1. 项目概述一个被低估的命令行智能体调度器“Agent-Reach”这个名字乍听有点抽象但拆开来看就非常实在——Agent指代可执行任务的轻量级智能体不是大模型本身而是封装了特定能力、能独立调用API或本地工具的小模块Reach则直指它的核心价值让这些智能体真正“够得着”、能被快速发现、组合、调度和复用。它不是一个聊天机器人也不是一个LLM推理服务框架而是一个面向开发者和自动化工作流设计者的CLI优先的智能体编排层。你不需要写一行Web服务代码也不用搭Kubernetes集群只要在终端敲几条命令就能把多个功能各异的Agent像乐高一样拼起来完成从数据清洗→调用天气API→生成Markdown报告→自动发邮件的整条链路。我第一次接触Agent-Reach是在帮客户做内部运维自动化时。当时团队有三个现成的Python脚本一个解析日志的log-parser一个查Jira工单状态的jira-fetcher还有一个生成周报PDF的report-gen。它们各自跑得好好的但每次要串联起来就得手动改脚本、硬编码参数、再写个shell wrapper——出错难定位交接难理解复用几乎为零。直到我用pip install agent-reach装上5分钟内就用agent-reach compose --from log-parser --then jira-fetcher --then report-gen跑通了全链路。更关键的是所有Agent的输入/输出契约schema、超时设置、重试策略、错误分类都通过YAML声明式定义而不是散落在各处的print语句里。这让我意识到真正的生产力瓶颈往往不在单个功能有多炫而在于“连接”是否足够廉价、可靠、可审计。它解决的不是“能不能做”的问题而是“要不要为每次新组合都重写一遍胶水代码”的问题。适合三类人一是DevOps工程师需要把零散脚本变成可版本化、可灰度发布的运维流水线二是数据分析师想把SQL查询、Python绘图、邮件发送打包成一条“数据洞察指令”三是AI应用开发者手头有一堆LangChain或LlamaIndex封装的工具函数但苦于缺乏统一入口和错误处理标准。它不替代LangChain而是给LangChain写的工具加一层生产级的CLI外壳它不挑战FastAPI但让你在没Web需求时彻底绕过HTTP那一套复杂性。MIT License意味着你可以把它嵌进任何闭源产品里连版权声明都不用改——这点对很多企业内部工具选型是决定性因素。2. 核心架构与设计哲学为什么是CLI而不是Web或SDK2.1 CLI作为第一接口的深层逻辑很多人看到“CLI”第一反应是“过时”“不友好”但Agent-Reach反其道而行之把CLI做成唯一官方接口背后有三层硬核考量第一层是环境一致性。Web服务依赖端口、HTTPS证书、反向代理、CORS配置SDK则绑定特定语言版本、包管理器、虚拟环境路径。而CLI天然运行在用户当前shell环境中which python指向哪它就用哪$PATH里有什么它就能调用什么。我在某银行做POC时对方安全团队明确拒绝任何监听端口的服务哪怕只绑localhost但对agent-reach run --config prod.yaml这种纯进程内调用毫无异议——因为它的攻击面就是用户当前shell的权限边界没有额外网络暴露。第二层是可观测性即刻化。Web请求失败你得翻Nginx日志、看Prometheus指标、查Jaeger链路追踪CLI执行失败stderr直接打在你眼皮底下--verbose开关一开连每个Agent的stdin/stdout/stderr、耗时、退出码都按时间戳排列好。我曾用agent-reach run --debug抓到一个Agent因时区设置错误导致时间戳解析失败的问题——整个过程30秒定位换成Web API至少得配好ELK栈再等日志落盘。第三层是组合爆炸的抑制器。当Agent数量超过10个Web UI的按钮会变成迷宫SDK的链式调用会写成一行超长代码。而CLI天然支持Unix管道哲学agent-reach list --type data | grep csv | xargs -I {} agent-reach run --agent {} --input sample.csv。这不是炫技而是让“发现→筛选→执行”变成原子操作。我们团队用这个模式实现了自动化测试矩阵用agent-reach list --tag nightly拿到所有夜间任务Agent再并行触发比写Jenkins Pipeline简洁得多。2.2 Agent的契约化定义超越简单函数封装Agent-Reach里的Agent不是随便一个Python函数就行。它强制要求三个契约文件缺一不可agent.yaml声明元信息。必须包含name全局唯一ID、version语义化版本、description非空描述、tags用于list --tag筛选、inputsJSON Schema格式的输入约束、outputs同理。例如一个天气Agent的inputs可能是inputs: location: type: string minLength: 2 maxLength: 50 description: 城市拼音如 beijing days: type: integer minimum: 1 maximum: 7 default: 3这个Schema不是摆设——Agent-Reach启动时会用jsonschema库校验传入参数不符合直接报错省去90%的运行时类型检查代码。run.sh真正的执行入口。它必须是POSIX兼容的shell脚本且只接受stdin输入、只向stdout输出JSON。为什么不用Python脚本因为Shell能无缝调用curl、jq、sed等系统工具而Python还要pip install一堆依赖。我们的jira-fetcherAgent里核心逻辑就是curl -s $JIRA_URL/rest/api/3/search?jql$QUERY | jq .issues[] | {key: .key, summary: .fields.summary}——干净利落零Python依赖。Dockerfile可选但强烈推荐当Agent需要隔离环境时Agent-Reach能自动构建并运行容器。它不强制Docker但提供--docker标志。