企业部署AI智能体需建立五维治理框架

AI智能体能够代表用户查询数据、调用工具并执行操作，但其继承用户权限后，可能访问超出任务所需范围的数据。与人类不同，智能体还可能通过汇总敏感信息、跨工具传递数据或向无权人员展示结果，放大数据泄露风险。

针对这些问题，Snowflake提出五维控制框架，分别回答智能体是谁、能做什么、能看到什么、能消耗多少资源以及做过什么。框架涵盖身份识别、权限最小化、敏感数据保护、AI资源限制和行为审计，目标是在保留自动化能力的同时缩小风险边界。

身份识别是策略生效的前提。平台可自动识别 Cortex Agents、Cortex 轻量级智能体、CoCo、CoWork及托管MCP服务器等入口；外部自主智能体可使用独立的 SERVICE_AGENT 用户，并通过工作负载身份联合、密钥对或程序化令牌认证。代表最终用户行动的委托智能体，则可在自定义 OAuth 或 External OAuth 集成中设置 IS_AGENTIC = TRUE。识别结果会进入策略和审计上下文，包括 QUERY_HISTORY.agent_type 与 ACCESS_HISTORY.agents_info，后者还能记录嵌套调用链中的多个智能体。

权限治理方面，智能体受限会话范围可在RBAC基础上设置权限上限。预定义的 DATA_READ_WITH_AI 范围允许读取数据、发现对象和使用获准的AI对象，但禁止写入、DDL、授权及存储过程操作；管理员也可进一步限制生产环境写入位置、角色切换、可访问的数据库和架构，以及可调用的智能体或函数。RBAC决定用户本身能做什么，会话范围则限制智能体代表用户行动时能做什么。

数据策略负责控制智能体实际看到的内容。通过 IS_AGENT_ACTIVATED 上下文，掩码、行访问、投影、聚合和联接策略都能在智能体参与时生效，即使用户角色原本可以查看原始值，也可返回脱敏结果。与此同时，单用户AI配额可针对 AI Functions、Cortex Agents、CoCo 和 CoWork 设置每日、每周或每月 credit 上限，并在达到阈值时通知、阻止新请求，或在周期重置后恢复。

审计方面，QUERY_HISTORY.agent_type可用于查询直接发起SQL的智能体、用户、角色、时间和语句；ACCESS_HISTORY.agents_info则用于追踪访问对象时参与的智能体。前者适合调查直接发起查询的主体，后者适合分析多智能体调用链，但两者都无法发现未知或未注册的智能体。实际部署中，可为自主工作负载配置 SERVICE_AGENT，为委托访问配置 OAuth 集成，再结合会话范围、数据掩码和历史记录，确保智能体只能读取获准数据并写入指定位置。CoCo等自动化任务还可按计划无人值守运行，并为每次运行建立对话线程，便于事后检查消息和工具调用。