Tandem：为多智能体系统装上「运行时安全阀」

2025年某科技公司的AI助手在处理客服工单时，意外读取了一封高管未发出的邮件草稿，并自动起草了一封「改革宣言」差点引发Slack地震。这不是AI「发疯」，而是权限失控。Tandem正是为解决这个问题而生：它不负责让AI更聪明，而是确保AI只能在被允许的范围内行动。

Agent正在成为Worker

随着Claude 4、GPT-5等大模型能力的爆发，AI Agent已从「聊天机器人」演变为真正的「数字工作者」：读取公司内部文档、起草提交Pull Request、操作项目管理工具、访问客户数据、自动化执行长期工作流。当Agent触达这些真实系统时，传统prompt约束已力不从心。模型提议，Tandem执行。

Tandem是什么

Tandem（双人自行车）是AI Agent与公司工具之间的运行时权限控制层：在模型推理之外构建独立于LLM的控制平面。Tandem不依赖prompt约束AI，而是通过工具可见性、工具执行、人工审批、记忆范围和审计追踪等机制在运行时实施控制。

核心功能

持久化状态管理：Tandem采用持久化工作流状态，runs、sessions、memory、context均独立于模型上下文窗口，确保长时间任务不因上下文耗尽而中断。

运行时工具作用域：Agent在某个工作流步骤中只能看到被显式授权的工具。例如客服Agent可以调用「起草回复」但看不到「发送邮件」——除非经过审批门。这种「最小权限原则」通过tandem-tools和tandem-governance-engine crates在Rust层面实现，Agent无法通过prompt注入绕过。

权限化公司记忆：tandem-memory模块支持按tenant、team、project或user粒度设置记忆访问权限。某团队运行的Agent只能检索被允许的知识空间，越权检索会被静默拒绝或触发告警。

MCP协议集成：Tandem天然支持MCP（Model Context Protocol），不绑定特定模型提供商——OpenRouter、Anthropic、OpenAI、OpenCode Zen或本地Ollama均可作为后端。

多端入口：一个engine runtime + 多个客户端——tandem-desktop（Tauri桌面端）、tandem-server（HTTP/SSE API服务器，内嵌Web控制台）、tandem-tui（终端文本界面）、npm/pip SDK。

技术架构

Rust编写，28个crate的workspace：tandem-core（会话/状态/配置/权限路由/引擎循环）、tandem-server（HTTP/SSE API、workflows、自动化引擎）、tandem-runtime（PTY、LSP、MCP辅助）、tandem-governance-engine（治理策略引擎）、tandem-memory（存储/Embedding/检索）、tandem-providers（模型提供商注册）、tandem-workflows（工作流规范）、tandem-browser（浏览器自动化）、tandem-channels（Discord/Slack/Telegram集成）。engine/ crate构建tandem-ai npm包和tandem-engine二进制。

部署体验

优点：本地优先（数据不出本地）、多模型支持（不绑定提供商）、Rust高性能低内存、审计完备满足合规。

挑战：门槛较高（需Rust编译环境）、无Docker/预编译包（需从源码构建）、BUSL-1.1许可（商业源码协议）、生态初期（2026年1月创建）。

适合场景：企业内部AI治理、多Agent协作平台、合规要求高的行业（金融/医疗/法律）、MCP工具生态集成。

不适合：快速验证AI能力的个人开发者、无Rust团队支撑的企业、需要完全开源协议的项目。

行业意义

随着EU AI Act和各國AI监管法规推进，AI Agent的可审计性将成为刚需。Tandem率先在架构层面解决的不是「让AI说什么」，而是「让AI只能做什么」——本质范式转变。

数据截至2026-08-03。MIT/Apache-2.0（部分BUSL-1.1）许可。