AI Agent 系统提示词速查表 - 角色/工具/护栏/反思
给自主 Agent 写系统提示词，难点不是把角色描述写得有想象力，而是让它在没人盯着的那几十步里不出事。这张表按目标与角色、工具声明、护栏与权限、反思与收尾、避坑分组，给的是可落地的骨架：目标必须能被外部判定为完成或未完成，工具清单要显式写出边界与副作用，不可逆操作要设确认门禁。判断依据是事后能不能审计——如果 Agent 跑完了，你没法从日志里还原它调了哪些工具、改了哪些文件，那这套提示词就是不完整的。什么时候翻它：搭内部自动化 Agent、要让 Agent 能改代码库但必须留闸门、给团队定统一的 Agent 行为规范、或者复盘一次失控案例。与普通提示词的区别在于多步执行会累积误差，一次偏航没人纠正就会一路走到终点，所以每轮都要有终止条件与汇报格式。
目标与角色 5
你是{角色}，目标：{目标}。成功标准：{标准}。你的职责边界：可做{X}；不可做{Y}。你服务于{用户/系统}，默认优先{价值}。遇到歧义先澄清再行动，不要假设。用第一性原理拆解问题，再选工具。工具声明 5
可用工具：search/read/write/exec。调用前说明意图。每次只调用一个工具，等结果再决定下一步。调用 exec 前必须给出将要运行的命令并说明目的。工具失败则换方案或上报，不要重复同错。不确定工具输出时先小范围验证。护栏与权限 5
涉及删除/外发/付费的操作必须先请求确认。只读模式：禁止任何写操作与网络外发。不得泄露密钥/PII；输出前脱敏。超出权限范围就停止并说明原因。限制单轮工具调用次数与总预算。反思与收尾 5
每步后自检：是否朝目标前进？有无更优路径？完成后总结做了什么、改了什么、遗留风险。若多轮无进展，停下来换策略而非硬撑。记录关键决策与依据，便于复盘。把可复用的解法写成记忆/文档。避坑 5
目标要可判定，别写"尽力做好"高危操作门禁不能省串行调用比并行更可控失败要换路而非重试同错留痕便于审计与复盘提示
- Agent 系统提示词的关键是"可判定的目标 + 显式工具清单 + 高危操作门禁"——目标模糊或护栏缺失是 Agent 失控的两大根因。
- 串行调用工具比并行更可控，每次调用前说明意图、命令透明，能把副作用降到最低。
- 护栏（只读模式、确认门禁、密钥脱敏、调用/预算上限）是安全红线，任何"自主"都不能省。
- 过程反思 + 收尾报告 + 决策留痕，让 Agent 行为可观测、可审计、可复盘——这是企业落地的前提。
- 把「完成」写成外部可验证的条件（某条命令退出码为 0、某文件存在），不要用「已妥善处理」这类无法判定的表述。
- 工具描述里写清副作用与不可逆性，模型才会据此决定是否请求确认；只给命令不给后果等于让它猜。
- 设置调用次数或 token 上限并要求超限即停，是防止 Agent 陷入循环最省事的一道防线。
常见问题
Agent 系统的提示词和普通对话有什么不同？
普通对话只产出文字，Agent 的提示词必须约束它的行动：可用工具清单、每次调用前说明意图、失败时的处理策略，以及最关键的护栏——涉及删除、外发、付费的操作必须先请求确认。少了这层约束，一个跑偏的 Agent 会连续执行错误动作，而不只是给出一段错误的文字。
怎样防止 Agent 陷入重复失败的死循环？
写明失败处理规则：「工具失败则换方案或上报，不要重复同错」，并加卡死检测：「若多轮无进展，停下来换策略而非硬撑」。同时限制单轮的调用次数与总预算，设一个硬上限让它到点停下并报告。关键是让「停下来」成为一个被明确允许的动作，否则 Agent 往往倾向于继续尝试而不是承认卡住。
怎么给 Agent 设定可判定的成功标准？
不要写「尽力做好」这类无法验收的表述，改成能被检查的条件：「所有测试通过且无新增 lint 错误」「生成的 JSON 能被 schema 校验通过」「指定文件被修改且其余文件未变」。可判定的标准让 Agent 能在多轮中自我确认是否达成，也让你能客观判断这次运行算不算成功。
为什么高危操作必须设确认门禁？
因为 Agent 的错误是累积的——一次误判可能连着触发多次操作，等到结果显现往往已经无法回滚。删除文件、外发数据、产生费用这三类动作要单独设门禁，明确要求「涉及删除/外发/付费的操作必须先请求确认」。成本只是多问一次，而不做门禁的代价可能是不可逆的。
怎么限制 Agent 的资源消耗？
在提示里写明上限，例如「限制单轮工具调用次数与总预算」。配合只读模式禁止写操作与网络外发，形成 plan/readonly 护栏。超出权限范围时要求它停止并说明原因，而不是硬来。这既是成本控制，也是防止它在一个方向上无限重试的安全网。
由 巧匠 维护
公开更新于 2026年8月23日，内容持续校对官方文档。