最长运行两小时的网络调查 Agent，怎样避免在恶意页面里跑偏
工程上的答案：长时间调查 Agent 不能只靠更大的上下文窗口。先定义证据、图谱、时间线和停止条件，再把状态写入可恢复文件系统；固定动作由 harness 强制，未知页面和工具故障才留给模型判断。质量 eval 与安全 eval 还要分开通过。
先定义调查产物，再决定 Agent 能用哪些工具
Claude 官方在 2026 年 7 月 22 日发布 Outtake 的 Recon Agent 案例。Outtake 用 Claude Code 和 Claude Agent SDK 构建长时间运行的网络调查 Agent，从仿冒登录页出发，收集和分类证据，继续追踪关联域名、账号与基础设施，形成攻击网络图，最后输出调查过程、威胁主体画像和时间线。
官方披露，Outtake 的 Agent 会话中位数为 16 分钟，常常持续一小时以上，最长一次运行了两小时。长会话的问题不只在上下文长度，而在每一步新线索都会改变后续方向。若“调查完成”没有固定定义，Agent 可能不断探索，也可能过早停在一个仿冒页面上。
Outtake 的第一步不是写 Agent，而是工程师亲自完成真实调查，并从客户和设计伙伴那里整理领域经验，定义什么证据有价值、怎样组织、可行动结论与猜测有何区别。这套标准成为后续原型、评测和生产迭代的固定参照。
工程实现时，可以先定义交付 schema：初始事件、证据节点、关联边、来源与抓取时间、可信级别、未验证假设、时间线和建议动作。Agent 每发现一个新对象，就写入文件系统中的结构化记录；压缩上下文或重启会话后，调查状态仍可恢复。
图谱去重不能只依赖名称。域名、证书、IP、账号和页面模板的关系需要分别保存，关联边带上证据类型和可信状态。相同字符串可能属于不同主体，同一攻击者也可能频繁更换基础设施；grader 应检查是否存在无证据合并，而不是奖励节点越多越好。
停止条件可以写成状态机：主要线索已覆盖且新增证据价值下降时生成报告；需要主动提交表单、接触敏感数据、风险评分超过阈值或预算耗尽时暂停；证据冲突则进入人工复核。这样“继续调查”是可解释决定，而不是 Agent 只要还能找到链接就一直运行。
检查点可以采用追加写而不是反复覆盖。每一阶段保存任务版本、当前目标、已确认节点、新增关联、待验证假设、工具错误和下一步；恢复时先校验快照哈希，再从最后一个完整阶段继续。这样既能回放错误路径，也能避免损坏文件让 Agent 带着不完整状态重新运行。
证据节点与模型判断要分开存储。网页内容、请求时间和页面哈希属于原始证据，实体归属与攻击者画像属于分析。后续模型升级时，可以重算分析而不改变原始记录，也能看出结果差异来自证据变化还是判断变化。
orchestration 写死步骤，判断空间留给 Agent
Outtake 先在 Claude Code 中验证假设，再转向 Agent SDK，以便更细控制 memory、context 和 filesystem。团队形成的原则是：在编排层强制每次调查都执行的动作，例如保存证据、更新图谱、检查停止条件；遇到新页面、失效工具或未知基础设施时，允许 Agent 自己写代码和选择路径。
官方文章提到，文件系统加 bash 让 Agent 在工具遇到网络故障时寻找替代办法继续工作。开放能力也带来风险。允许读写文件和执行代码，不代表可以接触内部密钥、任意网络或生产系统。工具适配器应限定目录、网络出口、进程资源和运行时间，每次访问恶意页面前经过风险检查点。
模型选择可以在 147AI 中用脱敏调查图、静态页面快照和固定线索集进行对照，记录证据遗漏、错误关联、修订轮次、用量和人工评分。真实恶意域名、客户暴露面、Claude Agent SDK 会话和处置权限仍留在隔离调查系统。
