工作流型 AI 智能体是什么？和普通聊天机器人有什么区别？

结论：普通聊天机器人适合“回答问题”，工作流型 AI 智能体适合“按步骤办事”。业务步骤、接口和异常分支能够预先定义时，优先选择工作流；只有任务路径确实无法预先确定，并且允许更高成本和风险时，才使用自主 Agent。

两者都可以使用大模型，但控制权不同。聊天机器人把用户问题和上下文交给模型，主要产物是文字；工作流把模型放进一条受控业务链，由程序决定何时检索、校验、调用接口、等待审批和结束。自主 Agent 则进一步让模型根据中间结果自行选择下一步。

在确定模型、数据与上线边界时，还可以对照 我要做一个 AI Agent 应用，你们会帮我训练一个我的模型吗？ 和 AI 客服系统和企业知识库系统有什么区别？；这些内容补充了需要放在同一项决策中考虑的上下文。

三类产品直接对比

类型	路径由谁决定	能否操作业务系统	可测试与可追溯性	适合场景
普通聊天机器人	对话基本由模型生成	通常只读知识或不接工具	主要评估回答质量	FAQ、内容辅助、低风险咨询
工作流型智能体	程序和配置预先定义节点与分支	可以，但每个动作有固定权限与条件	每个节点可单测、重试和审计	工单、订单、审批、标准排障
自主 Agent	模型根据目标和环境动态规划	可以组合多个工具	路径不固定，评测与治理最难	开放研究、复杂长任务、长尾处理

以电商售前为例，聊天机器人可以解释商品差异，但价格、库存和到货时间若来自模型记忆就不可信。工作流会先识别意图，再查商品主数据和实时库存；推荐结果通过合规与可售校验后才组织话术。用户确认购买时，系统调用加购或订单接口；接口失败、商品无货或问题超出范围时，进入明确的转人工分支。模型负责理解和表达，事实与动作由受控工具提供。

工作流怎样做到“能办事”

每个节点要写清输入、输出、超时、重试、幂等和失败去向。读操作与写操作分权，查询订单可以自动执行，退款、改价、发信等有外部影响的操作应要求身份校验、额度限制或人工确认。工具返回的数据还要经过程序校验，不能把网页或文档中的恶意指令直接当成下一步命令。

工作流不是把一大段提示词画成流程图。真正的边界必须由代码、权限系统和接口约束落实。节点版本、模型版本、调用参数和结果都应留下日志，才能在出现错单时定位是意图识别、库存接口、模型表达还是人工审批出了问题。

什么时候值得用自主 Agent

当任务需要多轮搜索、无法提前列出固定顺序，且每次观察结果都会改变计划时，自主规划才有价值。例如跨多个资料库完成调研，或诊断原因未知的软件故障。即便如此，也应限定可用工具、最大步骤、时间和预算，并为高风险动作设置确认点。对于固定审批和订单处理，自主 Agent 增加的灵活性通常不值得额外的不确定性。

验收时，聊天机器人看事实正确率、引用准确率和拒答率；工作流还要统计各节点成功率、工具调用成功率、重复执行次数、P95 完成时间、人工接管率与业务完成率；自主 Agent还要记录平均步骤数、任务中止率、越权尝试和单个成功任务成本。只演示一次成功路径不能证明可以生产使用。

滚水科技在企业 AI 项目中会先判断任务究竟是“回答”还是“执行”，再决定使用检索问答、确定性流程或局部 Agent。需要与 ERP、CRM、IoT、订单系统对接时，会把权限、异常队列、人工确认和审计作为正式交付内容，而不是只交一个聊天窗口。

参考依据

• Anthropic: Building effective agents：明确区分预定义代码路径的 workflow 与由模型动态控制过程的 agent，并讨论二者的成本与适用性。
• OpenAI: A practical guide to building agents：用于核对 Agent 的模型、工具、指令和编排等基本组成。
• OWASP Top 10 for Agentic Applications 2026：用于检查工具滥用、身份权限、目标劫持和自主执行风险。

以上资料说明架构与风险，不证明任何特定平台天然安全；是否采用 Agent，应由真实任务评测和权限审查决定。