--- layout: post.njk source: https://yage.ai/share/kimi-zhipu-claude-managed-agents-protocol-20261108.html web_feed: articleId: cmw9wgfrw0004yhedl6f8v20e feedSourceId: webfeed_yage_ai guid: https://yage.ai/share/kimi-zhipu-claude-managed-agents-protocol-20261108.html sourceUrl: https://yage.ai/share/kimi-zhipu-claude-managed-agents-protocol-20261108.html speaker: yage.ai title: |- Kimi 与智谱同时复刻 Claude，托管智能体的接口战争提前结束了？ date: '2026-11-08' summary: 文章讨论了在构建云端托管智能体时，头部国产大模型厂商（Kimi 和智谱）如何复刻 Anthropic 的四元控制面接口，并对比了与 OpenAI 的接口差异。核心内容包括两种接口流派的对比，以及如何通过云沙箱、密钥隔离和内网工具回调等三层安全方案来解决企业数据不愿上云的问题。文章还分析了在多智能体和长程任务中的成本计算，指出通过云端托管底座可以有效提升 Prompt Cache 命中率，从而降低长程任务的成本。 area: tech-engineering category: architecture tags: - managed-agents - ai-tooling - cloud-hosting - security-isolation - prompt-caching people: [] companies_orgs: - Kimi - 智谱 - OpenAI - Anthropic products_models: - Kimi - 智谱 - Claude media_books: [] draft: true status: evergreen --- 在过去的 3 年里，开发者写大模型应用程序的第一行代码，往往是向 /v1/chat/completions 发送 HTTP 请求。OpenAI 通过这 1 个无状态的接口，统一了整个行业。然而到了 2026 年，工程需求发生了变化。开发者需要让模型在云端连续运行 40 分钟，完成对 10 几个电子表格的读写操作，并在途中挂起等待企业内部数据库返回结果。早期的无状态问答接口已经无法承载这种长程任务。 2026 年 11 月 5 日，月之暗面发布 Kimi Hosted Agents 官方文档，从 9 月 3 日开始提供公测接口。这种在云端由模型厂商为你托管运行循环、工具调用和容器沙箱的服务，叫托管智能体。开发者只需定义角色并收发事件，不用自己维护服务器和报错重试。翻看它的接口手册，再把智谱此前上线的 智谱 Z Managed Agents 官方文档 摆在一起，就能看到 1 个有意思的共同选择：2 家头部国产大模型厂商在构建云端托管智能体时，双双放弃跟随 OpenAI 的 /v1/responses，转而把 Anthropic 在 2026 年 4 月 8 日发布的 Claude Managed Agents 官方文档 从路由结构、资源前缀到事件状态机做了 1 次逐行复刻。 ## 为什么重型托管没有跟进 OpenAI，转而复刻了 Claude？ 在聊云端接口前，先得把本地协议和公有云协议分清。OpenAI 的 Codex App Server 是基于本地标准输入输出或本地长连接的，用来管本地编辑器插件和命令行进程。我们这里先不讨论这些仅限单机进程间通信的协议，主要看那些真正面向公网、为多租户提供托管服务的互联网接口。它们其实分 2 大流派。 互联网公开托管智能体两大接口流派对比 第 1 个流派是 OpenAI 主导的单端点续写，每次请求都调用同一个地址，靠传入上一轮的回复标识符 previous_response_id 把多轮对话串起来。OpenAI 在 2025 年 3 月 11 日推出 OpenAI Responses 接口文档，并在 2026 年 8 月 26 日关停了旧版 Assistants API。Groq 与 MiniMax Responses 接口文档 也跟进了这一实现。这套设计把智能体当作 1 次带服务端状态的推理请求，服务端顺手代跑网页搜索或代码解释器。它适合几轮之内的轻量问答，但跑起 30 分钟以上的复杂企业任务就会处处受限：开发者没法提前给容器装好团队需要的软件包并限制出网域名，没法在不把密钥明文暴露给模型的前提下调用外部接口，多个会话同时修改同一份文件容易互相覆盖，云端智能体也没法直接回头调用公司内网里的工具。 