规则 + LLM 的混合 Workflow：让 AI 数字员工稳定全自动运行

规则化Workflow，是把确定性规则和 LLM 智能判断放进同一条执行链里。企业做 AI 数字员工时，最常见的误区是二选一：要么把所有事写死成传统流程，遇到非结构化资料就失效；要么把所有事交给模型自治，重复运行时又容易低效、手动补救、越权和出错。真正可长期运行的自动化通常是混合架构：规则负责输入、权限、产物、重试和停止条件；LLM 负责阅读、综合、判断和表达。

Anthropic 在 Building Effective Agents 里提到 workflow patterns，其中不少模式都体现了“固定路径 + 模型能力”的组合。NIST 的 AI Risk Management Framework 也提醒团队从治理、映射、度量和管理角度看 AI 风险。Axon 的产品方向正好落在这条线上：System Skills 和 User Skills 负责可执行能力，Agent 负责编排，Trust Mode 负责风险边界，workspace 负责证据和产物。

想让 AI 数字员工稳定全自动运行，不是把人彻底移出流程，而是把低风险动作自动化，把高风险判断留在可确认边界里。

把 Workflow 分成规则区和模型区

规则化Workflow 的第一步，是不要让 LLM 同时承担所有责任。可以把一条流程切成四个区。

区域	适合规则处理	适合 LLM 处理	Axon 对应
输入区	必填字段、文件路径、语言、收件人格式	理解用户目标和补充说明	Source Data
执行区	Skill 调用顺序、权限、重试次数	摘要、分类、改写、判断证据强弱	Agent steps + Skills
产物区	文件命名、目录、schema、验收字段	生成正文、解释差异、写复盘摘要	workspace + output schema
风险区	发送、删除、覆盖、外部调用必须确认	给出风险原因和建议选项	Trust Mode

这张表说明，LLM 不是越少越好，也不是越多越好。它应该出现在需要语言理解、信息综合和不确定判断的位置；规则应该覆盖那些一旦漂移就会造成事故的位置。

规则不是为了限制智能

规则保护的是可复用性。比如邮件发送必须确认、PDF 必须落到 workspace、输出 JSON 必须包含 evidence。这些限制不会削弱模型，反而让模型的结果能被下一步接住。

LLM 也不应该替代验收

模型可以判断“证据不足”，但不能替代负责人接受对外交付。可以参考 workspace 产物验收契约：产物、证据和拒绝理由才是交付闭环。

一份混合策略配置

下面这份 TOML 展示了规则化Workflow 如何把自动、确认和阻断写清楚。它不是 Axon 的真实配置格式，而是团队讨论自动化边界的设计样例。

[workflow]
name = "daily-brief-to-email"
first_run = "manual"
schedule_after_verified = "workdays"

[rules.input]
required = ["topic", "source_list", "recipient", "output_language"]
reject_if_missing = true

[rules.artifact]
output_dir = "workspace/output/daily-brief/"
required_files = ["brief.md", "source-map.json"]

[llm.zone]
tasks = ["summarize_sources", "rank_findings", "draft_email_body"]
must_mark_uncertain = true

[trust_mode]
auto = ["read_sources", "write_markdown", "generate_pdf"]
confirm = ["send_email", "publish_report"]
auth = ["delete_source", "overwrite_approved_file"]

这份配置背后的核心是：全自动不是所有动作都自动。全自动应该理解为“低风险链路在规则保护下自动运行，高风险动作在 Trust Mode 中等待确认”。如果任务涉及模型供应商选择和成本边界，也可以读 模型路由成本策略。

失败时看哪个区

规则化Workflow 的好处，是失败可以定位到区，而不是只说“Agent 不稳定”。

1. 输入区失败：字段缺失、文件路径错误、权限未配置。
2. 执行区失败：Skill 不存在、调用顺序错误、模型输出不符合预期。
3. 产物区失败：文件没落到 workspace、schema 缺字段、证据不够。
4. 风险区失败：Trust Mode 没拦住高风险动作，或确认人没有可操作选项。

这也是为什么 Trust Mode 邮件确认 和 定时 AI 数字员工治理 要一起看。前者控制动作，后者控制持续运行。

上线前的四个验证问题

Q1：输入是否真的稳定？
同一任务连续运行三次，Source Data 字段不靠聊天记录补齐，缺字段时能明确拒绝。

Q2：产物是否能独立验收？
每次运行都能在 workspace 找到文件、来源映射和结构化输出，负责人不用翻对话才能判断结果。

Q3：高风险动作是否被拦住？
发送、发布、覆盖、删除和外部调用都被 Trust Mode 或 Auth 拦住，确认人能看到受影响对象和风险原因。

Q4：失败后能否恢复？
失败后能知道是输入区、执行区、产物区还是风险区出问题，并能从对应步骤重跑或修正。

先把边界写出来

要让 AI 数字员工稳定运行，先不要争论“规则强还是模型强”。拿一条重复任务，写出输入规则、产物规则、LLM 任务区和 Trust Mode 边界，再下载 Axon 做手动试跑。阅读更多 Trust Mode、模型路由和定时治理文章，把规则化Workflow 变成低风险自动化的底盘。