你的 AI agent 还在"跑崩了从头再来"？Stanford 把 git 搬进了 agent 运行时

这解决的是做 agent 的人天天在受的三个罪：agent 跑到一半崩了只能从头再来、想改中间一步就得把后面整段重新烧一遍 token、以及 agent 直接上手改你的代码库却拦不住。对做 agent 产品或做 agent 训练的团队，这意味着让 agent 反复试错这件事第一次变得又快又便宜：它 fork 一个 agent 连同它的运行环境，比 docker commit 快 5 倍，重放时复用 95% 的 KV 缓存，回退重跑不用重新烧钱。

往大了说，这是一块地基。它出自 Stanford 的 Christopher Manning 和 DSPy 作者 Dilara Soylu 等人之手，冲的不是"再做一个 agent 框架"，而是让 agent 从"能跑起来"迈向"可回放、可监督、可训练"的下一个台阶。用一个 agent 去盯着、优化、训练另一个 agent，这类"meta-agent"缺的正是这块底座。

01它到底解决什么，又强在哪

Shepherd 现在是 alpha 阶段，MIT 协议，Python 写成，pip install shepherd-ai 就能装，GitHub 上开源两周多涨到 722 star，配套还有一篇 50 页的 arXiv 论文（编号 2605.10913）。

它最硬的东西有两个，都不是"模型更强"这种话。

第一个是把 git 的可逆性搬进了 agent 的运行时。agent 的每一个动作，模型输出、工具调用、环境改动，都被记成一个带类型的事件，串成一条可回退的轨迹。你可以把任意一个历史状态 fork 出来接着跑，可以重放，可以回退到任意一步。市面上大多数 agent 系统只给你看事后的日志和快照，meta-agent 想介入只能自己瞎猜着重建状态。Shepherd 把"执行过程"本身变成了一个可以拿在手里、随时改写的一等对象。

第二个是函数签名就是权限边界。在 Shepherd 里，一个任务是一个没有函数体的 Python 函数，签名和 docstring 就是给 agent 的契约。你在参数上写 ReadOnly 还是 ReadWrite，这个授权会被编译进操作系统的 syscall jail（macOS 用 Seatbelt，Linux 用 Landlock）。agent 越权去写一个只读的仓库，是在内核那一层被直接拒掉的，不是等到最后合并时才被拦。读这个函数签名，就是在读这次运行的权限地图。

配套还有个叫 retained output 的机制：agent 干完活，产物是一份"待审提案"，安全地放在一边，你可以先运行看看效果，觉得行就 select 留下，不行就 discard 扔掉，轨迹两种都记得。

论文自报了三组数字来证明它有用。一个盯着多个编程 agent、防止它们互相打架的监督 meta-agent，把 CooperBench 上的结对编程通过率从 28.8% 拉到了 54.7%；一个专门修工作流的 meta-agent，在 Terminal-Bench 2.0 上比 MetaHarness 高 12.8 个百分点，还省了 58% 的墙钟时间；一个做 RL 训练、专门挑分叉点的 meta-agent，把 GRPO 在 Terminal-Bench 2.0 上的提升直接翻了一倍。

配图1：Shepherd 的两个硬设计——可逆 git 式执行轨迹 + 函数签名即权限边界

02放进历史里看：从"跑 agent"到"管 agent"的底座

判断一个基础设施项目的分量，要看它站在哪条演进线上。

过去一年被反复讨论的 loop-engineering，讲的是别再人工逐条催 agent 干活，要设计一套会自己反复循环的系统，还诚实地承认自动化本身会欠债，给了 L1 报告制到 L3 无人值守的分级放权。Shepherd 是把这套"放权"落到运行时的地基：loop-engineering 讲的是"该不该放权、放到哪一级"，Shepherd 给的是"放权之后，怎么把 agent 的每一步都攥在手里、随时能回退"。没有可回退的底座，分级放权只能靠人盯,盯不过来。

另一条线是安全边界。之前聊过的开源浏览器 agent webbrain，把第三方内容标成不可信、写操作要手动 /allow-api 放行，是一套软策略：靠 agent 自觉、靠提示拦截。Shepherd 走到了另一个极端，权限直接压到内核的 syscall 层，越权的写在系统调用那一刻就被拒。一个是"劝阻",一个是"物理拦截",这是 agent 安全从应用层往下沉到操作系统层的信号。

把这两条线合起来看，Shepherd 想占的位置很清楚：当 agent 从"一个能干活的工具"变成"需要被另一个 agent 监督和训练的对象"，中间缺一个既能回放、又能拦、又能喂给 RL 反复试错的运行时。它要做的就是这块。

配图2：从跑 agent 到管 agent，Shepherd 与 loop-engineering / webbrain 的定位对比

03技术底层：把可逆性做成一等公民

对深度用户，真正值得看的是它凭什么这么快、这么稳，而不是功能列表。

从 harness engineering 的角度，它最聪明的一手是用函数签名当契约。任务是无函数体的 Python 函数，agent 要填的是签名和 docstring 定义的那份合同，权限、输入、输出边界全在签名里。这把"agent 能干什么、不能干什么"从运行时的口头约束，变成了编译期就定死的类型和内核规则。