第 2 个流派是 Anthropic 提出的四元控制面。它把托管智能体拆成 4 个互不耦合的接口资源：定义角色与工具的 Agent、定义容器环境的 Environment、代表单次运行实例的 Session，以及记录每一步动作的双向事件流 Events。智谱与月之暗面在这一层与 Anthropic 保持高度一致。3 家厂商的 4 个核心路由 /v1/agents、/v1/environments、/v1/sessions、/v1/sessions/{id}/events 完全同名，容器内技能都只读挂载在 /mnt/agents/skills/ 目录下，事件流也都靠运行态与闲置态的切换来驱动本地回调。在云沙箱计费上，月之暗面把活跃容器压到了 0.072 元/小时（闲置与自托管免费，新户赠 100 元体验金），大约是 Anthropic 0.08 美元/小时（约 0.58 元/小时）的 1/8。 包裹模型的循环控制程序通常叫 Harness，负责喂提示词、解析工具调用、管理沙箱文件和报错重试。我们在 2026 年 4 月 8 日发过 Claude Managed Agents 架构分析，并在 4 月 18 日的 Harness 的标准形态一文 里预测，各家尽管都会认同这 4 个概念，但很难在状态机和事件粒度上做到接口级兼容。仅仅 7 个月后，产业现实就修正了这一判断。因为国内大厂此前已经全面兼容 /v1/messages 接口来服务 Claude Code 用户，这股生态惯性加上 OpenAI 重型协议在公有云上的缺位，直接把上层的 Claude Managed Agents 推成了国产托管服务的事实标准。 ## 企业数据不愿上云，托管沙箱怎么接内网？ 在理解接口之后，架构师们会面临下一个落地问题。根据 Kimi 环境配置文档 的说明，每个云端会话默认提供 1 个 Debian 12 容器，配备 4 核处理器、8 GiB 内存和 16 GiB 磁盘，预装了 Python 3.12、Node 24、Go、Rust、无头浏览器和办公套件。那么如果框架和容器都在云端运行，如何解决企业内网数据库和第三方商业密钥的安全问题呢？ 月之暗面针对这套协议提供了 3 层安全与混合执行方案。第 1 层是在云沙箱的出网代理层替换密钥，防止模型偷看明文。企业存放第三方密钥的加密资源叫做凭据保险箱，对应接口中的 Vault。根据 Kimi 凭据保险箱文档，在 /v1/vaults 环境变量模式里，容器内的 $CRM_TOKEN 只是 1 个假占位符，模型即便在沙箱里执行打印环境变量命令也看不到真密钥。只有在请求发往 allowed_hosts 白名单域名且经过沙箱出网代理时，代理层才会把真密钥填进去。 第 2 层是本地工具回调，让敏感工具留在内网。Kimi 工具机制文档 提到，查询核心账本的工具可以声明为 custom 工具留在企业本地。云端模型跑到这一步会发出 agent.custom_tool_use 事件并把会话挂起为 idle（停止原因为 requires_action）。等本地客户端在内网跑完，再把结果通过 user.custom_tool_result 推回云端继续循环。Kimi 计费参考文档 提到会话挂起期间不收沙箱费。 第 3 层是自托管长轮询，让容器整体进内网。对合规要求最高的企业，月之暗面复刻了 Anthropic 的 ant beta:worker poll 机制，提供 kha worker poll 命令。企业在内网宿主机启动工作进程，主动向云端发起出站长轮询拉取指令，防火墙不需要开放任何入站端口。 在同底座上，2 家国产厂商走出了不同的演进方向。月之暗面在 Kimi 插件市场文档 中接入了 30 多个垂直数据插件，成功调用从 0.02 元到 0.70 元分 4 档计费，覆盖网页搜索、小红书与抖音社媒、巨潮资讯公告及专利工商数据。它还加上了按需加载模式，首轮只注入简短目录，配合 select_tools 动态按需加载工具定义，防止几十个插件撑爆上下文；同时通过 Kimi 记忆整理文档 提供 /v1/memory-stores/{id}/dream-policy，把 Claude Code 的后台记忆整理做成带 SHA256 乐观锁的云端接口，默认累计满 5 个变更会话就自动合并碎片记忆。智谱则在 glm-5.3 系列模型之上扩出了 /v1/deployments 和 /v1/channel/*，支持直接扫码绑定个人微信或接入飞书、企微。 ## 有了这套云端底座，真实业务里的多智能体与长程成本怎么算？ 在理解了月之暗面如何用四元接口实现云端沙箱、密钥隔离和内网工具后，我们自然会问：开发者真正把自己的业务搬到这套 Kimi 托管底座上以后，应该如何用它来执行复杂的长程任务？执行成本又是多少？月之暗面在此次发布中提供了 12 个官方行业样板间，其中 基金对账智能体官方案例 和 金融财务建模智能体官方案例 这 2 个重型案例，让我们看清了月之暗面自己使用这套底座的方式，和过去 2 年流行的按业务步骤拆成 10 几个小智能体的方式非常不同。 