Agent删库风险上升，数据库护栏机制仍能防范

AI Agent 误删生产数据库的事件正在反复出现，开发者让其搭建应用，Agent 却可能直接进入生产环境并清空文件。卡内基梅隆大学数据库专家 Andy Pavlo 认为，这并不是 AI 独有的新风险，而是权限配置和操作管控长期缺失的问题。Pavlo 目前担任实时分析数据库公司 ClickHouse 的数据库研究副总裁，并在播客中讨论了 Agent 时代数据库领域的多项变化。

在数据库隔离方面，分支机制可以通过写时复制，为真实数据库创建逻辑快照。开发者或 Agent 可在分支上修改 schema、运行测试和验证应用，确认无误后再部署到生产环境，避免直接触碰作为事实来源的 production 数据库。与其让人类持续点击“批准”来监视数百个 Agent，更可行的方式是设置细粒度权限，使 Agent 无法进入生产库、删除关键表或读取无关数据，并结合分支和沙箱建立安全边界。传统企业数据库经过数十年发展，已经具备大量面向人类用户的防护能力，这些机制同样可以用于约束 Agent。

向量数据库曾因 RAG 和聊天机器人快速升温，但其核心本质是向量索引，护城河并不深。过去一年内，几乎所有数据库厂商都加入了向量能力，它已从差异化产品变成基础配置。相关能力不会消失，未来可能融入类似 Postgres 的通用数据库，也可能像 Elasticsearch 一样作为独立扩展存在。text-to-SQL 的现成方案准确率约为 60%，一家大型银行投入数年并花费数百万美元构建语义层和上下文层后，才将准确率提升至 99.5%。

AI 参与数据库开发的能力也在快速提高。卡内基梅隆大学数据库课程项目中，Agent 一年前还无法完整完成任务，但 Opus 4 发布后，几乎无需额外提示就能完成全部项目；目前超过 60% 的开源数据库已经出现 Agent 参与的代码提交。对于数据库参数调优，传统方法往往需要数小时甚至更久的训练和充足数据，LLM 则能在约 15 分钟内给出约 85% 水平的“足够好”配置，对大量使用默认配置的用户而言已经具有实际价值。

数据库流量的增长此前经历过多个阶段：20 世纪 70 至 80 年代主要来自工作场景中的人工操作，90 年代至 21 世纪初互联网让网站访问带来新一轮增长，随后智能手机和移动应用进一步扩大了读写规模。Agent 可能成为下一阶段，让每个人拥有大量全天候运行的自动化程序，持续读写应用背后的数据库。不过，几十亿 Agent 同时行动的场景尚未真正到来。Pavlo 认为，关系模型和 SQL 的底层逻辑不会消失，SQL 或许会像汇编语言一样退居底层，而用户界面、开发体验、数据接入和互操作性等数据库之上的基础设施，将继续决定产品竞争力。