从 loop engineering 和 RL 的角度，fork 和 replay 就是给树搜索和强化学习的 rollout 用的。做 agentic RL 最大的成本是反复试错要一遍遍重跑，每次都从头烧 token。Shepherd 的 copy-on-write fork 连环境一起复制、重放复用 95% 的 KV 缓存，等于把"回到某个岔路口重来"的成本压到极低。它专门提出了 Tree-GRPO，让 meta-agent 去挑在哪个分叉点做信用分配,这是它能把 GRPO 提升翻倍的原因。

从架构上，它把"执行过程"抽象成了函数式编程里的一等对象：可以 hold 住、可以 inspect、可以 branch、可以 rewrite,就像操作一个普通函数。这套抽象是整个框架能成立的地基,也是它区别于"只存日志"的 observability 工具的根本。

诚实说一句：它现在是 alpha,API 还会变,论文里那些 benchmark 是团队自己跑的、还没有大规模第三方复现。看它的设计价值可以,但别当成已经在生产里被验证过的东西。

配图3：论文自报的三组 benchmark，都是 meta-agent 干出来的

04想上手，一步一步照着来

它的上手门槛比想象中低,命令可以直接抄。

装好就是一行:

pip install shepherd-ai

把一个目录变成 Shepherd 工作区,跑一个不需要任何 API key 的离线示例:

mkdir /tmp/shepherd-quickstart && cd /tmp/shepherd-quickstart
shepherd init                              # 把当前目录变成工作区
shepherd demo write quickstart > quickstart_demo.py
python quickstart_demo.py                  # 注册并运行一个任务,产物被保留
shepherd run list                          # 看这次运行和它的状态
shepherd run changeset --latest            # 看它写了什么(作为待审提案留着)

想让真的 agent 干活,需要装好 claude CLI 并登录(有 Claude 订阅或 ANTHROPIC_API_KEY 都行),然后 shepherd demo write agent-task 那条路。产物落地成"待审提案",你用 shepherd run select 留下、shepherd run discard 扔掉。没有 key 也能先用离线的确定性 provider 把整套机制跑一遍。

05商业化：agent 可靠性和训练，正在变成一门生意

先看它自己:MIT 开源、学术团队出品,眼下是拿开源和论文攒口碑、攒生态的阶段,还没有明确的商业化动作。但它踩的赛道,是正在快速长钱的。

对想在这波里做事的人,有三个具体可落地的方向。

一是做 agent 可靠性和可观测的商业化产品。企业把 agent 放进生产,最怕的就是不可控、出了事查不清、想回退回不去。围绕 Shepherd 这种可回放、可回退、内核级权限的底座,做一层企业级的审计、回放、灰度和权限管理,是能收订阅费的。对标的是这两年冒出来的一批 agent observability 公司,但 Shepherd 给的可逆性是它们大多没有的。

二是做 agentic RL 的训练服务。会用 RL 训练 agent 的团队不多,而 Shepherd 的 fork 加 95% 缓存复用,正好把训练里最烧钱的反复试错成本压下来。给做 agent 的公司提供"基于 Shepherd 的 agent 训练/微调"服务,护城河是把这套底座和具体业务场景接起来的工程能力。

三是做私有化和合规交付。金融、政务这类场景,agent 碰的是敏感系统,内核级 syscall jail 的隔离正好是硬需求。把开源底座做成能私有化部署、带合规审计的版本,按项目收费。

06项目来源，自己上手核实

• ▪GitHub 仓库：github.com/shepherd-agents/shepherd
• ▪官网与文档：shepherd-agents.ai 、docs.shepherd-agents.ai
• ▪PyPI 包：shepherd-ai（pip install shepherd-ai）
• ▪论文：arXiv 2605.10913（50 页,22 图,14 表）
• ▪实验复现仓库：github.com/shepherd-agents/shepherd-experiments

07站在全球和产业链上：meta-agent 是 agent 赛道的下一层

把镜头拉到最大,Shepherd 照出的是 agent 这门生意正在往下长一层。

过去两年,全球都在卷"怎么让 agent 把活干得更好":更强的模型、更巧的 prompt、更全的工具。现在浮现出一个新的层次:怎么监督、优化、训练 agent 本身。用一个 agent 去管一批 agent,用可回放的轨迹去给 RL 做训练信号,这就是 meta-agent。Shepherd 是这一层里第一个把"可逆执行"做成正经底座的开源项目,顶着 Stanford 和 DSPy 的招牌。

产业链上,价值正在从"应用层的 agent"往下沉到"agent 的运行时和训练底座"。谁掌握了 agent 怎么被记录、被回放、被训练的这一层,谁就握住了 agent 可靠性和持续进化的入口。模型层在打价格战,应用层在卷同质化,而这个中间的运行时底座,是目前还很空、又极其关键的一块。

对中国也有一个真实的机会。国内在 agentic RL 这条路上并不落后,DeepSeek、Qwen 这些团队都在密集投入用 RL 训练 agent。Shepherd 是 MIT 开源的,国产团队可以直接拿这套底座去训练自己的 agent,不用从零造轮子。这不是"中国造了 Shepherd",而是这块地基对所有在训练 agent 的人都免费开放,中国团队是其中拿得最顺手的一拨。谁先把它和国产模型、国产训练流程接顺,谁就在 meta-agent 这一层抢到了先手