随着企业赋予AI代理更多自主权——无需人工逐步审批即可跨系统规划、决策和行动——一个新的核心问题浮出水面：当代理试图执行一个从未被授权的操作时，究竟是什么在阻止它？EDB近日发布的一份分析指出，这些代理运行在企业的模型上、触及企业基础设施中的数据，其行为责任完全由企业承担。这种责任无法通过事后追溯或纸上谈兵的抽象策略来履行。
代理需要在当下情境中获得规则约束，因为它们不会对自己的行为行使超越性的判断。以“永远不要打开车门”这条简单规则为例：如果机械执行，代理将永远无法进出汽车；但若改变情境——比如车辆刚发生碰撞、起火、有人受伤需要逃生——实际需要的规则恰恰相反。当下情境决定一切。企业要求代理执行智能任务，就需要智能规则。
业界常见的做法是在代理外围叠加护栏：在模型之上增加指令、策略和监控机制。这些机制虽然有效，但存在结构性局限：车门规则在真正需要决定是否开门之前看起来都合理。代理层的控制可靠性取决于代理输出的可预测性，而自主性恰恰是使输出难以预测的属性。依赖在行动前审查的治理方式，无法跟上一个毫秒级响应、同时跨多系统运作的体系。
治理必须变得可执行，并在代理实际执行工作的地方——操作数据层——在事件发生的当下、在具体情境中强制执行。代理通过触达数据创造价值：查询、检索、转换并越来越多地基于数据行动。一条禁止代理访问某类数据的策略，只有在系统能在代理请求的当下拒绝该访问时才有意义。同理，“AI必须可审计”的原则，只有在组织能够还原代理做了什么、触及了哪些数据、为哪个用户服务以及产生了什么结果时才有意义。当治理驻留于数据层，无论代理如何构建或如何表现，控制都依然有效，因为控制是数据库本身的属性，而非代理作出的承诺。
代理行为可能是概率性的，但治理不能如此。企业不应依赖模型“选择”遵守策略，策略必须由系统强制执行。这正是“希望参与者守规矩”与“构建其无法逾越的边界”之间的本质区别。实现这一目标所需的控制手段，许多企业已在数据层运行：基于角色和属性的访问控制、实时策略引擎以及完整的审计日志。随着AI代理从辅助工具演变为自主行动者，数据层正从存储基础设施升级为治理的核心执行点，这将是企业在架构评审中必须正视的转向。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
