AI Agent 接入数据库、数仓和 BI 前，必须设计哪些权限、审计和回滚边界
解释企业在让 AI Agent 访问数据库、数仓、BI 和数据工具前，如何把最小数据范围、动作审批、GRANT、RLS、负向测试、人工升级和预算停止条件组成可回读的权限、审计和回滚边界。
AI Agent 接入企业数据前，不仅要定义它能看什么、能做什么，还要验证 GRANT 与 RLS、失败路径、人工批准、升级规则、用量预算和停用回读；文末提供可直接填写的权限语义差异签收表模板。
适用对象
- 例如 OpenAI 的企业 Agent 生产实践与投资治理材料都把具体任务、最小系统访问、允许动作、审批与人工升级放在生产部署之前，不能把“能连接”当成“可上线”。
- 接入数据库、数仓和 BI 前，应区分只读、草稿、审批后执行和禁止动作四类权限。
- 用量、失败重试或人工复核超过已批准阈值时，应降级、暂停或转人工，不能让 Agent 为完成不可验收结果持续消耗资源。
- InchStack 适合承载 Agent 数据访问的控制面：上下文、权限、人工确认、质量验证、审计证据和交付回执。
- AI Agent 权限语义差异签收表（CSV）无需登录即可下载，用来把正向、负向、撤销和回读证据交给责任人签收。
- 上线前复核只检查身份、对象、最小权限、正负向测试、撤销、日志和人工批准证据，不替代合规审计、等保测评、渗透测试或生产授权。
GRANT 和 RLS 必须一起测
可用性与最小权限要用同一组正向、负向用例验证。
下面使用 PostgreSQL / Supabase 作为可执行参考实现：对象 GRANT 决定角色能否触达对象，行级 RLS 决定可读写哪些行。Snowflake、BigQuery、其他数仓和 BI 产品应把同一模式映射到各自 IAM、服务账号、schema/object policy、行列级策略、审计接口和撤销机制；平台名称不同，不改变“对象、数据范围、真实 API 语义与回读一起验”的原则。
验收不能只看单条 SQL 是否成功。例如某些存储 API 会在 INSERT 后通过 RETURNING 读回新行，如果 SELECT 策略缺失，整个请求仍可能失败。因此必须按实际 API 链路做端到端回读。
| 验收层 | 必查项 | 负向测试 | 通过证据 |
|---|---|---|---|
| 对象权限 | 对 anon、authenticated、service role 显式列出最小 GRANT | 未授权角色必须返回 permission denied | 迁移 SQL 与权限回读 |
| 行级策略 | 暴露表启用 RLS，按动作定义策略 | 其他用户、其他租户和空身份不可读写 | pgTAP 或等价分角色测试 |
| 组合语义 | 确认写入 API 是否包含 RETURNING 或后续读取 | 只有 INSERT 而无 SELECT 策略时应被捕获 | 完整 API 请求成功且只返回授权行 |
| 发布与停用 | 同一迁移绑定 GRANT、RLS 和策略，保留审批人 | 撤销权限后 Agent 不得继续访问 | 发布日志、撤销回读和异常记录 |
AI Agent 权限语义差异签收表（CSV）
把声明的权限、实际 API 行为、负向结果和撤销回读放在同一行，避免只验“能用”。
签收表覆盖 Agent 身份、数据对象、对象 GRANT、RLS 策略、API 复合语义、允许与禁止动作、批准人、正向与负向测试、撤销操作、撤销回读和证据位置。无需登录即可下载，填写时不要放入密码、令牌或生产数据样本。
建议先用只读、脱敏、单租户或单数据集范围完成一轮签收，再决定是否扩展。任何写入、删除、外部发布或跨租户动作，都不应因为模板通过而自动开放。
| 责任角色 | 签收重点 | 必须回读的证据 |
|---|---|---|
| 数据负责人 | 对象、字段、指标和数据范围是否符合业务问题 | 正向查询只返回授权数据 |
| 安全或平台负责人 | GRANT、RLS、身份、审批和审计是否一致 | 负向测试明确失败且留下日志 |
| 业务责任人 | Agent 输出或动作是否允许进入下一步 | 撤销后访问失败，缓存与下游动作停止 |
资料下载
AI Agent 接入数据库、数仓和 BI 前，必须设计哪些权限、审计和回滚边界
免费资料无需注册即可下载；付费资料和 AI 诊断申请会绑定到你的账号，方便找回订单和继续沟通同一个经营问题。
AI 初步诊断
提交一个真实经营问题
你可以只描述问题类型和关键指标；如需进一步判断，请留下微信或电话，我们会先确认哪些数据可以安全分享。
参考依据
以下来源用于确认市场趋势、政策背景和术语边界；具体落地方案仍以客户的数据范围、权限和交付目标为准。
常见问题
AI Agent 能不能直接连生产数据库？
不建议默认直接连接。至少要先做只读范围、脱敏、频率、审批、审计和回滚设计，关键动作应保留人工确认。
Agent 接入 BI 后是否可以自动发布管理结论？
不应直接自动发布。它可以生成分析草稿或异常解释，但正式结论需要数据和业务责任人确认，并保留口径和证据。
已经启用 RLS，为什么上传或新增仍可能返回 403？
对象 GRANT 与 RLS 是两层权限，而且某些 API 在 INSERT 后还会用 RETURNING 读回新行。因此仅有 INSERT 策略不一定足够；应按实际 API 语义同时验证必要的 SELECT 策略，并做未授权角色的负向测试。
下载签收表就代表可以让 Agent 上生产吗？
不代表。模板只帮助组织验收字段和证据，生产授权仍需要按企业制度由数据、安全和业务责任人共同批准，并完成实际系统的负向测试、撤销和回读。
上线前复核是否等同于安全或合规认证？
不等同。固定范围复核只整理身份、对象、最小权限、正负向测试、撤销、日志和人工批准证据，不替代合规审计、等保测评、渗透测试、法律意见或客户内部生产审批。