你的 AI agent 还在"跑崩了从头再来"？Stanford 把 git 搬进了 agent 运行时

用 git 思维管理 AI agent 的每一步，让试错和回滚变得高效可控，迈向可监督、可训练的下一代智能体。

先一句话说清这个项目在干嘛：Shepherd 把一个 AI agent 干活的每一步，每次调用模型、每次调工具、每次改动文件，都录成一条像 git 一样可以回退的轨迹。任意一步都能分叉、重放、回退，而且 agent 干出来的东西先当“待审提案”存着，你不点接受，它就不碰你真实的文件。

这解决的是做 agent 的人天天在受的三个罪：agent 跑到一半崩了只能从头再来、想改中间一步就得把后面整段重新烧一遍 token、以及 agent 直接上手改你的代码库却拦不住。对做 agent 产品或做 agent 训练的团队，这意味着让 agent 反复试错这件事第一次变得

：它 fork 一个 agent 连同它的运行环境，比 docker commit 快 5 倍，重放时复用 95% 的 KV 缓存，回退重跑不用重新烧钱。

往大了说，这是一块地基。它出自 Stanford 的 Christopher Manning 和 DSPy 作者 Dilara Soylu 等人之手，冲的不是“再做一个 agent 框架”，而是

。用一个 agent 去盯着、优化、训练另一个 agent，这类“meta-agent”缺的正是这块底座。

01 它到底解决什么，又强在哪

Shepherd 现在是 alpha 阶段，MIT 协议，Python 写成，pip install shepherd-ai 就能装，GitHub 上开源两周多涨到 722 star，配套还有一篇 50 页的 arXiv 论文（编号 2605.10913）。

它最硬的东西有两个，都不是“模型更强”这种话。

第一个是

。agent 的每一个动作，模型输出、工具调用、环境改动，都被记成一个带类型的事件，串成一条可回退的轨迹。你可以把任意一个历史状态 fork 出来接着跑，可以重放，可以回退到任意一步。市面上大多数 agent 系统只给你看事后的日志和快照，meta-agent 想介入只能自己瞎猜着重建状态。Shepherd 把“执行过程”本身变成了一个可以拿在手里、随时改写的一等对象。

第二个是

。在 Shepherd 里，一个任务是一个没有函数体的 Python 函数，签名和 docstring 就是给 agent 的契约。你在参数上写 ReadOnly 还是 ReadWrite，这个授权会被编译进操作系统的 syscall jail（macOS 用 Seatbelt，Linux 用 Landlock）。agent 越权去写一个只读的仓库，是在内核那一层被直接拒掉的，不是等到最后合并时才被拦。读这个函数签名，就是在读这次运行的权限地图。

配套还有个叫 retained output 的机制：agent 干完活，产物是一份“待审提案”，安全地放在一边，你可以先运行看看效果，觉得行就 select 留下，不行就 discard 扔掉，轨迹两种都记得。

论文自报了三组数字来证明它有用。一个盯着多个编程 agent、防止它们互相打架的监督 meta-agent，把 CooperBench 上的结对编程通过率从 28.8% 拉到了 54.7%；一个专门修工作流的 meta-agent，在 Terminal-Bench 2.0 上比 MetaHarness 高 12.8 个百分点，还省了 58% 的墙钟时间；一个做 RL 训练、专门挑分叉点的 meta-agent，把 GRPO 在 Terminal-Bench 2.0 上的提升直接翻了一倍。

02 放进历史里看：从“跑 agent”到“管 agent”的底座

判断一个基础设施项目的分量，要看它站在哪条演进线上。

过去一年被反复讨论的 loop-engineering，讲的是别再人工逐条催 agent 干活，要设计一套会自己反复循环的系统，还诚实地承认自动化本身会欠债，给了 L1 报告制到 L3 无人值守的分级放权。

：loop-engineering 讲的是“该不该放权、放到哪一级”，Shepherd 给的是“放权之后，怎么把 agent 的每一步都攥在手里、随时能回退”。没有可回退的底座，分级放权只能靠人盯,盯不过来。

另一条线是安全边界。之前聊过的开源浏览器 agent webbrain，把第三方内容标成不可信、写操作要手动 /allow-api 放行，是一套

：靠 agent 自觉、靠提示拦截。Shepherd 走到了另一个极端，权限直接压到内核的 syscall 层，越权的写在系统调用那一刻就被拒。一个是“劝阻”，一个是“物理拦截”，这是 agent 安全从应用层往下沉到操作系统层的信号。

把这两条线合起来看，Shepherd 想占的位置很清楚：当 agent 从“一个能干活的工具”变成“需要被另一个 agent 监督和训练的对象”，中间缺一个既能回放、又能拦、又能喂给 RL 反复试错的运行时。它要做的就是这块。

03 技术底层：把可逆性做成一等公民

对深度用户，真正值得看的是它凭什么这么快、这么稳，而不是功能列表。

从 harness engineering 的角度，它最聪明的一手是

。任务是无函数体的 Python 函数，agent 要填的是签名和 docstring 定义的那份合同，权限、输入、输出边界全在签名里。这把“agent 能干什么、不能干什么”从运行时的口头约束，变成了编译期就定死的类型和内核规则。

