Gemini API Managed Agents新增环境Hooks、预算控制、定时触发和模型选择。Hooks最重要的价值，是在Agent每次工具调用之前或之后执行自定义脚本，将安全规则从提示词提升为可执行的系统约束。它可以阻止危险命令、检查代码、脱敏输出并写入审计记录，是Agent从演示走向生产的关键能力。
为什么提示词不能代替Hooks
提示词属于概率性约束，模型可能因上下文过长、恶意内容或工具返回而偏离要求。Hooks运行在工具边界，可以确定性检查命令、路径、网络域名和文件类型。例如禁止删除根目录、禁止读取密钥文件、限制外部上传地址，即使模型被诱导也无法绕过。
前置Hook负责验证和阻断，后置Hook负责扫描结果、记录变更和触发告警。两者都应返回清晰的机器可读原因，让Agent知道是修正参数还是停止任务，而不是在相同错误上反复重试。
设计最小权限工具箱
把读文件、写文件、执行命令、访问网络和发布部署拆成不同工具，每个工具只开放必要目录与参数。开发Agent默认只能操作临时分支和测试环境，提交合并、数据库迁移和线上发布必须经过人工审批。
外部内容都应视为不可信输入。网页、文档和代码注释中可能包含提示注入，Hook应过滤要求泄露系统指令、上传本地文件或调用未知域名的内容。敏感变量通过运行时注入，不写入提示词、日志和Agent文件系统。
预算与定时任务怎么配置
为每个任务设置令牌、工具调用、运行时间和费用上限。定时任务还要防止重叠执行：上一轮未完成时，新一轮应跳过或进入队列。批量任务先抽样运行，确认输出和费用后再扩大范围。
计划任务必须带幂等键，同一日期和对象只执行一次。发生网络超时可以重试，但写操作前要查询当前状态，避免重复发邮件、重复创建记录或重复扣费。超过预算时保存中间状态并通知负责人，而不是静默结束。
可审计的上线流程
日志至少包含任务ID、模型版本、调用工具、参数摘要、Hook判定、文件变更和审批人。敏感值只保留掩码或哈希。审计记录与业务数据分开存储，避免Agent修改自己的历史。
上线前用危险命令、提示注入、超大文件、断网和权限不足等样本做红队测试。灰度阶段只开放低风险仓库和非核心流程，持续观察阻断率、误报率、人工接管率和单任务成本，再决定是否扩大权限。
落地检查清单
- 把安全规则写入Hook而非只放在提示词中。
- 工具按读写、网络和发布权限拆分。
- 计划任务使用幂等键并禁止重叠。
- 审计日志独立存储且敏感信息脱敏。
