在过去的 3 年里，开发者写大模型应用程序的第一行代码，往往是向
/v1/chat/completions 发送 HTTP 请求。OpenAI 通过这 1
个无状态的接口，统一了整个行业。然而到了 2026
年，工程需求发生了变化。开发者需要让模型在云端连续运行 40 分钟，完成对
10
几个电子表格的读写操作，并在途中挂起等待企业内部数据库返回结果。早期的无状态问答接口已经无法承载这种长程任务。
2026 年 11 月 5 日，月之暗面发布 Kimi Hosted
Agents 官方文档，从 9 月 3
日开始提供公测接口。这种在云端由模型厂商为你托管运行循环、工具调用和容器沙箱的服务，叫托管智能体。开发者只需定义角色并收发事件，不用自己维护服务器和报错重试。翻看它的接口手册，再把智谱此前上线的
智谱 Z
Managed Agents 官方文档 摆在一起，就能看到 1 个有意思的共同选择：2
家头部国产大模型厂商在构建云端托管智能体时，双双放弃跟随 OpenAI 的
/v1/responses，转而把 Anthropic 在 2026 年 4 月 8 日发布的
Claude
Managed Agents 官方文档 从路由结构、资源前缀到事件状态机做了 1
次逐行复刻。
在聊云端接口前，先得把本地协议和公有云协议分清。OpenAI 的
Codex App Server
是基于本地标准输入输出或本地长连接的，用来管本地编辑器插件和命令行进程。我们这里先不讨论这些仅限单机进程间通信的协议，主要看那些真正面向公网、为多租户提供托管服务的互联网接口。它们其实分
2 大流派。
第 1 个流派是 OpenAI
主导的单端点续写，每次请求都调用同一个地址，靠传入上一轮的回复标识符
previous_response_id 把多轮对话串起来。OpenAI 在 2025 年 3
月 11 日推出 OpenAI
Responses 接口文档，并在 2026 年 8 月 26 日关停了旧版
Assistants API。Groq 与 MiniMax
Responses 接口文档 也跟进了这一实现。这套设计把智能体当作 1
次带服务端状态的推理请求，服务端顺手代跑网页搜索或代码解释器。它适合几轮之内的轻量问答，但跑起
30
分钟以上的复杂企业任务就会处处受限：开发者没法提前给容器装好团队需要的软件包并限制出网域名，没法在不把密钥明文暴露给模型的前提下调用外部接口，多个会话同时修改同一份文件容易互相覆盖，云端智能体也没法直接回头调用公司内网里的工具。
第 2 个流派是 Anthropic 提出的四元控制面。它把托管智能体拆成 4
个互不耦合的接口资源：定义角色与工具的
Agent、定义容器环境的
Environment、代表单次运行实例的
Session，以及记录每一步动作的双向事件流
Events。智谱与月之暗面在这一层与 Anthropic 保持高度一致。3
家厂商的 4 个核心路由
/v1/agents、/v1/environments、/v1/sessions、/v1/sessions/{id}/events
完全同名，容器内技能都只读挂载在 /mnt/agents/skills/
目录下，事件流也都靠运行态与闲置态的切换来驱动本地回调。在云沙箱计费上，月之暗面把活跃容器压到了
0.072 元/小时（闲置与自托管免费，新户赠 100 元体验金），大约是 Anthropic
0.08 美元/小时（约 0.58 元/小时）的 1/8。
包裹模型的循环控制程序通常叫
Harness，负责喂提示词、解析工具调用、管理沙箱文件和报错重试。我们在
2026 年 4 月 8 日发过 Claude
Managed Agents 架构分析，并在 4 月 18 日的 Harness
的标准形态一文 里预测，各家尽管都会认同这 4
个概念，但很难在状态机和事件粒度上做到接口级兼容。仅仅 7
个月后，产业现实就修正了这一判断。因为国内大厂此前已经全面兼容
/v1/messages 接口来服务 Claude Code
用户，这股生态惯性加上 OpenAI 重型协议在公有云上的缺位，直接把上层的
Claude Managed Agents 推成了国产托管服务的事实标准。
在理解接口之后，架构师们会面临下一个落地问题。根据 Kimi 环境配置文档 的说明，每个云端会话默认提供 1 个 Debian 12 容器，配备 4 核处理器、8 GiB 内存和 16 GiB 磁盘，预装了 Python 3.12、Node 24、Go、Rust、无头浏览器和办公套件。那么如果框架和容器都在云端运行，如何解决企业内网数据库和第三方商业密钥的安全问题呢？
