指挥中枢模式
新手玩家把龙虾当聊天工具。高级玩家让龙虾自己跑定时任务。专家玩家把龙虾当作整个业务系统的"指挥中枢"——它负责理解意图、规划步骤、调度资源、处理异常，但不亲自干脏活累活。
这篇只讲一件事：龙虾该做什么，外挂该做什么，边界在哪。把这个想清楚，后面的 Skill 开发、系统集成、多 Agent 协同才有地基。
谁该读这篇
- 你已经玩透了 Cron 和基础 Skill
- 你想把龙虾接进真实业务（不是停留在"帮我写段话"）
- 你在纠结"这个活让龙虾做、还是写个独立服务做"
一、指挥中枢是什么
想象一家公司：
- CEO 不亲自打字、不亲自打电话、不亲自写代码——CEO 负责听信息、做判断、下指令
- 各部门（财务、法务、研发...）负责实际执行，把结果汇报给 CEO
- 秘书/流程 把指令准确传达，把汇报准确回收
OpenClaw 在专家玩家的架构里，扮演的就是 CEO + 秘书 的合体：
| 角色 | 谁来当 | 干什么 |
|---|---|---|
| CEO（大脑） | 龙虾 | 理解意图、拆任务、规划步骤、决策、应对异常 |
| 各部门（手脚） | 外挂系统 | 真正执行——查询数据库、调第三方 API、跑爬虫、发邮件... |
| 流程/秘书 | Skill / API 接口 | 把龙虾的指令翻译成外挂听得懂的协议，把外挂的返回翻译回龙虾 |
关键判断：龙虾是大脑，外挂是手脚，Skill 是神经。
二、为什么不能让龙虾啥都干
新手阶段你会觉得"龙虾太强了，啥都能干"。等业务真上量，你会撞上几堵墙：
墙 1：稳定性
大模型有幻觉、有概率失败。同一个 prompt 跑 100 次，可能有 1 次输出格式错、参数错、漏步骤。
- 如果只是聊天 —— 错一次无所谓，重说一次
- 如果是给客户发邮件 —— 错一次就是事故
- 如果是改生产数据库 —— 错一次可能要回滚半小时
专家玩家的原则：不可逆 + 高频 + 强格式 的操作，绝不交给龙虾直接做。让它做"决定要不要做"，让外挂做"实际怎么做"。
墙 2：性能
大模型每次调用都慢（秒级）、贵（按 token 计费）。
- 处理 10 条数据，龙虾自己干没问题
- 处理 1 万条数据，龙虾自己干 = 烧钱 + 超时
专家玩家的原则：批量、重复、纯计算 的活，交给外挂（一段 Python 脚本、一个数据库查询、一次 API 批调）。龙虾只做"判断这批数据要不要处理"。
墙 3：隐私 / 合规
龙虾的上下文是会沉淀到记忆的。如果你让龙虾直接处理客户身份证号、医疗病历、合同金额，这些敏感信息会进入它的长期记忆，后续可能在其他对话里漏出来。
专家玩家的原则：敏感数据不进龙虾上下文。让外挂做脱敏（只把摘要或 ID 给龙虾），龙虾基于脱敏后的信息决策。
三、什么活给龙虾，什么活给外挂
一个简单的判定流程：
这个活要干吗？
│
├─ 理解意图 / 规划步骤 / 应对异常
│ └─→ 龙虾干（这是大脑的本职）
│
├─ 强格式输出（JSON / SQL / 配置文件）
│ └─→ 龙虾起草，外挂校验和执行
│
├─ 重复 / 批量 / 纯计算
│ └─→ 外挂干，龙虾只决定要不要跑
│
├─ 不可逆操作（删数据 / 发钱 / 发对外消息）
│ └─→ 龙虾准备指令，外挂执行前必须人工确认
│
└─ 涉及敏感数据（PII / 凭证 / 商业机密）
└─→ 外挂脱敏后，龙虾只看脱敏结果四、一个真实例子：电商客服自动化工单
把上面的判定流程套到一个真实场景上。
业务：一个电商客服系统，客户通过飞书/微信咨询订单、退换货、发票。你想让龙虾接管 80% 的常见问题，剩下 20% 转人工。
错误做法（让龙虾啥都干）
龙虾直接连数据库查订单，直接改退款表，直接调支付接口退款。
问题：① 龙虾可能把订单号搞错；② 退款金额可能算错；③ 客户隐私（手机号、地址）全部进了龙虾记忆。
正确做法（指挥中枢模式）
| 层 | 谁来做 | 具体职责 |
|---|---|---|
| 接入层（外挂） | 你的客服网关 | 接收飞书/微信消息，转给龙虾；把龙虾的回复发回客户 |
| 脱敏层（外挂） | 你的客服 API | 收到"我的订单 12345 哪里了"，把订单号脱敏成 ORDER_A1B2，只把问题文本发给龙虾 |
| 决策层（龙虾） | OpenClaw | 理解问题（"查询物流" / "申请退款" / "开发票"），决定下一步动作 |
| 执行层（外挂） | 你的内部 API | 收到龙虾的"查 ORDER_A1B2 的物流"，内部还原成订单号 12345，查物流，返回结果（不带客户姓名地址） |
| 审计层（外挂） | 日志系统 | 记录每一步：龙虾决定做什么、外挂执行了什么、结果是什么 |
龙虾从头到尾没见过客户的真实订单号、姓名、地址，但客户得到了自然的对话体验。
五、Skill / 外挂 / 子 Agent 的分工
这三个概念新手容易混。在指挥中枢模式下：
| 概念 | 本质 | 例子 |
|---|---|---|
| Skill | 一段龙虾可以调用的代码（轻量） | "把 markdown 转成 PDF"、"调一下天气 API"、"读本地某个文件" |
| 外挂系统 | 一个独立部署的服务（重量级） | "客户管理系统"、"订单服务"、"爬虫集群" |
| 子 Agent | 龙虾派出去的"另一个龙虾"（同源） | "派一个子 agent 专门研究这块代码"、"派一个子 agent 做并行的市场调研" |
简化记忆：
- Skill = 龙虾的手指（动作简单、用完即弃）
- 外挂 = 龙虾的同事（独立人格、长期合作）
- 子 Agent = 龙虾的分身（同一个大脑、可以并发）
六、指挥中枢模式的三条铁律
如果你记不住前面的细节，记住这三条：
- 龙虾决策、外挂执行、不可逆操作必须人工确认
- 敏感数据不进龙虾上下文，脱敏后再给
- Skill 是神经、外挂是同事、子 Agent 是分身——别混用
七、下一步
- 自己写带 API 的 Skill：带 API 的 Skill 开发
- 集成具体外部系统的 cookbook：外挂集成 Cookbook
- 主 Agent + 子 Agent + 外挂如何协同：多 Agent + 外挂协同
- 多实例 + 持久化 + 监控的生产部署：生产部署实战
