S21-J05 · CLI 与 GUI Agent

适用读者：要让 Agent "动手操作"环境的人。
前置：S21-J01。
覆盖旧文：721(449) 722(602) + 7 卡 = 2,114 点。
覆盖扩展：E-S21-011（操作真实环境的权限边界）。
上一篇：S21-J04 · 框架对比与生态
下一篇：S21-J06 · Eino 编排：Chain、Graph 与 Workflow 字段映射。

1. 一句话结论

CLI Agent 与 GUI Agent 的本质差别是"接口稳定性"：命令行有确定的输入输出，GUI 只有像素——所以 GUI 慢、脆、贵。

维度	CLI Agent	GUI Agent（浏览器/桌面）
接口	命令 + stdout	截图 + 点击坐标
稳定性	高（可脚本化）	低（界面一变就废）
成本	低（文本）	高（视觉/多轮）
可测试	✅	难

2. 权限边界（E-S21-011）

层级	允许	禁止
只读	读文件、查状态	写、删、改配置
受限写	在工作目录内写	越界路径
完全写	—	需人工审批（A02）

三条硬规则：

① 默认只读，写操作显式授予
② 路径白名单（工作目录 + 临时目录）
③ 危险命令（rm -rf / 改系统配置）→ 拦截并要求审批

判据："这条命令最坏会把什么搞坏？" 答不出 → 不允许执行。

3. GUI Agent 的三个现实约束

约束	说明
登录态	需要用户会话（存在凭据泄露风险）
页面变化	选择器/坐标失效
验证码/风控	常直接阻断

"为什么 GUI Agent 更适合"辅助"而非"全自动""：它天然脆弱——把人工留在关键节点（A02 的 HITL）更现实。

4. 可观测性要求

记录	为什么
每条命令 + 输出	复盘与审计
截图（GUI）	出错时还原现场
决策理由（Thought）	定位"为什么这么做"

"日志里不能记什么"：凭据、完整敏感数据（S20-A02）。

5. 五个误区

误区	真相
"GUI Agent 更通用所以更好"	更脆更贵
"给 Agent root 权限更省事"	一次事故就够
"命令不用记日志"	无法复盘
"登录态可以代管"	凭据风险
"能跑一次就能上生产"	需权限与审计

6. 自检

CLI 与 GUI Agent 的本质差别？
权限三层与三条硬规则？
GUI Agent 的三个约束？
可观测必须记什么、不能记什么？
为什么 GUI 更适合"辅助"？

7. 下一篇

S21-A01 · 评估与可观测

进阶层结束。架构师层先讲"怎么证明 Agent 变好了"。

本篇属于系列《S21 · Agent 工程与 MCP》。旧文来源：A-721/722 + 7 卡；扩展点 E-S21-011。