没有人因为一份简历就信任新同事。信任来自结构：责任有边界，工作发生在团队看得见的地方，任何东西发布之前都有审查。拿掉其中任何一条，再聪明的同事也会变成负担。把 AI Agent 当成同事，也是一样。问题从来不是「模型够不够聪明」。问题是「我知不知道它被允许碰什么，我能不能看见它做了什么，有没有什么东西会在没有人说可以的时候发出去」。
HiFox 用配置回答这件事，而不是用承诺。HiFox 里的 Agent 是一份保存下来的工作配置，不是一句用过即弃的提示词。它的指令、运行时、技能、仓库、环境和运行设置，决定它怎么处理工作。终端关上，提示词就没了。配置可以检查、可以分享，而且每一次运行都稳定。
如果想先看平台概览，从「HiFox 是什么」那篇开始再回来。那篇中文还没发布，这里先不放链接。
先说结论
HiFox 里的 Agent，是为一个 AI 执行者保存下来、可以反复使用的工作配置：操作指令、电脑和运行时的绑定、挂上的技能、Git 仓库、环境变量，以及并发、超时、工作目录模式这类运行设置。你信任它的方式，和信任同事一样，靠结构而不是靠信念：范围写在配置里，执行状态和轨迹看得见，结果回到任务上，由人审查并接受。Agent 调研、执行、测试并汇报。人定方向、授权，并接受结果。
Agent 是什么，不是什么
Agent 是配置来在 HiFox 里处理工作的 AI 执行者。它可以接收被指派的任务、写评论、按可用的工作流更新任务状态，并留下执行轨迹。因为配置是保存下来的，团队可以为改代码、审查、测试、文档或运维分拣各自维护 Agent，而不必每条任务都重写同一套指令。
有两条边界要先说清楚。
Agent 不是执行主机。它的工作通过已连接电脑上选定的运行时来跑。Agent 定义工作应该怎么处理。电脑提供主机。运行时执行真正的会话。任务仍然是共享记录。每个角色只做一件事，所以一台电脑可以服务多个 Agent。
Agent 不自己挑模型。它跟随运行时的默认模型。Agent 上没有模型选择器，也没有思考深度控制。要换模型，到运行时或电脑上的工具配置里改，例如在 Claude Code 或 Codex 自己里面改。
信任是系统的属性，不是模型的属性
这篇文章站在这个论点上：一个 Agent 值得信任，是因为它的工作有范围、看得见、可以审查。不是因为模型令人印象深刻。
有范围，是指它跑起来之前，权限已经写下来：能碰哪些仓库，在哪台电脑上执行，指令允许什么，一次可以跑几条任务，一次运行可以持续多久。看得见，是指运行状态、轨迹事件和结果回到任务上，任何人都能检查，而不是消失在私人终端里。可以审查，是指人坐在循环的尽头：Agent 可以把任务留在等待人回复或等待人审查，这些信号会进到负责人的收件箱。
这就是实践里的人与 Agent 约定。自动化停在需要团队判断的地方。如果你还在权衡工作流本身，关于从提示到指派的那篇入门还没发布中文，这里先不放链接。
Agent 的配置面
一个 Agent 可以包含名称、描述、头像和所有者；操作指令；可见性和所在空间；电脑连接和运行时；指派的技能；Agent 自己的 Git 仓库；普通和密钥环境变量；额外的运行时参数；任务工作目录设置；以及并行任务上限和单条任务超时。每一项都是信任的杠杆。
指令会进入每一次运行。用它写应该对每条任务都成立的行为：范围和角色，行动前如何检查任务，什么时候向人提问，期望的检查，以及汇报格式。文档里有一条有用的三分法：只属于这条任务的要求，写在任务描述或评论里；多个 Agent 可以共享的可复用步骤，写成技能；Agent 自己的指令，承载它稳定的身份。「行动前读完任务描述和最近的评论。改动限制在被要求的行为上。跑最接近的相关检查，失败了就报告，不要藏起来。」这句话属于 Agent，因为它星期一该成立，到了三月仍然该成立。描述服务的是另一个读者：它告诉人该派什么，指令告诉 Agent 怎么工作。
