当 AI 失败时：如何构建容错 AI 系统

针对 AI 会"安静失败"——返回格式正确但内容错误的答案——的问题，文章主张把 AI 组件当作可能失败的依赖，而非纯函数，并为其设计显式限制与经过测试的兜底路径。传统分布式系统的超时、熔断、隔舱、重试与降级模式仍然适用，但需扩展：超时按业务截止时间倒推并限制输出长度，熔断器需同时统计校验失败、低置信度结果与策略拒绝，即"语义熔断"。可靠性应来自模型周围的系统，而非模型本身。