从 loop engineering 和 RL 的角度，fork 和 replay 就是给树搜索和强化学习的 rollout 用的。做 agentic RL 最大的成本是反复试错要一遍遍重跑，每次都从头烧 token。Shepherd 的 copy-on-write fork 连环境一起复制、重放复用 95% 的 KV 缓存，等于把“回到某个岔路口重来”的成本压到极低。它专门提出了 Tree-GRPO，让 meta-agent 去挑在哪个分叉点做信用分配，这是它能把 GRPO 提升翻倍的原因。

从架构上，它把“执行过程”抽象成了函数式编程里的一等对象：可以 hold 住、可以 inspect、可以 branch、可以 rewrite，就像操作一个普通函数。这套抽象是整个框架能成立的地基，也是它区别于“只存日志”的 observability 工具的根本。

诚实说一句：它现在是 alpha，API 还会变，论文里那些 benchmark 是团队自己跑的、还没有大规模第三方复现。看它的设计价值可以，但别当成已经在生产里被验证过的东西。

04 想上手，一步一步照着来

它的上手门槛比想象中低，命令可以直接抄。

装好就是一行:

pip install shepherd-ai

把一个目录变成 Shepherd 工作区，跑一个不需要任何 API key 的离线示例:

mkdir /tmp/shepherd-quickstart && cd /tmp/shepherd-quickstart
shepherd init  # 把当前目录变成工作区
shepherd demo write quickstart > quickstart_demo.py
python quickstart_demo.py
# 注册并运行一个任务,产物被保留
shepherd run list  # 看这次运行和它的状态
shepherd run changeset --latest  # 看它写了什么(作为待审提案留着)

想让真的 agent 干活，需要装好 claude CLI 并登录（有 Claude 订阅或 ANTHROPIC_API_KEY 都行），然后 shepherd demo write agent-task 那条路。产物落地成“待审提案”，你用 shepherd run select 留下、shepherd run discard 扔掉。没有 key 也能先用离线的确定性 provider 把整套机制跑一遍。

05 商业化：agent 可靠性和训练，正在变成一门生意

先看它自己：MIT 开源、学术团队出品，眼下是拿开源和论文攒口碑、攒生态的阶段，还没有明确的商业化动作。但它踩的赛道，是正在快速长钱的。

对想在这波里做事的人，有三个具体可落地的方向。

一是做

。企业把 agent 放进生产，最怕的就是不可控、出了事查不清、想回退回不去。围绕 Shepherd 这种可回放、可回退、内核级权限的底座，做一层企业级的审计、回放、灰度和权限管理，是能收订阅费的。对标的是这两年冒出来的一批 agent observability 公司，但 Shepherd 给的可逆性是它们大多没有的。

二是做

。会用 RL 训练 agent 的团队不多，而 Shepherd 的 fork 加 95% 缓存复用，正好把训练里最烧钱的反复试错成本压下来。给做 agent 的公司提供“基于 Shepherd 的 agent 训练/微调”服务，护城河是把这套底座和具体业务场景接起来的工程能力。

三是做

。金融、政务这类场景，agent 碰的是敏感系统，内核级 syscall jail 的隔离正好是硬需求。把开源底座做成能私有化部署、带合规审计的版本，按项目收费。

06 项目来源，自己上手核实

• ▪GitHub 仓库：github.com/shepherd-agents/shepherd
• ▪官网与文档：shepherd-agents.ai 、docs.shepherd-agents.ai
• ▪PyPI 包：shepherd-ai（pip install shepherd-ai）
• ▪论文：arXiv 2605.10913（50 页，22 图，14 表）
• ▪实验复现仓库：github.com/shepherd-agents/shepherd-experiments

07 站在全球和产业链上：meta-agent 是 agent 赛道的下一层

把镜头拉到最大，Shepherd 照出的是 agent 这门生意正在往下长一层。

过去两年，全球都在卷“怎么让 agent 把活干得更好”：更强的模型、更巧的 prompt、更全的工具。现在浮现出一个新的层次：

。用一个 agent 去管一批 agent，用可回放的轨迹去给 RL 做训练信号，这就是 meta-agent。Shepherd 是这一层里第一个把“可逆执行”做成正经底座的开源项目，顶着 Stanford 和 DSPy 的招牌。

产业链上，价值正在从“应用层的 agent”往下沉到“agent 的运行时和训练底座”。谁掌握了 agent 怎么被记录、被回放、被训练的这一层，谁就握住了 agent 可靠性和持续进化的入口。模型层在打价格战，应用层在卷同质化，而这个中间的运行时底座，是目前还很空、又极其关键的一块。

对中国也有一个真实的机会。国内在 agentic RL 这条路上并不落后，DeepSeek、Qwen 这些团队都在密集投入用 RL 训练 agent。Shepherd 是 MIT 开源的，

，不用从零造轮子。这不是“中国造了 Shepherd”，而是这块地基对所有在训练 agent 的人都免费开放，中国团队是其中拿得最顺手的一拨。谁先把它和国产模型、国产训练流程接顺，谁就在 meta-agent 这一层抢到了先手。

agent 的竞争，正在从“谁的 agent 更能干”，变成“谁更会训练和监督 agent”。Shepherd 把这场竞争需要的第一块地基，开源摆在了所有人面前。