稳定规则不要只写在 system prompt。Outtake 的经验是长时间 Agent 可能忽略提示中的某些词，必须每次执行的要求应进入 harness：证据落盘、来源标记、禁止提交真实凭据、达到风险阈值后暂停，以及向外部页面发送数据前的检查。Prompt 留给需要判断的空间，硬边界由系统执行。
错误类型同样进入 harness。临时网络失败允许有限重试和替代工具，策略拒绝、未批准目标和敏感信息请求只能生成待处理事项。若所有失败都返回同一错误，Agent 可能把安全边界误认为普通技术障碍并继续寻找绕过路径。
每次运行绑定模型、harness、工具、策略和页面快照版本。实时网页持续变化，事故后只重新访问目标无法证明旧问题；保留原输入和状态，才能复现提示注入、错误关联或工具行为。
出站请求应经过独立代理。代理不仅判断域名能否访问，还检查请求方法、payload 和当前任务身份。普通公开页面可以只读获取；表单提交、文件上传、携带客户标识或访问新目标时，默认暂停并等待批准。Agent 看到的是策略结果，没有权限修改白名单。
命令执行也需要产物清单。脚本读取了哪些文件、创建了哪些临时工具、产生哪些网络请求，都与当前检查点绑定。任务结束后，临时程序不会自动进入共享工具层；要复用必须补齐测试、负责人和权限审查。
评测要缩短开发循环，也要验证隔离边界
早期每次运行后，工程师人工阅读约 30 分钟的完整轨迹，成本很高。Outtake 将这些人工 reflection 逐步写成自动 eval，让 grader Agent 根据固定标准检查调查是否完整、证据是否支持结论、图谱是否错误合并、停止点是否合理。模型升级和 memory 重构时，多场景并行回归能更快暴露变化。
评测还驱动工具改进。Recon Agent 会报告自己缺少什么工具，另一个 coding Agent 读取建议、编写工具并建立测试场景，最后由人判断新工具是否让调查更好。这个链条必须限制自动发布：工具先在固定样本和沙箱中运行，检查权限、输入输出和失败路径，再决定是否进入调查 harness。
安全边界采用“可能被劫持”的假设。Outtake 构建 blastbox，将 Agent 与敏感内部信息隔离，并在它接触互联网的具体节点评估页面是否仿冒、包含恶意代码或试图提示注入。企业参考这套思路时，可以再用网络白名单、短期身份、文件系统快照和工具日志限制并回放影响。
新工具也不能从 Agent 建议直接进入生产。独立 coding 流程生成实现和测试，先在历史页面与失败样本中运行，检查权限、网络和状态写入，再由人批准进入只读工具层。当前会话的临时脚本任务结束后自动归档。
生产指标分成质量与控制两组。质量看证据覆盖、错误关联、报告采纳和人工修订；控制看越界请求、风险拒绝、状态恢复和资源消耗。两组都通过，才能扩大运行时间或网络范围。
回归集至少包含顺利调查、工具超时、页面格式变化、无价值线索、错误关联和提示注入。grader 检查最终报告时，还要读取命令、网络和文件轨迹，确认固定步骤确实执行。只评最终文本，可能让中途越界但最后写出正确报告的版本获得高分。
上线可以分三段：先使用静态页面与脱敏图谱，验证 schema 和恢复；再开放经过代理的受限互联网，只读访问少量目标；最后才增加运行时长和临时脚本能力。每段都设置回退条件，出现证据丢失、无法解释的关联或越界请求就退回前一层。
最小验收清单：中断后能从检查点恢复；每个结论能回到来源；错误关联可被固定样本发现；策略拒绝不会被当成工具故障重试；人接管时不必重读完整轨迹；新模型在质量和控制两套回归中都通过。
最终验收不能只看是否找到更多域名。还要看每个结论能否回到证据，错误关联能否被发现，长会话中固定步骤是否执行，恶意输入能否突破隔离，以及人工是否能在高风险节点接管。长时间 Agent 的可靠性来自领域标准、可恢复状态、自动评测和硬边界共同作用。
官方来源：Claude：How Outtake built a cyber investigator on Claude，发布于 2026-07-22。