月之暗面针对这套协议提供了 3 层安全与混合执行方案。第 1
层是在云沙箱的出网代理层替换密钥，防止模型偷看明文。企业存放第三方密钥的加密资源叫做凭据保险箱，对应接口中的
Vault。根据 Kimi
凭据保险箱文档，在 /v1/vaults 环境变量模式里，容器内的
$CRM_TOKEN 只是 1
个假占位符，模型即便在沙箱里执行打印环境变量命令也看不到真密钥。只有在请求发往
allowed_hosts
白名单域名且经过沙箱出网代理时，代理层才会把真密钥填进去。
第 2 层是本地工具回调，让敏感工具留在内网。Kimi
工具机制文档 提到，查询核心账本的工具可以声明为 custom
工具留在企业本地。云端模型跑到这一步会发出
agent.custom_tool_use 事件并把会话挂起为
idle（停止原因为
requires_action）。等本地客户端在内网跑完，再把结果通过
user.custom_tool_result 推回云端继续循环。Kimi
计费参考文档 提到会话挂起期间不收沙箱费。
第 3
层是自托管长轮询，让容器整体进内网。对合规要求最高的企业，月之暗面复刻了
Anthropic 的 ant beta:worker poll 机制，提供
kha worker poll
命令。企业在内网宿主机启动工作进程，主动向云端发起出站长轮询拉取指令，防火墙不需要开放任何入站端口。
在同底座上，2 家国产厂商走出了不同的演进方向。月之暗面在 Kimi
插件市场文档 中接入了 30 多个垂直数据插件，成功调用从 0.02 元到 0.70
元分 4
档计费，覆盖网页搜索、小红书与抖音社媒、巨潮资讯公告及专利工商数据。它还加上了按需加载模式，首轮只注入简短目录，配合
select_tools
动态按需加载工具定义，防止几十个插件撑爆上下文；同时通过 Kimi
记忆整理文档 提供
/v1/memory-stores/{id}/dream-policy，把
Claude Code 的后台记忆整理做成带 SHA256
乐观锁的云端接口，默认累计满 5 个变更会话就自动合并碎片记忆。智谱则在
glm-5.3 系列模型之上扩出了 /v1/deployments 和
/v1/channel/*，支持直接扫码绑定个人微信或接入飞书、企微。
在理解了月之暗面如何用四元接口实现云端沙箱、密钥隔离和内网工具后，我们自然会问：开发者真正把自己的业务搬到这套 Kimi 托管底座上以后，应该如何用它来执行复杂的长程任务？执行成本又是多少？月之暗面在此次发布中提供了 12 个官方行业样板间，其中 基金对账智能体官方案例 和 金融财务建模智能体官方案例 这 2 个重型案例，让我们看清了月之暗面自己使用这套底座的方式，和过去 2 年流行的按业务步骤拆成 10 几个小智能体的方式非常不同。
第 1
个发现是，从《基金对账智能体》这个案例中，可以看到它拆分子线程的目的主要是为了实现信任权限隔离。在这个单次运行耗时
15 到 25 分钟、总成本约 15 元的案例里，官方使用
/v1/sessions/{id}/threads 接口拆出了 3
个角色。为什么要这样拆分呢？这是因为随着模型的原生推理能力变得越来越强，通过提示词按业务步骤来拆分角色的收益越来越小。就在前一天（2026
年 11 月 4 日），Surge AI 发布的 Coding
Agent Harness 评测报告 也显示，在 Terminal-Bench 2.0 的
89 道题上，维持最简循环 Terminus 2 不变，单纯将
GPT-5.4 的推理深度从 medium 调高到
xhigh，准确率就能涨 11.3 个百分点到 66.0%（固定
medium 档位换 5 套不同 Harness 的差距只有 3.2
个百分点）；而靠复杂提示词内置 37 个技能、单题最多拆出 17 个子智能体的
Superpowers 框架，消耗了 4.4 倍到 9.9 倍的 Token，耗时翻了
3.6 倍，得分反而跌到 53.5%（倒退 1.2 个百分点）。这也和 11 月 5 日同日
Mistral Studio
平台公告 收拢底座能力、以及我们在 字节扣子企业版停售分析
中反映的手工工作流贬值趋势一致。
既然按步骤拆分流程没有收益，Kimi 官方样板间之所以还要动用
/threads 拆出 3
个智能体，是为了在操作系统与接口层守住安全边界。外部托管行发来的对账单
PDF 属于不可信输入，可能暗藏恶意的提示词注入： 1.
