Agent已经能点网页，为什么还要专门设计“交还窗口”？LangChain在10月29日发布Managed Deep Agents 0.10，把浏览器操作和异步子任务放进同一轮托管能力更新。对企业来说，值得关注的不是演示中鼠标动得多快，而是遇到登录、人工确认或长任务时，谁能继续操作、结果回到哪里，以及原来的审批会不会被绕开。

快速看点：这是LangSmith Cloud上的公共测试版，不是所有开源Deep Agents自动获得的正式能力；浏览器可按对话或用户保存状态；人工接管期间Agent不能继续操作该窗口；后台子任务共享沙箱，不等于另起一个隔离的权限边界。

浏览器能复用，登录状态也会跟着复用

开发者在Agent根目录声明浏览器配置后，托管平台提供远程浏览器，并可通过私有桥接访问Agent沙箱里的本地服务，适合检查页面或测试界面。工具覆盖页面快照、脚本执行、截图与人工交接；如果业务已有稳定API，文档仍建议优先使用接口，而非强行模拟点击。

默认范围是thread：同一对话在不同轮次复用浏览器，新对话不会自动取得其他对话的登录状态。切换为user后，同一已验证用户的多个对话共享浏览器、各开窗口，Cookie和登录状态也随之共享。这有利于减少重复登录，却不能理解为各窗口之间完全隔离。

这里的用户来自平台验证的身份，不是提示词里自称的姓名。非个人主体使用对话范围。共享状态下，在一个窗口退出登录或切换账户，可能影响其他对话；企业应把这种跨任务影响纳入测试，而不是只验证第一次登录成功。

把窗口交给人，不等于把审批交给模型

人工交接会生成有效期十五分钟的链接，工具随即返回，不会一直卡住等待。人在控制窗口期间，Agent的浏览器工具不能继续执行；人点击交还后，Agent收到通知，还需要检查页面和登录是否处于预期状态，不能仅凭通知推断业务操作已经完成。

交接链接本身也属于敏感访问入口：拿到有效链接的人可控制对应窗口，应通过私密渠道传递。它不是密码保险箱，更不能替代网站自己的认证与授权。原有的工具人工审批是另一套机制，浏览器交回不会自动批准待审调用。

容易被忽略的是空闲关闭。默认空闲十分钟会停止浏览器，但停止并不等于退出网站账户；一轮Agent运行结束、释放客户端，也不代表登录已清除。反过来，网站会话过期或浏览器被替换，又可能让登录失效。安全策略应明确何时显式退出，不能用省资源的停止动作代替。

长任务可以并行，恢复责任仍要分清

0.10同时提供异步子任务：主Agent可启动任务、查询状态、追加指令或取消，先取得任务标识，再继续其他工作。子任务使用独立执行线程；完成时，主线程忙碌则在下一次模型调用前获得结果，空闲则可被唤醒。遇到已有审批等待，系统不会为了递送结果而擅自放行。

独立上下文与独立权限不是一回事。默认隔离模式让子任务拥有自己的提示和上下文，但模型、工具、权限及中断设置会按规则继承，除非明确覆盖；它与主任务仍共享同一用户沙箱。若两个子任务同时改同一文件，仍需规划冲突处理，不能把“异步”当作文件或数据隔离。

结果通知与审批回送也有渠道边界。Slack中的子任务审批可回到原会话，其他渠道可能需要人工恢复对应线程。上线时应分别检查任务完成、取消、等待审批、主线程空闲和重复通知，而不是只验收一个后台任务最终返回文字。

现有mda eval本地评测不能直接评估声明的异步子任务，因为缺少相应Agent Server支持，相关工具不会出现。团队需要另设托管环境的集成验收。版本还移除了旧MCP连接器目录等配置，升级需读迁移说明；本站没有部署Agent、打开远程浏览器或执行这些测试，也不采用厂商演示的成本与成功率作为生产收益。

小编判断

这轮更新把Agent从“一次运行给个答案”推进到更像真实协作：任务可以在后台继续，窗口可以暂时交给人。但交付质量恰好取决于这些接缝。把身份、登录共享、审批等待和结果回送写成可测试的状态，才可能让浏览器能力成为可靠工作流，而非一个难以追责的自动点击器。