可见性可以是个人，只有当前所有者能用；也可以是空间，能访问这个 Agent 所在空间的人都能用。它也决定谁可以指派这个 Agent、和它开始 Agent 对话，或通过评论、提及触发它。调的时候先用个人。配置值得分享时，再改成空间。这一次提升，就是一个开发者的工作方法变成团队基础设施的时刻。
电脑和运行时合在一起，才是执行目标。电脑在线只说明它的本地服务在发心跳，不说明选定的运行时就能执行任务。电脑离线时，新的运行通常会等它重新连上。选定的运行时不在了，就另选一个可用的。电脑那篇中文还没发布，这里先不放链接。
技能把可复用的指令和配套文件打包：审查规则、交付清单、一套团队流程。这台电脑上的本地运行时技能会自动可用。空间里共享的技能必须显式指派。有一句值得重复的提醒：不要绑定很多互相重叠的技能，冲突的指令会让执行更不可预测。技能那篇中文还没发布，这里先不放链接。
仓库是你手上最干净的范围杠杆。当 Agent 需要比空间默认更窄的代码范围时，把仓库绑到 Agent 上。没有绑定的话，HiFox 会退回到这条任务所在空间配置的仓库。一个只绑了文档仓库的文档 Agent，没有路径通向你们的支付服务。
环境和运行设置限制一次运行能消耗什么。普通和密钥环境变量，再加上额外的运行时参数，让运行可以带上配置，而不必有人把凭据贴进任务。不要把仓库令牌、私钥或安装令牌写进任务描述、评论、Agent 指令或技能。任务运行设置控制并行任务、最长运行时间和工作目录模式：
| 临时目录 | 指定目录 | |
|---|---|---|
| 一次运行得到什么 | 每条任务一个隔离目录；带仓库的运行可以准备一份新的 worktree | 从 Agent 的目录池里取一个已配置的本地绝对路径 |
| 并发 | 更安全的并行；默认是电脑上限的 50% | 每个目录一次只跑一个；默认数量和目录数一致 |
| 可用范围 | 任何已连接的电脑 | 仅本地电脑 |
| 适合 | 大多数仓库工作，以及多条任务可能同时改同一套代码的时候 | 非常大的仓库、昂贵的本地缓存，或绑定本地服务的任务 |
如果手动把并发设得比目录数更高，产品会警告写入可能碰撞。隔离机制是另一篇的主题：多个 Agent 并行为什么不会改到同一份文件。那篇中文还没发布，这里先不放链接。
对话和任务：两个表面，一条规则
Agent 对话是一段独立对话，用来提问、调查一个题目，或在任何东西需要变成可跟踪的任务之前，把计划成形。对话有三种模式：探索，只读调查；计划，你审查并确认提案之后，HiFox 才创建计划中的任务和子任务；执行，通过 Agent 配置的命令行直接行动。每次会话属于创建它的人。
当工作需要所有者、状态、执行历史或审查时，它应该变成任务。这一对决定是：工作还不需要被跟踪时，用对话来探索、计划或行动；工作需要处理人、状态、验收标准或一份可长期保留的记录时，用任务。
有一条边界让团队不丢上下文。在 Agent 对话里发消息，不会变成任务评论。任务里 Agent 对话中的消息，也不会作为评论出现在动态里。如果团队需要看见一个结论，把它抄进任务描述或一条评论。信任依赖共享记录，共享记录就是任务。
状态在告诉你什么
这里的可见，是一组你可以读的具体状态，不是仪表盘上的口号。
