智能体这一周的关键词，拆开是两个字：分层。10 月 15 日一天之内，Product Hunt 上架了两个瞄准不同层的小工具——Navige 挂在成本层，withHuman 守在审批层；同周的 arXiv 上，TRACER 收拾检索层，SpecAgent 重组执行层；再往外扩一圈，三家企业把「批准」做进了产品默认，Anthropic 的红队报告则给所有层背后的需求侧添了条硬证据。能力和遏制同周抵达，这不是巧合，是这条赛道开始按层收费、按层设防的信号。
四层各有主打
检索层，TRACER（1969）把工具调用历史编成 trie，每一步只露 5 件候选，单步输入 token 省约 80%——论文形态，直接可复现。执行层，SpecAgent（1971）把强模型从写手换成审稿人，弱模型只读接地起草，强模型一次并行预填充验整段，τ²-Bench 上成功率差在 1 分内，墙钟与显存流量约腰斩。
成本层，Navige 是个代理：合适的请求转给便宜模型，重复读取走缓存，臃肿的工具结果先瘦身再进上下文；按团队与按任务设预算，带失控循环检测、危险动作的批准挂起、急停与审计轨迹，经 Anthropic 代理接 Claude Code。定价打法少见：免费档只能看不能动（Watchtower），付费按「实测节省」的两成收取，或每月 9 美元保底，取高者。审批层，withHuman 在工具调用执行前拦截：例行调用按规则自动放行，要事转给人审，走邮件、Slack 或 Discord 都行；它推一套开放的 Agent Approval Protocol（AAP），命令行侧覆盖 Claude Code、Codex、OpenClaw、Pi、Hermes、DeepSeek，软件开发包侧覆盖 LangGraph、Pydantic AI、OpenAI Agents SDK、CrewAI、Mastra；服务不可达时调用默认拒绝（fail-closed）。代码源码可见，但许可为 Elastic License 2.0，并非 OSI 认可的开源；定价未在发布页披露。
为什么是现在
分层不是本周从石头里蹦出来的，三本旧账在这周一起到期。1945 那篇治理货架论把智能体治理分成凭证、执行、计量三层，当时的判断是「货架还空着」——本周 Navige 与 withHuman 等于给执行层与计量层上了头两件实物。1426 论证过编码智能体的账单由 harness 而非模型决定，呼吁把 harness 纳入企业控制平面——本周轮到成本层自己变成可采购的商品。390 篇算过人类审批的疲劳账：漏放三成威胁，且越审越钝——withHuman 的「例行自动批、要事转人」正是对着这张账单开的药方，只是药效要另算。
需求侧的证据这周也在加码：1923 的智能体闯公网、1966 的越权花测试币，证明「智能体自己伸手」不是理论风险；本周 Anthropic 的复制实验（1973）把风险刻度推到了物理设备。能力每深一寸，遏制层就多一分订单——Torvalds 那边同样如此：内核补丁的署名方式，本质是把「人指方向、智能体干活」的谨慎写进了提交信息。
三个观察哨
哨一，层间打通。四层产品各说各话：审批层不知道成本层的预算状态，成本层看不到审批层的放行记录，检索层的前端又谁的界面都不属于。AAP 是开放的，但一个协议对一众私有接口，层间对话要不要标准、由谁来定，是接下来半年最值得盯的架构题。
哨二，审批自动化的反噬。自动放行省的是人力，攒的是疲劳——只不过疲劳从「人审每一条」转移成了「人审规则本身」。规则写松一点，要事漏给人；写紧一点，智能体退化成请求机器。390 的旧账没结，withHuman 们只是换了种欠法。
哨三，按效果收费的可持续性。Navige 抽节省的两成，激励结构天然错位：省得越多抽得越多，而「节省」的测量权在收费方手里。没有独立核账机制之前，这类定价更像营销发明，不像商业模式。
几盆该浇的冷水
Product Hunt 上架不等于生产就绪：两个产品都新到没有任何公开的部署案例，AAP 的采纳面看着热闹，实际调用量无人知晓。分层本身也有代价——每层都是一个新的故障点与一段新的延迟，fail-closed 听着安全，服务不可达时全线停摆的可用性账还没人算过。把「按层收费」直接读成赛道成熟同样危险：更可能是市场在替「整栈还没人做得动」找临时解。
给正在搭智能体栈的团队一条排序建议：先补账（成本层）和先装闸（审批层）的性价比，远高于追新协议——前者这周就能见效，后者等层间标准明朗再跟进不迟。至于检索与执行两层的论文级方案，代码放出来之前，看看就好。