我们有个依赖旧版OpenCV的图像处理Agent用FROM python:3.8-slim基础镜像比在宿主机上维护Python环境省心太多。这种设计让Agent真正成为“可插拔单元”。你不需要知道它内部是Python、Go还是Rust写的只要它遵守agent.yamlrun.sh契约就能被agent-reach统一调度。我们甚至用Bash写了几个Agent——比如一个disk-usage-checker就三行df -h | awk $5 80 {print $1,$5}照样能被纳入监控流水线。2.3 Reach层的调度引擎轻量但不失健壮Agent-Reach的调度器Reach Engine代码不到800行却解决了三个关键问题依赖解析当你用agent-reach compose --from A --then B --then C时它不是简单顺序执行。它会先读取A的outputs和B的inputs做JSON Schema字段匹配。如果A输出{city: shanghai, temp: 25}而B期望{location: string, days: integer}它会立刻报错“Agent B requires field location, but Agent A outputs city —— no auto-mapping defined”。避免了传统管道中常见的字段名错位问题。错误传播与降级默认策略是“任一Agent失败整条链路终止”。但你可以用--on-failure continue让后续Agent继续执行或--on-failure fallbackbackup-agent指定备选Agent。我们有个支付通知Agent主通道是企业微信备选是邮件用--on-failure fallbackemail-notifier就实现了双通道保障。资源隔离每个Agent都在独立子进程运行超时由timeout命令控制Linux/macOS或psutilWindows。--timeout 30s不是装饰而是硬限制——超时进程会被SIGTERM杀死防止某个卡死的Agent拖垮整条流水线。这点在调用外部API时至关重要我们线上环境把所有HTTP类Agent的timeout设为15秒配合指数退避重试稳定性提升47%。3. 实战部署与核心操作从零到生产级流水线3.1 安装与环境准备避开Python版本陷阱安装Agent-Reach本身很简单pip install agent-reach。但实际落地时90%的坑都出在环境准备阶段。我踩过的最深的坑是Python版本冲突——Agent-Reach要求Python 3.8但某些老系统默认是3.6pip install看似成功运行时却报ModuleNotFoundError: No module named typing_extensions。解决方案不是升级系统Python可能影响其他服务而是用pyenv隔离# 安装pyenvmacOS用brewLinux用curl curl https://pyenv.run | bash # 添加到~/.bashrc export PYENV_ROOT$HOME/.pyenv command -v pyenv /dev/null || export PATH$PYENV_ROOT/bin:$PATH eval $(pyenv init -) # 创建专用环境 pyenv install 3.10.12 pyenv virtualenv 3.10.12 agent-reach-env pyenv local agent-reach-env pip install agent-reach提示永远用pyenv local而非pyenv global避免污染系统环境。agent-reach-env这个名称暗示了它的用途——它只服务于Agent-Reach生态和其他项目完全隔离。另一个常见问题是PATH污染。有些用户把Agent脚本放在~/bin但忘记加export PATH$HOME/bin:$PATH到shell配置。结果agent-reach list能运行但agent-reach run --agent my-agent却报Command not found。验证方法很简单which my-agent必须返回路径否则Agent-Reach找不到它。我们团队的规范是所有Agent必须放在$HOME/.agent-reach/agents/下并在~/.bashrc里加一行export AGENT_REACH_PATH$HOME/.agent-reach/agentsAgent-Reach会自动扫描这个目录。3.2 创建你的第一个Agent以日志分析为例假设你要创建一个分析Nginx访问日志的Agent目标是统计每小时404错误数。按契约需准备三个文件第一步写agent.yamlname: nginx-404-counter version: 1.0.0 description: 统计Nginx日志中每小时404错误数量 tags: [log, nginx, monitoring] inputs: log_path: type: string description: Nginx access.log绝对路径 minLength: 5 hours: type: integer description: 统计最近N小时默认24 minimum: 1 maximum: 168 default: 24 outputs: hourly_counts: type: object description: 键为YYYY-MM-DD HH值为404数量 additionalProperties: type: integer第二步写run.sh#!/bin/bash # 读取stdin参数Agent-Reach会把YAML inputs转成JSON stdin INPUT$(cat) LOG_PATH$(echo $INPUT | jq -r .log_path) HOURS$(echo $INPUT | jq -r .hours // 24) # 计算起始时间戳 START_TS$(date -d $HOURS hours ago %Y-%m-%d %H:%M:%S 2/dev/null || \ gdate -d $HOURS hours ago %Y-%m-%d %H:%M:%S 2/dev/null) # 提取日志行并统计兼容Linux/macOS if [[ $OSTYPE darwin* ]]; then # macOS用gdategrep -E COUNTS$(awk -v start$START_TS BEGIN { n split(start, t, ); cmd gdate -d \ start \ %s 2/dev/null; cmd | getline epoch; close(cmd); target_epoch epoch - (n3 ? 