一次任务运行会经过排队、已派出、等待本地目录、运行中、已完成、失败和已取消。运行状态和任务的工作流状态是分开的：一次运行可以失败，而任务仍然开着，等下一次尝试。执行日志记录为什么排队、何时开始和结束、工具调用和运行时事件、触发来源，以及失败细节。
Agent 是否可用，是第三个、分开的信号。一个在线的 Agent 仍然可能有排队的工作，因为并发或目录容量满了。待办则是停车场：派给 Agent 的任务如果还在待办里，就会等着。把它移到可以开工的状态，运行才会开始。指派 Agent 从来不会突然把工作点着。
你的第一个 Agent：一条你可以信任的走法
建立信任最快的办法，是文档里那个最小的有用循环：接上一台电脑，创建一个 Agent，派一条风险不高的任务。文档见 Agent 文档。
- 连接一台电脑。打开设置，然后是电脑，选择连接电脑。等到它显示已连接，并且至少有一个可用的运行时。
- 用一个窄角色创建 Agent。名称：代码阅读者。描述：阅读仓库，解释当前实现，报告风险，不改文件。可见性：个人。
- 写下把范围钉死的指令：「行动前读完整条任务和相关评论。范围停在请求之内。第一条任务不要改文件。报告你检查了什么、每个结论的证据，以及仍然不确定的地方。」
- 绑上代码。挂一个 Git 仓库，或配置一个已经放着这份代码的指定本地目录。技能可以以后再说。
- 建一条小的、纯文字的任务：审查认证错误路径，找出三个用户能看见的失败情况，每个都引用相关文件，什么都不要改。
- 指派并开始。用一个可以开工的状态，而不是待办。看运行状态从排队到运行中，然后在任务上读结果。
- 认真审查。检查 Agent 看的是你要它看的代码，守住了不改文件的边界，给了证据，并且把不确定记下来，而不是猜。
最后这一步就是全部意义。第一条只读任务，让 Agent 在握有任何权限之前先挣到授权。循环走通之后，再有意地放宽范围。怎么派第一条任务，那篇中文还没发布，这里先不放链接。
如果一个 Agent 不再配得上这份信任，撤销是干净的。归档会把它从指派和提及里拿掉，并取消它正在跑的工作，而它以前的任务、评论和运行历史仍然在。一个你能让它离岗、又不丢掉工作记录的同事，才是你负担得起让它入职的同事。
常见问题
HiFox 里的 Agent 到底是什么？
Agent 是配置来在 HiFox 里处理工作的 AI 执行者：一份保存下来的配置，包含指令、电脑和运行时绑定、技能、仓库、环境变量和运行设置。它可以接收被指派的任务、写评论、更新任务状态，并留下执行轨迹。因为配置是保存下来的，Agent 共享到空间之后，一个人的工作方法就可以被反复使用。
HiFox 的 Agent 用哪个模型？
Agent 跟随所选运行时的默认模型，例如 Claude Code 或 Codex，不展示、也不承诺某个具体模型名。Agent 上没有模型选择器，也没有思考深度控制。要换模型，去改运行时或电脑上的工具配置。
和 Agent 聊天，与给它派任务，有什么区别？
Agent 对话是一段独立对话，用来在工作还不需要被跟踪之前探索、计划或行动。任务是共享的工作单位，有处理人、状态、执行历史和审查。聊天消息不会变成任务评论，所以团队要看见的结论属于任务。
怎么限制 Agent 能做什么？
范围设在配置里：指令定义角色和谨慎规则，仓库绑定限制它能看见的代码，任务运行设置封顶并行任务和运行时长。临时工作目录模式给每条任务自己的目录，再加上隔离。最终接受仍然属于人。
为什么我派出去的任务没有开始？
查三件事。待办里的任务按设计会等着，把它移到可以开工的状态。电脑在线只说明心跳到了，还要确认选定的运行时显示为可用。在线的 Agent 在并发或指定目录满了的时候，仍然会把工作排进队列。
HiFox
