背景：为什么做知识库问答 Agent
企业知识问答是 Agent 落地里风险相对可控、回报明确的切入点：它不改变核心交易系统，只服务于内部检索与建议。典型痛点包括：知识分散在多个系统、文档版本混乱、新人上手慢、重复问题消耗大量人力。
但一个裸聊的 LLM 直接答企业问题会幻觉、会泄露、会引用过期文档。要让它「可信」，必须把回答锚定在受控知识源上——这就是 RAG（检索增强生成）的价值。
架构选型：OpenClaw + RAG + MCP
本方案以 OpenClaw 作为 Agent 运行时，RAG 负责知识锚定，MCP 负责把 Agent 接到文件系统、向量库与业务系统。
| 层 | 职责 | 选型 |
|---|---|---|
| 摄入层 | 文档解析与清洗 | Markdown/PDF 解析 + 去重 |
| 切片层 | 分块与向量化 | 语义切片 + Embedding |
| 检索层 | 向量库查询 | 向量数据库（本地或私有云） |
| Agent 层 | 推理与编排 | OpenClaw（带 guardrail） |
| 工具层 | 外部能力 | MCP：filesystem / search / ticketing |
可复现部署步骤
以下步骤假设已具备 OpenClaw 运行环境与私有向量库，可在中等规模团队直接照做。命令为示意，请以你所在版本的实际子命令为准。
- 初始化 Agent：创建专用 kb-qa Agent，绑定企业模型与只读知识库角色。
- 接入文件系统 MCP：用 openclaw mcp add filesystem 把文档目录挂为只读工具，限制在知识库根路径内。
- 建立检索工具：部署向量库检索 MCP，让 Agent 在回答前先检索相关片段。
- 配置切片流水线：对入库文档做语义切片与去重，写入向量库；设置定时增量同步。
- 写系统提示：要求 Agent「先检索、再回答、标注来源、无来源则明说不知道」。
- 加护栏：input guardrail 拦截越权关键词，output guardrail 阻断含机密字段的回答。
- 接工单系统（可选）：用 ticketing MCP 让 Agent 在无法确定时建工单转人工。
- 灰度上线：先对 1–2 个部门开放，收集「答错/答不出」样本做评测与调优。
文件系统 MCP 必须只读且限定根路径；向量库与模型推理尽量留在企业内网。知识库问答 Agent 不该拥有写权限或跨库访问权限——这是避免「聊天框变后门」的底线。
Prompt 与护栏设计
- 来源可追溯：要求每个回答附带引用片段 ID，便于人工复核与审计。
- 拒答兜底：检索无结果时返回「知识库未覆盖，已转人工」，而非硬编答案。
- 隔离敏感域：薪酬、合同、未公开财报等走独立 Agent 与更严护栏，不混入通用知识库。
- 防投毒：文档摄入入口做内容审核，防止外部上传含虚假信息的 PDF 污染向量库。
ROI 测算：基于行业基准
知识库问答 Agent 的直接收益是「减少检索与重复答疑时间」。我们采用行业基准做保守测算，而非虚构某家公司的内部数字。
- DX 2025 跨公司研究（约 3.9 万名开发者样本）：日常 AI 用户每周人均节省约 3.75 小时。
- DORA 2025：约 90% 开发者已使用 AI 工具，交付吞吐量转正相关，但稳定性仍需配套工程。
以 200 人知识型团队、时薪 ¥120 估算：3.75 小时/周 × 52 周 × 200 人 × ¥120 ≈ ¥468 万/年 的生产力价值（这是知识型员工借助 AI 助手的上界估计，知识库问答场景需按实际采纳率打折）。若计入「新人上手提速、重复工单下降」，回报通常可在数月内覆盖部署与运维成本。
注意：该数字建立在「工具确实被日常使用」之上。若缺乏推广与评测，节省时间可能落空——ROI 的前提是采用率，而非许可证。
五条避坑指南
- Chunk 质量决定上限：切片过粗会召回噪声，过细会断章取义。先做小样本人工评测再全量入库。
- 长程验证债：Agent 答得快但答错时，错误会沿工作流放大（多步任务复合错误率可达三成量级），需保留人工复核环。
- 权限与数据不出墙：文件系统 MCP 必须只读且限根路径，模型推理尽量留内网，避免知识库变泄露面。
- 评估缺失即盲飞：没有「答错/答不出」样本库与定期评测，无法判断知识库是否退化或投毒。
- 人机协同边界模糊：哪些问题必须转人工、哪些可自主回答，要在上线前写清策略，而非上线后补救。
版本与安全注意
知识库问答是最容易暴露数据边界的场景。参考既有安全研究：RAG 投毒可让 Agent 一周后持续输出误导建议；OpenClaw 生态也曾出现因信任假设不当导致的大规模安全事件。生产环境建议：
- 对高合规要求场景，采用 NemoClaw 等带 NeMo Guardrails 的企业级加固发行版。
- 保留完整审计轨迹，满足金融、医疗等行业的问责要求。
- 把「localhost 安全假设」从设计里剔除——任何本地服务都不应默认可信。