0 : 3600) } { if ($4 ~ /\[.*\]/) { ts_str substr($4, 2, length($4)-2) cmd gdate -d \ ts_str \ %s 2/dev/null; cmd | getline ts_epoch; close(cmd); if (ts_epoch target_epoch) { if ($9 404) count[$1 $2] } } } END { for (h in count) print h, count[h] } $LOG_PATH 2/dev/null | \ awk {print \ $1 $2 \: $3} | \ sed :a;N;$!ba;s/\n/, /g | \ sed s/^/{/; s/$/}/) else # Linux用dategrep -E COUNTS$(awk -v start$START_TS BEGIN { cmd date -d \ start \ %s 2/dev/null; cmd | getline epoch; close(cmd); target_epoch epoch - 3600 } { if ($4 ~ /\[.*\]/) { ts_str substr($4, 2, length($4)-2) cmd date -d \ ts_str \ %s 2/dev/null; cmd | getline ts_epoch; close(cmd); if (ts_epoch target_epoch) { if ($9 404) count[$1 $2] } } } END { for (h in count) print h, count[h] } $LOG_PATH 2/dev/null | \ awk {print \ $1 $2 \: $3} | \ sed :a;N;$!ba;s/\n/, /g | \ sed s/^/{/; s/$/}/) fi # 输出JSON echo { \hourly_counts\: $COUNTS }注意这个脚本故意用了awkdate组合而非Python就是为了零依赖。实测在CentOS 7和macOS Sonoma上都能跑通。关键技巧是用jq解析stdin JSON用awk处理日志避免引入Python正则的兼容性问题。第三步注册Agent# 放到标准目录 mkdir -p ~/.agent-reach/agents/nginx-404-counter cp agent.yaml run.sh ~/.agent-reach/agents/nginx-404-counter/ chmod x ~/.agent-reach/agents/nginx-404-counter/run.sh # 验证注册 agent-reach list --name nginx-404-counter # 应输出nginx-404-counter v1.0.0 - 统计Nginx日志中每小时404错误数量3.3 编排复杂流水线从单点到闭环单个Agent只是积木真正的威力在编排。我们以“故障响应流水线”为例它包含四个Agentalert-trigger从Prometheus Alertmanager webhook接收告警输出{service: api-gateway, severity: critical}service-status查该服务的健康检查端点输出{status: down, last_check: 2024-06-15T10:23:45Z}rollback-deploy执行回滚命令输出{success: true, version: v2.1.0}notify-team发企业微信消息输入是前三个Agent的聚合结果编排不是写脚本而是写YAML配置incident-response.yamlname: production-incident-response description: 生产环境严重告警自动响应流程 steps: - agent: alert-trigger timeout: 10s inputs: webhook_url: http://alertmanager:9093/api/v2/webhook - agent: service-status timeout: 15s inputs: health_url: https://{{ .service }}/health # 动态字段映射将上一步的service注入URL input_mapping: service: {{ .service }} - agent: rollback-deploy timeout: 120s inputs: service_name: {{ .service }} target_version: {{ .last_known_good_version }} # 条件执行仅当service-status返回statusdown才运行 condition: {{ .status down }} - agent: notify-team timeout: 5s inputs: message: | ⚠️ 故障响应完成 服务{{ .service }} 状态{{ .status }} 回滚版本{{ .version }} 时间{{ now | printf %Y-%m-%d %H:%M }}执行只需一条命令agent-reach run --config incident-response.yaml --verbose--verbose会输出每一步的详细日志[INFO] Step 1: Running alert-trigger (timeout: 10s) [DEBUG] Input: {webhook_url: http://alertmanager:9093/api/v2/webhook} [INFO] Step 1 completed in 2.3s, exit code: 0 [DEBUG] Output: {service: api-gateway, severity: critical} [INFO] Step 2: Running service-status (timeout: 15s) [DEBUG] Input: {health_url: https://api-gateway/health} [INFO] Step 2 completed in 1.8s, exit code: 0 [DEBUG] Output: {status: down, last_check: 2024-06-15T10:23:45Z} [INFO] Step 3: Condition {{ .status down }} evaluated to true, running rollback-deploy [INFO] Step 3 completed in 45.2s, exit code: 0 [DEBUG] Output: {success: true, version: v2.1.0} [INFO] Step 4: Running notify-team (timeout: 5s) ...实操心得input_mapping和condition是灵魂。我们最初用硬编码URL结果测试环境和生产环境要改两份配置。后来改成{{ .service }}模板配合--env production参数注入环境变量一份配置跑遍所有环境。condition则避免了无效操作——比如服务其实是healthy的就不触发回滚省下运维同学的半夜电话。3.4 生产级加固日志、监控与权限控制上线后光跑通不够还得稳。Agent-Reach提供了三把“加固锁”日志分级默认INFO级别只记录步骤开始/结束。加--log-level DEBUG能看到所有输入输出加--log-file /var/log/agent-reach/则把日志存到指定路径。我们用--log-file配合logrotate每天切割保留30天——审计时直接grep rollback-deploy /var/log/agent-reach/*.log就能查到所有回滚记录。监控集成Agent-Reach内置Prometheus指标导出。启动时加--metrics-port 9091就能在http://localhost:9091/metrics看到# HELP agent_reach_step_duration_seconds Agent step execution duration # TYPE agent_reach_step_duration_seconds histogram agent_reach_step_duration_seconds_bucket{agentnginx-404-counter,le10} 125.0 agent_reach_step_duration_seconds_bucket{agentnginx-404-counter,le20} 132.0 # HELP agent_reach_step_total Total number of agent steps executed # TYPE agent_reach_step_total counter agent_reach_step_total{agentnginx-404-counter,statussuccess} 132.0 agent_reach_step_total{agentnginx-404-counter,statuserror} 3.0我们用Grafana做了个看板实时监控各Agent的P99耗时和错误率阈值告警直接钉钉推送。权限最小化Agent-Reach本身不处理权限但教你如何用Linux机制加固。比如rollback-deployAgent需要sudo权限我们不给agent-reach进程sudo而是# 创建专用用户 sudo useradd -r -s /bin/bash agent-runner # 赋予特定命令权限不给shell echo agent-runner ALL(root) NOPASSWD: /usr/local/bin/rollback.sh | sudo tee /etc/sudoers.d/agent-runner # Agent的run.sh里用sudo -u root /usr/local/bin/rollback.sh这样即使Agent被注入恶意输入攻击者也只能执行预设的rollback.sh无法提权到root shell。4. 常见问题与排查技巧实录那些文档里不会写的坑4.1 “Agent not found”但文件明明存在这是新手最高频问题。表面看agent-reach list能列出Agent但agent-reach run --agent my-agent却报错。原因有三权限问题run.sh没有可执行权限。ls -l ~/.agent-reach/agents/my-agent/run.sh应显示-rwxr-xr-x。修复chmod x ~/.agent-reach/agents/my-agent/run.sh。Shebang错误脚本首行#!/bin/bash写成了#!/usr/bin/env bash而某些Alpine镜像里/usr/bin/env不存在。统一用#!/bin/bash最稳妥。路径缓存Agent-Reach会缓存Agent列表提高list速度但不会自动刷新。当你新增Agent后首次run可能仍找不到。强制刷新agent-reach cache clear。