使用多模态模型构建 AI 智能体：架构与安全

使用多模态模型构建 AI 智能体，不只是向提示词添加图像。可靠的系统会追踪每种模态的来源和时间，将感知结果转化为结构化观察，检查不确定性，并防止不可信媒体直接授权工具操作。

根据任务选择模态

从智能体需要支持的决策出发。图像有助于判断空间或视觉状态，音频有助于识别语音和声音事件，视频有助于观察随时间发生的变化，文档则有助于理解布局和文字。加入更多模态会增加成本、隐私暴露和同步问题。只使用能改善可衡量任务表现的最少模态组合。

明确模型可以作出哪些推断。截图可以显示界面状态，但不能证明账户属于谁；摄像机画面可以提示某个物体的存在，却未必能确定身份、安全性或意图。影响重大的结论需要更可靠的传感器、元数据或人工确认。

输入接收、时间与来源

每个输入都应附带来源、采集时间、内容类型、尺寸或时长、转换过程和访问范围。在政策允许时保留原始内容，并将缩略图、转录文本或视频帧作为独立产物。哈希值和 ID 能让结论追溯到证据。

时间很重要：过时的截图可能与当前 API 响应冲突；视频帧采样过于稀疏可能漏掉事件；音频转录可能丢失说话人或语气信息。智能体应明确这些限制，避免将观察结果当作同时发生的事实合并。

将感知转化为结构化观察

不要把无限制的视觉描述直接传给执行器。应提取带类型的观察结果，例如检测到的控件标签、边界区域、转录片段、置信范围和未解决的歧义，然后在选择操作前应用确定性规则。

视觉操作应以当前状态为依据。对于浏览器或桌面智能体，应在导航后和重要点击前重新观察。布局变化时，基于坐标的操作容易失效。若有语义化无障碍数据或产品 API，应优先使用，同时将像素作为辅助证据，而不是未经说明的权威依据。

多模态提示注入与隐私

图像可能包含指令、二维码、隐藏文字或误导性界面元素；音频可能包含不可信说话者的命令；文档可能在页眉或背景中放置恶意文字。应将识别出的内容视为带来源的数据，它不能覆盖策略或授予工具访问权限。

多模态数据通常很敏感：人脸、声音、屏幕、位置和文档可能暴露个人或机密信息。应尽量减少采集，在模型处理前裁剪或遮盖，限制保留时间，并取得适当同意。不要将秘密信息或无关屏幕区域放入上下文。

验证与回退设计

根据风险选择交叉验证方式。OCR 可以验证可见标签，API 可以确认交易状态，另一帧画面可以显示变化是否持续存在。模态之间一致有参考价值，但当两者都来自同一被篡改的来源时，一致并不能构成证明。遇到模糊或安全关键的情况，应停止并请人确认。

回退方案应在降低自主程度的同时保留功能。如果视觉识别失败，可以请求更清晰的图像或切换为结构化输入；如果音频转录不确定，可以展示转录文本供确认；如果视频超出限制，应选择用户批准的片段，而不是悄悄丢弃内容。

评估现实中的多模态故障

构建包含模糊、眩光、遮挡、口音、背景噪声、布局变化、过时画面、冲突字幕、注入文字和缺失元数据的数据集。分别评估感知、决策和执行，让团队知道错误从哪里开始。同时衡量延迟、带宽、成本和隐私处理。

更换模型或预处理方式后，重放完整的追踪记录。监控各模态的失败率和人工纠正时间。多模态智能体可以与更丰富的环境交互，但安全表现来自来源可追溯、受限操作和验证，而不是假设看到和听到就等于理解。

实施工作表

为每个输入创建模态数据表，记录来源、采集时间、转换过程、预期质量、敏感内容、保留期限和已知盲点。将感知测试与行动策略测试分开，加入过时截图、隐藏文字、嘈杂音频、缺失帧、布局变化和冲突 API 状态等案例。要求智能体为每项观察引用对应的证据材料，并在置信度不足时请求澄清。检查采集的每种模态是否必要；移除一个输入可能改善隐私保护、延迟和可靠性。