Agent 上线前，谁在管它能碰哪些数据

被朋友安利了智能体安全控制平面，试试看到底好不好用。结论先说，看情况。它适合已经有一堆 Agent 散在 Salesforce、Snowflake 这类业务系统里的团队，不适合只拿一个聊天机器人做课程 demo 的人。我前两周借实验室沙箱试了一轮，又看了销售给的演示视频，最大的感受是，这类东西不像模型评测那么热闹，更像给 Agent 做资产盘点和权限体检。

先解释几个词。智能体，就是能自己拆任务、调工具、拿数据、做动作的程序，不只是回答一句话。控制平面，可以理解成管理后台，负责看配置、管权限、记录日志、出报告，数据平面负责执行任务。Salesforce 常见客户管理系统，Snowflake 是云上数据仓库。Obsidian 这个产品主打第三方应用内 Agent 的访问路径映射、风险情报和合规治理。它回答的是这个 Agent 到底能碰什么，有没有乱碰。

我这边拿 Salesforce Sandbox 测试实例和一个很小的 Snowflake 测试库去接。第一步是授权只读发现，装插件放在后面。界面里先让你选应用范围，再让管理员同意。这里我就卡过，OAuth 授权里那些 scope 我一开始没看懂，只能照着文档逐个勾最小权限。后来跑通后，资产表就出来了，哪个 Agent 在哪个应用里，能调用哪些工具，能读哪些字段，能不能写回系统，有没有外部网络访问，都列成一张图。这个体验挺惊喜，因为我之前用两个月 AI Agent 做课程项目，最怕的就是文档写“只查资料”，实际代码里却能改记录。

风险情报页我比较喜欢。它会把高风险路径挑出来，比如某个客服 Agent 能改客户备注，某个分析 Agent 能导出整张表。提示我哪些地方要加审批，哪些工具该关掉。不过这里也有坑。有些字段命名看着敏感，其实是测试列。人工复核后发现，有些是假数据，有些是开发随手建的临时表。这类产品除了看红绿标签，还要回到原始表结构确认。

最让我改变看法的是“无审查自主操作”这个概念。之前我觉得 Agent 安全主要是防提示词注入，也就是防止别人用一段话骗它乱做事。现在我觉得那只是入口之一，麻烦点在于 Agent 拿到工具以后能做什么。有个说法挺对，控制平面要看能力范围差异，提示词效果只是其中一部分。同一个模型换个权限，风险完全不一样。

它的问题也很明显。对个人小白不友好。你得有企业应用、测试环境、管理员授权，还要懂数据源和权限模型。如果只是本地跑 llama.cpp，或者用 API 调一个问答 bot，这个平台会显得太重。它也不一定替你治理所有风险，尤其本地脚本、私有工具链、没有标准接口的 Agent，可能扫不到。报告导出后看着专业，但里面术语多，第一次读 PDF 会有点懵。

值不值得用，取决于你有没有“失控的 Agent”。如果实验室或团队已经有多套 Agent 接入 CRM、数据仓库、工单系统，那它能把权限路径摊开，省很多人工问开发的功夫。如果只有一个 demo，还是先把最小权限做扎实。

我的行动建议是，先别急着全量接入。挑一个最核心的 Agent，列清楚它能读什么、能写什么、能调哪些外部接口，再用只读权限扫一遍，看报告能不能找出你没想到的路径。