托管行解析子智能体（低信任区）：接口层只给它开启
read_file 权限，彻底关掉
ipython、shell、write_file
和网络。哪怕外部 PDF
里藏着恶意指令，它既无法执行代码，也看不到内部账本。 2.
主智能体（高信任核对区）：挂载对账技能，拥有
ipython 与文件读写权限，负责把解析结果与内部估值表做比对。
3.
独立审阅子智能体（盲审区）：故意不挂载对账技能，防止顺着主智能体的错误逻辑自圆其说。系统强制它汇报原始文件的总行数与首尾证券代码（file_fingerprints），并从主智能体未报错的记录里随机抽检至少
20
个主键（spot_check）手工验算。这种物理权限裁剪与盲审校验，是模型靠自身思考无法替代的。
第 2
个发现来自《金融财务建模智能体》。基于云端托管的底座，前缀缓存的省钱效应真正落地了。我们在
2026 年 6 月 25 日的 KV
缓存命中率与智能体成本杠杆一文 和 9 月 3 日的 缓存折扣的三本账分析
中早就反复推演过，多轮智能体账单里 85% 到 95%
的开销其实花在反复重读前序上下文上，Prompt Cache
命中率才是决定成本的头号杠杆；一旦团队自建框架不小心打乱了动态提示词顺序，或者网关负载均衡把请求发到了不同推理副本，缓存失效率飙升，账单就会立刻失控。这次月之暗面的《金融财务建模智能体》恰恰从云厂商托管的视角补上了这块拼图：对于不需要隔离外部不可信输入的任务，月之暗面直接让
1 个主智能体连续跑完 45 到 90 分钟、调用 60 到 120 轮工具，合计输入高达
1000 万 Token。看一眼账单明细就能明白托管底座在省钱上的真实作用：跑 1.5
小时的云沙箱只花了约 0.1 元（0.072
元/小时），真正省下大钱的是官方托管编排层与底层推理路由紧密配合，帮开发者把
Prompt Cache 命中率维持在了 95%。在 kimi-k3
上，命中缓存的重复前缀单价从 20 元/百万 Token 降到 2 元/百万 Token（打 1
折），直接把原本超过 200 元的单次建模账单压到了 30 至 50 元。
接口协议收敛、价值边界清晰之后，一线研发团队在启动新项目时就可以按照任务复杂度直接切分策略。对于几轮内的轻量问答或简单检索，直接用
/v1/responses 单端点续写接口即可，接入成本最低。
如果任务涉及沙箱执行、长程多轮循环或内网混合调用，我更推荐直接使用
Agent、Environment、Session、Events
四元控制面来构建客户端和适配器。Anthropic、智谱和月之暗面已经在这层实现了协议对齐，用这套抽象写业务代码，未来在国内国外主流模型间切换的迁移成本最低。在拆分多智能体时，也可以忘掉按产品经理、程序员、测试员切分提示词的旧套路：常规长程任务尽量交给单个高推理模型，借助云端托管底座的
95% 级高命中率 Prompt Cache
跑通；只有在需要隔离不可信数据权限或强制独立盲审时，才动用子线程
/threads 做物理隔离。