编码智能体框架评测对比与基金对账信任隔离架构 第 1 个发现是，从《基金对账智能体》这个案例中，可以看到它拆分子线程的目的主要是为了实现信任权限隔离。在这个单次运行耗时 15 到 25 分钟、总成本约 15 元的案例里，官方使用 /v1/sessions/{id}/threads 接口拆出了 3 个角色。为什么要这样拆分呢？这是因为随着模型的原生推理能力变得越来越强，通过提示词按业务步骤来拆分角色的收益越来越小。就在前一天（2026 年 11 月 4 日），Surge AI 发布的 Coding Agent Harness 评测报告 也显示，在 Terminal-Bench 2.0 的 89 道题上，维持最简循环 Terminus 2 不变，单纯将 GPT-5.4 的推理深度从 medium 调高到 xhigh，准确率就能涨 11.3 个百分点到 66.0%（固定 medium 档位换 5 套不同 Harness 的差距只有 3.2 个百分点）；而靠复杂提示词内置 37 个技能、单题最多拆出 17 个子智能体的 Superpowers 框架，消耗了 4.4 倍到 9.9 倍的 Token，耗时翻了 3.6 倍，得分反而跌到 53.5%（倒退 1.2 个百分点）。这也和 11 月 5 日同日 Mistral Studio 平台公告 收拢底座能力、以及我们在 字节扣子企业版停售分析 中反映的手工工作流贬值趋势一致。 既然按步骤拆分流程没有收益，Kimi 官方样板间之所以还要动用 /threads 拆出 3 个智能体，是为了在操作系统与接口层守住安全边界。外部托管行发来的对账单 PDF 属于不可信输入，可能暗藏恶意的提示词注入： 1. 托管行解析子智能体（低信任区）：接口层只给它开启 read_file 权限，彻底关掉 ipython、shell、write_file 和网络。哪怕外部 PDF 里藏着恶意指令，它既无法执行代码，也看不到内部账本。 2. 主智能体（高信任核对区）：挂载对账技能，拥有 ipython 与文件读写权限，负责把解析结果与内部估值表做比对。 3. 独立审阅子智能体（盲审区）：故意不挂载对账技能，防止顺着主智能体的错误逻辑自圆其说。系统强制它汇报原始文件的总行数与首尾证券代码（file_fingerprints），并从主智能体未报错的记录里随机抽检至少 20 个主键（spot_check）手工验算。这种物理权限裁剪与盲审校验，是模型靠自身思考无法替代的。 第 2 个发现来自《金融财务建模智能体》。基于云端托管的底座，前缀缓存的省钱效应真正落地了。我们在 2026 年 6 月 25 日的 KV 缓存命中率与智能体成本杠杆一文 和 9 月 3 日的 缓存折扣的三本账分析 中早就反复推演过，多轮智能体账单里 85% 到 95% 的开销其实花在反复重读前序上下文上，Prompt Cache 命中率才是决定成本的头号杠杆；一旦团队自建框架不小心打乱了动态提示词顺序，或者网关负载均衡把请求发到了不同推理副本，缓存失效率飙升，账单就会立刻失控。这次月之暗面的《金融财务建模智能体》恰恰从云厂商托管的视角补上了这块拼图：对于不需要隔离外部不可信输入的任务，月之暗面直接让 1 个主智能体连续跑完 45 到 90 分钟、调用 60 到 120 轮工具，合计输入高达 1000 万 Token。看一眼账单明细就能明白托管底座在省钱上的真实作用：跑 1.5 小时的云沙箱只花了约 0.1 元（0.072 元/小时），真正省下大钱的是官方托管编排层与底层推理路由紧密配合，帮开发者把 Prompt Cache 命中率维持在了 95%。在 kimi-k3 上，命中缓存的重复前缀单价从 20 元/百万 Token 降到 2 元/百万 Token（打 1 折），直接把原本超过 200 元的单次建模账单压到了 30 至 50 元。 ## 现在做技术选型，代码该怎么写？ 接口协议收敛、价值边界清晰之后，一线研发团队在启动新项目时就可以按照任务复杂度直接切分策略。对于几轮内的轻量问答或简单检索，直接用 /v1/responses 单端点续写接口即可，接入成本最低。 如果任务涉及沙箱执行、长程多轮循环或内网混合调用，我更推荐直接使用 Agent、Environment、Session、Events 四元控制面来构建客户端和适配器。Anthropic、智谱和月之暗面已经在这层实现了协议对齐，用这套抽象写业务代码，未来在国内国外主流模型间切换的迁移成本最低。在拆分多智能体时，也可以忘掉按产品经理、程序员、测试员切分提示词的旧套路：常规长程任务尽量交给单个高推理模型，借助云端托管底座的 95% 级高命中率 Prompt Cache 跑通；只有在需要隔离不可信数据权限或强制独立盲审时，才动用子线程 /threads 做物理隔离。