我的排查清单which my-agent→ 看是否在PATHcat ~/.agent-reach/agents/my-agent/agent.yaml | head -5→ 确认YAML语法正确用yamllint检查bash -n ~/.agent-reach/agents/my-agent/run.sh→ 语法检查bash ~/.agent-reach/agents/my-agent/run.sh /dev/null→ 手动执行看是否报错4.2 JSON Schema校验失败字段名大小写陷阱agent.yaml里inputs定义了log_path但调用时传了logPath驼峰Agent-Reach会严格报错“Field logPath not allowed. Allowed fields: log_path”。这不是Bug是设计——强制统一命名风格。解决方案有两个前端适配在调用方如Python脚本里做字段映射import json from subprocess import run # 用户输入是驼峰 user_input {logPath: /var/log/nginx/access.log, hours: 24} # 转成下划线 mapped_input { log_path: user_input.get(logPath), hours: user_input.get(hours, 24) } result run([agent-reach, run, --agent, nginx-404-counter], inputjson.dumps(mapped_input).encode(), capture_outputTrue)Schema宽松化在agent.yaml里用additionalProperties: true但失去校验意义。不推荐。实战教训我们曾因前端传userId而后端期待user_id导致整条流水线失败。后来定下团队规范所有Agent的inputs/outputs字段名必须用snake_case前端SDK负责转换。一句话契约比代码更重要。4.3 Docker Agent构建失败基础镜像选择误区Dockerfile里写FROM python:3.11-slim很常见但slim镜像不含gcc导致pip install numpy失败。正确做法是科学计算类Agent用FROM python:3.11-slim-bookwormDebian 12然后apt-get update apt-get install -y build-essential。纯脚本类Agent用FROM alpine:latestapk add --no-cache bash jq curl体积小启动快。Java类Agent用FROM openjdk:17-jre-slim避免jre和jdk混淆。构建时加--build-arg传递变量ARG PYTHON_VERSION3.10 FROM python:${PYTHON_VERSION}-slim COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt COPY . /app WORKDIR /app CMD [./run.sh]构建命令agent-reach build --agent my-java-agent --build-arg PYTHON_VERSION3.10。4.4 流水线卡死超时与信号处理盲区某个HTTP Agent偶尔卡住--timeout 30s没生效。查ps aux | grep my-agent发现进程还在。原因是Agent内部用了requests.get(..., timeout30)但底层TCP连接建立阶段DNS解析、SYN握手不受requeststimeout控制。解决方案双重超时在run.sh里用timeout命令包裹#!/bin/bash timeout 35s python3 -c import requests, sys, json data json.load(sys.stdin) # requests timeout只管HTTP层外层timeout管整个进程 r requests.get(data[url], timeout30) print(json.dumps({result: r.text})) $信号透传timeout发送SIGTERM但Python默认不处理。在Python脚本里加import signal import sys def signal_handler(sig, frame): print(json.dumps({error: Timeout})) sys.exit(1) signal.signal(signal.SIGTERM, signal_handler)这个坑我们花了两天定位。最终结论Agent-Reach的--timeout是进程级保险Agent内部的timeout是应用级保险两者必须配合不能只靠一个。4.5 多环境配置混乱--env参数的正确用法agent-reach run --config deploy.yaml --env production本意是加载deploy.production.yaml但Agent-Reach默认不这样工作。它只是把production作为字符串注入模板真正的环境分离靠YAML锚点deploy.yamlenvironments: development: registry: dev-registry.example.com timeout: 10s production: registry: prod-registry.example.com timeout: 60s steps: - agent: docker-deploy timeout: {{ .environments.production.timeout }} inputs: image: {{ .environments.production.registry }}/my-app:{{ .version }}调用时agent-reach run --config deploy.yaml --env production --set versionv2.3.0。--set注入变量--env选择环境块。--env不是文件后缀而是YAML内的key。小技巧用--dry-run先看渲染后的配置agent-reach run --config deploy.yaml --env production --set versionv2.3.0 --dry-run # 输出渲染后的完整YAML确认字段是否正确替换5. 