当多个AI Agent代表不同用户或部门谈判时，系统不再是单个助手，而是一个会产生策略互动的小型市场。Anthropic的Project Swap用图书交换展示了这一方向。企业若把类似机制用于采购、排期或资源分配，必须先建立授权和止损规则，否则高效协商可能演变为越权承诺、价格失控或代理之间的异常配合。
一、把授权写成结构化约束
每个Agent都应拥有明确身份、可交易对象、预算上限、禁止条件和有效时间。关键规则存入策略引擎，不只依赖提示词。例如采购Agent可以询价和比较，但超过指定金额必须等待审批；任何涉及个人数据的交换都禁止自动成交。结构化约束更容易测试和审计。
二、区分建议、报价和承诺
Agent说“建议接受”与代表企业正式签约完全不同。系统应为浏览信息、发送非约束报价、接受意向和形成合同设置不同权限。外部参与者也应知道当前消息的法律状态。不能因为对话语气肯定，就让对方误以为企业已经作出不可撤销承诺。
三、建立统一事实层
参与谈判的Agent应从同一套经过验证的商品、库存、合同和身份数据中读取事实。供应商自述与平台认证数据分开显示，模型推断必须标注。价格、数量和交付日期等关键字段通过结构化接口传递，避免自然语言解析造成小数点、币种或时间错误。
四、审计日志要记录决策链
日志不仅保存最终成交，还要记录Agent读取了哪些规则、提出过哪些报价、调用了什么工具、为什么升级人工。涉及敏感推理时可以保存可审查摘要，而不是暴露全部内部过程。日志应具备防篡改、访问控制和保留期限，方便争议处理与合规检查。
五、检测循环、串谋和异常让步
多Agent可能陷入重复报价，也可能在共同数据偏差下形成异常一致。监控系统应识别议价轮数过多、价格偏离市场、短时间频繁成交和特定代理互相偏好。触发阈值后暂停交易并请求人工复核，不能让Agent通过换一种措辞绕过限制。
六、止损机制必须独立运行
预算、单笔损失、日累计风险和最大谈判时长应由独立服务强制执行，即使模型失控也无法突破。紧急开关要能冻结新报价、撤回未确认意向并吊销代理凭证。只在界面放一个“停止”按钮，却无法中断后台工具调用，不是真正的止损。
七、先用历史数据做压力测试
把过去订单和市场波动放入模拟环境，测试代理在缺货、突发涨价、恶意输入和对手欺骗下的表现。红队可以构造虚假稀缺、诱导泄密和提示注入。评估不仅看节省多少钱，还要统计错误承诺、人工接管率和恢复时间。
八、逐级开放自动成交
第一阶段只让Agent收集信息，第二阶段允许提出草案，第三阶段在低金额和白名单范围内自动成交。每次升级都需要稳定指标和明确责任人。企业采用多Agent谈判的目标，不是取消人类判断，而是把重复协商交给机器，把高风险决定留给有授权的人。
