。每个会话背后是一个独立实例，彼此隔离；对企业客户还可以在前面套一层身份认证，按人控制能调哪些工具。
零安装、跨设备一致、可按用户管控的工具生态。
agent 要跑的代码，是模型几秒前刚写出来的。
执行数据分析脚本、跑测试、构建并预览一个前端页面、处理用户上传的文件。这些代码没有经过人工审阅。
代码不可信：可能死循环、可能吃满内存、可能试图读取你的 API 密钥。同时用户期待「立刻看到效果」，不能等一个部署流程。自建沙箱要同时解决冷启动、并发上限、逃逸风险和闲置成本，每一项做不好都是线上事故。
用托管沙箱运行不可信代码：自带可持久化的代码解释器、实时预览地址、完整文件系统，以及会话的备份与恢复；轻量代码片段可用运行时加载的方式直接执行。模型与工具的密钥经出站层注入，不会暴露给用户代码。按实际消耗的 CPU 计费，空转成本很低。
说明：容器不提供 GPU。若沙箱内需要 GPU 推理，推理仍留在你现有的集群，这里承接调度与预览。
隔离执行 + 秒级预览，且密钥不暴露给生成的代码。
任务要跑很久、不能丢，用户又想随时看到进度。这两件事很难同时做好。
一个复杂任务可能跑几分钟到几天：中间要重试失败的步骤、等待外部系统回调、等人工确认一个关键决策；同时前端要能实时看到进度，用户随时能介入纠偏或接管。
传统 serverless 有请求超时限制，跑不了这么久。自建任务队列能保证任务不丢，但很难同时把进度实时推给前端；反过来只做长连接，任务一旦中断就全部丢失。
分两层解决。一层负责任务本身：每步只执行一次，失败自动重试，可以长时间休眠等待外部回调，休眠期间不占用并发资源。另一层负责会话：保存状态，通过长连接把进度实时推给前端。两层各司其职，不必二选一。
任务跑多久都不会丢，用户能看着 agent 一步步推进，也能随时介入接管。
用户要的不是一段文本，而是一个能打开、能分享、能长期存在的东西。
用户说「做个落地页」「生成一份可交互的报告」「搭个小工具」，agent 生成代码并把它变成一个可访问的地址，用户点开就能用、能发给别人。
产物要彼此隔离——某个用户生成的死循环不能拖垮整个平台；要长期存活并支持绑定用户自己的域名；用户量上来后，几万张证书的签发续期、每个租户的资源配额和计量都得自己维护。工程量常常超过产品本身。
每个产物是一个独立部署的 Worker，可单独绑定自己的数据库与存储桶，并在入口层按用户设定 CPU 时长与子请求上限；静态资产放对象存储，公网出口不收流量费；用户自带域名的证书由平台批量签发与续期。
隔离、配额、证书不再需要自己实现，由平台提供，产物数量可以随用户数线性增长。
Agent 产品最大的一笔变动成本，完全由用户行为决定。
模型调用费随用户行为剧烈浮动。一个滥用脚本可以在一夜之间烧掉一个月预算，事后还很难定位到具体是哪个用户、哪个模型、贵在哪一步。注册环节的免费额度，则是最容易被批量薅走的口子。
成本在调用发生的那一刻就已产生，事后对账为时已晚；而一刀切地限流，又会误伤正常用户的复杂任务。同时接入多家模型时，各家的账单口径不一致，很难统一归集。
所有模型调用走统一入口，一个端点覆盖多家供应商，自动记录每次调用的成本、延迟与来源；可以按模型、按供应商，甚至按每一个终端用户设定美元预算，超出预算时自动阻断，或降级到更便宜的模型继续执行，而不是直接失败。在注册和高成本接口前加上无感人机验证与限速，挡住批量脚本。
成本可见，可按用户设定上限，超限自动降级而不是直接失败。
