37个技能加IAM双保险，谷歌数据代理套件正式版拆解

谷歌的 Data Agent Kit 最近从预览转正，正式开放使用。它免费、开源，而且能装进谷歌并不拥有的编码代理里。这套东西提供两类控制手段，区别在生产环境里很要命。

先说它是什么。Data Agent Kit 是一组 MCP 工具，把代理接到 15 个以上的 Google Data Cloud 服务上，另外还附带谷歌自己写的技能，教代理怎么优化 BigQuery SQL、怎么设计 Bigtable 行键。它能在 Antigravity、Claude Code、Codex、Cursor 以及兼容 VS Code 的编辑器里跑，Cloud Shell 和 Cloud Workstations 里则预装好了。

结构上它夹在编码代理和 Google Data Cloud 服务之间，分成两块：一块是承载最佳实践指导的技能，一块是暴露实时 schema 和工具的 MCP 服务器。正式版这次新增了 BigQuery Graph、Bigtable 和 Managed Service for Apache Spark。产品经理 Arun Nair 和开发者布道师 Jeff Nelson 在发布文里点出了代理默认状态下的缺口：它们能写出好 SQL，却不知道"哪些表存在、怎么分区、团队信哪几张、昨晚的任务为什么失败"。

插件仓库里放着 37 个技能，采用 Apache 2.0 协议，每个技能的 frontmatter 都标明发布方是谷歌。版本管理也做得规矩，1.0.0 在 9 月 29 日切出，1.1.0 在 10 月 13 日切出，团队可以锁定版本。

这 37 个技能里有一个叫 accidental-data-loss-prevention，专门用来阻止代理把东西搞坏。它的描述开头就是"STOP AND VERIFY"，要求代理在做任何不可逆操作前"必须获得用户明确同意"，并列出了清单：DROP TABLE、TRUNCATE、缺 WHERE 子句或用 1=1 的 DELETE、对生产桶的存储删除、gcloud projects delete，以及 KMS 密钥销毁。流程是三步——停下、解释影响、等待肯定答复。

但这条护栏是建议性质的。代理被要求遵守它，仅此而已。第二类控制不是这样。

有人在 LinkedIn 上问 Nelson，只读调查能不能和修改基础设施的工具隔离开。Nelson 的回答是，这件事在 IAM 里处理，而不是按代理逐个配置：用服务账号模拟的方式让代理以只读身份运行，或者用"一条 IAM 拒绝策略，封掉所有 tool.isReadOnly 为 false 的 MCP 工具"。

文档给出的条件是 api.getAttribute('mcp.googleapis.com/tool.isReadOnly', false) == false，它会拒绝 mcp.googleapis.com/tools.call 权限，作用范围可以是组织、文件夹或项目级别。配套属性还覆盖 resource.service 和 tool.name。

这套机制带着三个限制。被拦下的工具仍然会出现在 tools/list 里，代理看得见自己用不了的能力，只有调用时才会发现。这些控制只覆盖 Google Cloud 的 MCP 服务器，别的一概不管。另外 resource.service 和 tool.name 只在 gcloud 里有，控制台里没有。

AI 解决方案架构师 Amel Habira 读完文档后表示受到鼓舞，他提到了短期凭证、只读属性，以及代理执行 notebook 单元格前的警告。他的原话是：把这和 Iceberg 侧的分支与时间旅行结合起来，可以想象在访问层和数据层同时做围堵。

viaSocket 的 AI 工程师 Ankit Dongre 把边界画得更远。他说 MCP 访问只是简单的那部分，生产边界是权限范围加上可重复的安全执行：代理在超时后重试一次写入会怎样，schema 在运行中途变了又会怎样。IAM 和试运行覆盖了授权和预检，但"它们不会告诉代理一次超时的写入到底提交没有"。他认为一等公民的结果应该带上幂等键、提交状态和可回滚性。而 Data Agent Kit 目前的工具结果并不携带这些。

微软把这个决定放在了别处。它的 Agent 365 与 Azure API Management 的集成处于公开预览，把治理意图留在 Microsoft 365 管理界面，在网关处执行，按工具封禁需要预览层，应用密钥是"网关级"的，会触达每一个模型和工具。谷歌则用客户已经在用的 IAM 语言按工具授权，并传递用户身份，让行级和列级安全生效。

运维方的做法都是小心排顺序。自托管工作负载自动化厂商 Conductral 的创始人 Timon Knapp 写道：把代理接到 Airflow 这类实时环境很有威力，但跑了多年生产批处理，他会从只读访问和建议开始，任何改动调度或重跑任务的动作都让人来确认。干净的审计轨迹会让以后给代理更多权限容易得多。

成本方面，除了代理用到的 Google Cloud 服务本身，Data Agent Kit 不额外收费。技能都在 GitHub 上，可以 fork。