智能体自主行动，治理必须下沉数据层

自主智能体带来的治理难题

随着企业赋予AI智能体越来越多的自主权——让它们跨系统进行规划、决策和行动，而无需人类逐步审批——一个尖锐的问题被推到每一次架构评审的中心：当一个智能体试图执行它从未被授权完成的操作时，究竟是什么在阻止它？这些智能体运行在企业的模型之上，在企业的基础设施中接触企业的数据，而它们行为的责任，最终由企业承担。

这种责任无法靠事后追认来履行，也无法靠一套停留在纸面上、并未落地的抽象政策来承担。智能体需要在当下情境中获得规则，因为它们并不具备对自身行为进行 overriding 判断的能力。

不妨考虑一条简单的规则：永远不要打开车门。如果字面执行，智能体根本无法上下车。但如果你改变情境——车刚刚撞毁、正在起火、有人受伤需要逃出——那么你真正想要的规则恰恰相反。此时此刻的情境，决定了一切。我们要求智能体做智能的事，这就需要智能的规则。

智能体层的护栏为何不够

人们的本能反应是在智能体周围加装护栏：在模型之上叠加指令、政策和监控。这些机制固然重要，但它们共享一个结构性局限：车门规则在你真正需要决定是否开门的那一刻之前，看起来都是合理的。智能体层的控制，其可靠性取决于智能体输出的可预测性，而自主性恰恰是让输出难以预测的属性。

依赖“行动发生前先审查”的治理方式，无法跟上毫秒级、同时跨多个系统行动的系统。治理必须变得可执行，并且要在智能体真正开展工作的地方强制执行：在运营数据层，在具体情境中，在事情发生的当下。

数据层才是执行点

智能体通过接触数据来创造价值。它们查询数据、检索数据、转换数据，并且越来越多地基于数据采取行动。一条说“智能体不应访问某类数据”的政策，只有当系统能够在智能体请求访问的那一刻拒绝该访问时，才真正有意义。

同样，一条说“AI必须可审计”的原则，只有当组织能够重建智能体做了什么、接触了哪些数据、代表哪个用户行动、产生了什么结果时，才真正有意义。

当治理存在于数据层时，无论智能体是如何构建的、行为如何，治理都能成立，因为控制是数据库本身的属性，而不是智能体做出的承诺。智能体的行为可以是概率性的，但治理不能是。

不能依赖模型“选择遵守”政策

企业不应依赖模型“选择”遵守政策。政策必须由系统强制执行。这就是“希望行为者留在边界内”与“构建它根本无法跨越的边界”之间的区别。

让这一切成为现实的控制措施，是许多企业已经在数据层拥有的能力：细粒度访问控制、行级和列级安全、动态数据掩码、不可篡改的审计日志，以及基于身份的权限管理。这些机制不依赖于智能体的配合，也不依赖于模型输出的可预测性。

将治理下沉到数据层，意味着无论智能体由谁构建、使用什么框架、行为多么不可预测，企业都能在数据被触碰的瞬间执行规则、记录轨迹、拒绝越权。这才是面向自主智能体时代的、真正可落地的治理。