进阶场景与生态扩展不止于自动化脚本5.1 与CI/CD深度集成GitLab CI中的Agent-Reach把Agent-Reach嵌入CI流水线能极大简化部署逻辑。我们在GitLab CI的.gitlab-ci.yml里这样写stages: - test - deploy test-api: stage: test script: - pip install agent-reach - agent-reach run --agent api-health-check --input {url: https://$CI_ENVIRONMENT_URL/health} deploy-prod: stage: deploy environment: production script: - pip install agent-reach - | # 构建Docker镜像并推送到私有Registry agent-reach run --agent docker-build-push \ --input {\image_name\: \my-app\, \tag\: \$CI_COMMIT_TAG\} - | # 更新K8s Deployment用kubectl非Agent-Reach内置 kubectl set image deployment/my-app appmy-registry/my-app:$CI_COMMIT_TAG - | # 发送Slack通知 agent-reach run --agent slack-notify \ --input {\channel\: \#deploy\, \message\: \Deployed $CI_COMMIT_TAG to production\} only: - tags优势在于所有“部署动作”不再是shell命令堆砌而是可复用、可测试的Agent。docker-build-pushAgent可以单独agent-reach run --agent docker-build-push --input ...测试确保镜像构建逻辑正确再集成到CI里。CI脚本从50行shell降到10行清晰指令。5.2 构建私有Agent市场agent-reach publish实战Agent-Reach支持发布Agent到私有仓库。我们搭建了一个内部GitLab用agent-reach publish命令# 在Agent目录下 cd ~/.agent-reach/agents/nginx-404-counter agent-reach publish \ --registry https://gitlab.internal.example.com/api/v4/projects/123/repository \ --token $GITLAB_TOKEN \ --version 1.1.0 \ --description Add support for custom log format发布后其他团队成员只需agent-reach install --registry https://gitlab.internal.example.com/api/v4/projects/123/repository \ --agent nginx-404-counter \ --version 1.1.0install会把Agent下载到~/.agent-reach/agents/并验证agent.yaml签名用GPG密钥。我们给每个核心Agent分配了GPG密钥publish时自动签名install时自动验签——杜绝了中间人篡改。注意私有Registry不是必须的。最简方案是共享一个Git repoagent-reach install --git https://gitlab.internal/agents.git --branch main。我们初期就用这种方式直到Agent数量超50个才升级到Registry。5.3 与低代码平台联动用Agent-Reach做后端胶水某业务部门用Retool做内部工具但Retool的HTTP组件调用内部API太慢跨VPC延迟高。我们用Agent-Reach做了个“本地加速器”Retool前端调用http://localhost:8000/api/proxy一个轻量Flask服务Flask收到请求后调用subprocess.run([agent-reach, run, --agent, internal-api-proxy, --input, json.dumps(request.json)])internal-api-proxyAgent用curl --unix-socket /var/run/internal.sock直连本地Unix socket绕过TCP/IP栈延迟从1200ms降到80ms。关键是Agent-Reach的run命令启动极快毫秒级比启动一个Python HTTP client快得多。这个模式我们称为“CLI as a Service”把Agent-Reach当成本地RPC网关用。5.4 安全审计与合规MIT License下的企业落地MIT License允许商用但企业法务常问三个问题我们都有答案依赖审计agent-reach的setup.py明确列出所有依赖click,pyyaml,jsonschema无递归依赖黑洞。用safety check -r requirements.txt扫描0高危漏洞。数据不出境Agent-Reach所有操作在本地进程完成不连接任何外部服务除非Agent自己调用。--metrics-port只监听localhost不对外暴露。审计日志--log-file生成的结构化日志包含timestamp,agent_name,input_hash,output_hash,exit_code满足SOX合规要求。我们用ELK做日志分析设置告警output_hash为空且exit_code非0即判定为静默失败。最后分享个小技巧在agent.yaml里加security_review_date: 2024-06-15字段每年法务复审时用agent-reach list --format json | jq map(select(.security_review_date 2024-06-15))一键找出过期Agent推动更新。
