我最早做 Agent 产品的时候，心里有一个很朴素的信念：确认对话框越少，用户体验越好。毕竟每个人都烦那种"你确定吗？"的弹窗——设个闹钟要弹一下，发个邮件也要弹一下，整个人都被打断麻了。所以我一开始的设计原则是：能不弹就不弹，能自动执行就自动执行。
结果上线第一周就出事了。有个用户让 Agent 帮他清理一下桌面上的临时文件，Agent 把整个下载文件夹删了。用户没来得及阻止，因为系统没弹任何确认框。用户在反馈群里发了一长串脏话，我盯着那条消息，突然意识到：确认对话框从来不是体验的负担，它是信任的锚点。
而信任这件事，不是一次授权就能建立的。它是一个梯度，需要用一次次的确认和一次次的成功来逐步爬升。
为什么无脑自动执行是灾难
你可能会想，Agent 又不是真的傻，删除文件这种操作它应该知道要谨慎吧。但问题在于，Agent 不知道什么叫谨慎。它只是按照指令执行，它的判断来自模型对任务的理解，而模型对"临时文件"和"下载文件夹"的语义边界其实是模糊的。
更麻烦的是，自动执行给用户带来的是控制感的丧失。就算 Agent 这次是对的，用户也会想：它这次不问我，下次会不会在我不注意的时候做了什么不可逆的事？这种不确定感比偶尔一次弹窗要累得多。
微软在 Human-AI Interaction 指南里有一条原则：对于可能造成伤害的操作，系统必须请求确认。所谓"可能造成伤害"，不仅仅是物理伤害，还包括不可逆的数据丢失、对用户社交关系的过度影响（比如代发邮件给老板）、或者涉及金钱的操作。
换句话说，判断要不要弹窗，核心不是"操作是否常见"，而是操作的可逆性。
信任梯度：从试探到放权
那怎么建立这个梯度？我后来想通了一个框架，把 Agent 的行为分成了四个层级，每个层级对应不同的确认策略。有点像教小孩做饭：一开始每步都要问，后来让他自己切菜，再后来让他独立做一顿饭，最后你只管吃。
- 第一层：低风险且可逆——比如查询天气、搜索资料、打开应用。这类操作无脑自动执行，不需要弹窗。偶尔错了也没关系，用户扫一眼就知道。
- 第二层：中风险但可撤销——比如发送一封邮件、创建一个日程、修改一个文档。这类操作有后果但通常可以撤回或修改，执行后立刻显示通知，让用户知道发生了什么，并给一个"撤销"入口。
- 第三层：高风险且不可逆——比如删除文件、转账、对外发布内容、授权第三方应用。这类操作必须弹确认框，并且要把后果说清楚，不是单纯"你确定吗？"而是 "将删除 5 个文件，其中包含 1 个最近修改过，确认删除？"
- 第四层：跨会话的迭代——当 Agent 要执行一个多步骤任务（比如"帮我整理一下项目文档，然后发给所有成员"），你不应该每一步都弹窗，而是在执行前给出完整计划，让用户一次确认整个流程。这比每步确认更高效，也比无脑执行更安全。
这个框架的核心是：确认密度与风险等级成正比，与用户的信任度成反比。同一个用户，用得越久、历史成功率越高，就可以把某些第三层操作降级为第二层——也就是说，信任是可以积累的。
弹窗文案比弹窗本身更重要
我发现很多产品把确认框做成了摆设，就是因为文案全是废话。比如：
你会看到一个很常见的确认框："您确定要删除吗？"【确定】"取消"这种弹窗给用户提供不了任何信息。用户只能靠猜：删了会怎样？能不能找回？影响哪些文件？猜不出来，他就只能点"取消"，或者硬着头皮点"确定"——两种情况都不是产品想要的。
好的确认框应该像一份风险告知书：明确告诉你执行什么动作、影响什么对象、结果是否可逆。比如：
"Agent 将删除 5 个文件：report_v1.docx、budget_2024.xlsx、… 【了解详情】【取消】"这样用户不需要理解 Agent 的意图，只需要判断这个事实自己能不能接受。一旦用户发现自己看了确认框就能准确预测结果，他对 Agent 的信任就会上升，下次就更愿意放权。
自动执行不是终点，而是信任的馈赠
你可能会问：那信任积分攒够了，是不是就可以完全不弹窗了？我的答案是：永远要保留弹窗的能力，但可以默认不弹。差别在于，当系统检测到异常——比如执行时间异常长、访问的文件不在预期目录、要调的接口权限变大——应该立刻升级回弹窗模式，甚至直接暂停任务。
这就像自动驾驶一样，L4 也在特定条件下会退出让驾驶员接管。Agent 的确认对话框本质上是一个接管机制，它的价值不在于平时弹出来，而在于需要的时候一定能弹出来。
我后来想通了一件事：用户删掉的不是确认框，而是不确定感。当你把每一个操作都变成用户看得懂、控得住、撤得回的动作，用户才敢把更多的事情交给 Agent 去做。信任梯度的建立，本质上不是让 Agent 更自由，而是让用户更安心。
进阶：AutoGPT 等自主 Agent 的困境
像 AutoGPT 这类早期自主 Agent 试图完全不弹窗、全自动执行任务。结果在真实场景里经常出现失控的操作——下载了错误的依赖、修改了无关文件、甚至给自己发了一堆垃圾邮件。不是模型不够聪明，而是缺少一个认知层和控制层的分离：认知层负责理解任务，控制层负责约束行为。确认对话框就是控制层最基础的部分。这也是后来主流 Agent 框架（如 OpenAI 的 function calling）把动作细分并带上描述的原因——给控制层提供判断依据。
所以，如果你也在设计 Agent 产品，我的建议很简单：先把操作按可逆性打上标签，再根据用户的信任度动态调整确认策略。看起来像是多做了一步设计，但这一步决定了用户是把 Agent 当工具，还是当同事。
原创文章，作者：guanweilu，如若转载，请注明出处：https://guanweilu.cn/article/1108.html