代理自主行动时，治理须扎根数据层

企业级AI代理正在获得越来越多的自主权——能够在不经过人工逐级审批的情况下，跨系统规划、决策并执行操作。这给所有架构评审带来一个核心难题：当一个代理试图执行它从未被授权过的操作时，究竟是什么在真正阻止它？这些代理运行在你的模型上，触碰你基础设施中的数据，最终责任由你承担。这种责任无法靠事后追溯或一纸空文式的抽象政策来落实。代理需要在当下情境中获得规则约束，因为它们自身并不具备对自身行为进行高层判断的能力。 以“永远不要打开车门”这条简单规则为例。如果机械执行，代理将永远无法进出车辆。但若改变情境——车辆刚发生碰撞、起火、有人受伤需要逃生——你真正想要的规则恰恰相反。当下情境就是一切。我们要求代理做智能的事，就需要智能的规则。直觉做法是在代理外层叠加护栏：指令、策略和监控。这些机制固然重要，但都存在结构性局限：车门规则在真正需要决定是否开门之前看似合理。代理层的控制可靠性取决于代理输出的可预测性，而自主性恰恰是让输出难以预测的特性。依赖事前审批的治理方式，无法跟上毫秒级响应、同时跨多系统运作的代理系统。治理必须变得可执行，并且要在代理实际工作的地方——操作数据层、在当下情境中、在事件发生的精确时刻——得到强制实施。 数据层就是执行点。代理通过触碰数据创造价值：查询、检索、转换，并越来越多地基于数据采取行动。一条规定代理不得访问某类数据的策略，只有在系统能在代理请求的当下拒绝访问时才真正有意义。同样，“AI必须可审计”的原则，只有在组织能够重建代理做了什么、触碰了哪些数据、为哪个用户执行、产生了什么结果时才有意义。当治理扎根于数据层，无论代理如何构建或如何表现，控制都始终有效，因为控制是数据库本身的属性，而非代理做出的承诺。代理行为可能是概率性的，但治理不能如此。企业不应依赖模型自觉遵守策略，策略必须由系统强制执行。这就是“希望行为者守规矩”与“构建无法越界的边界”之间的本质区别。 实现这一目标所需的控制机制，许多企业已在数据层运行：基于角色和属性的访问控制、行级和列级安全、分类与脱敏、策略即代码、完整审计追踪。代理带来的变化不是机制本身，而是机制需要识别的主体。身份管理必须将代理视为独立主体，拥有自身身份，并在会话开启时声明其目的。一旦目的与身份绑定，策略引擎就能像评估角色或部门一样评估它，操作记录不仅能捕捉谁执行了什么、触碰了什么数据，还能捕捉他们声明来此的目的。在实践中，这归结为九项控制，分属三大要务：强制执行——查询时对代理和用户都实施基于角色和属性的访问控制；由同一策略路径驱动的动态列脱敏；代理身份作为一等主体，会话开始时绑定声明目的并保留实际操作用户。可见与可证——分类与标记，确保每一步操作都有迹可循。