谷歌 Data Agent Kit 正式发布：技能层做软约束，IAM 层做硬管控
谷歌 Data Agent Kit 结束夏季预览正式发布，免费开源，可把编码智能体接到 15 项以上谷歌数据云服务，并附带 37 个最佳实践技能。它的安全防护分两层：技能层的引导性建议，以及 IAM 层的强制拒绝策略。开发者更关心的是后者目前覆盖不到的边界，比如写入超时后的重试与提交状态。
一个 MCP 工具集，两类组件
Data Agent Kit 是一个 MCP 工具集（MCP 即模型上下文协议，让智能体以标准接口调用外部工具），可以装进非谷歌系的编码智能体，运行在 Antigravity、Claude Code、Codex、Cursor 以及兼容 VS Code 的编辑器中，并在 Cloud Shell 和 Cloud Workstations 里预装。
它部署在编码智能体与谷歌数据云服务之间，由两部分组成：一是承载最佳实践指引的技能集合，二是对外暴露实时元数据和工具的 MCP 服务器。
正式版新增了对 BigQuery Graph、Bigtable 和 Apache Spark 托管服务的支持。产品经理 Arun Nair 与开发者布道师 Jeff Nelson 在发布博文中指出，它填补了智能体原生能力的一块空白：智能体虽然能写出不错的 SQL，但它不知道“有哪些表、表如何分区、哪些表是团队可信的，或是昨夜的任务为什么失败”。
技能仓库共有 37 个技能，基于 Apache 2.0 协议，每个技能的元信息都标注谷歌为发布方。仓库有版本管理规范：9 月 29 日发布 1.0.0，10 月 13 日发布 1.1.0，团队可以锁定固定版本使用。
软约束：让智能体先停下来问一句
在技能中，accidental-data-loss-prevention（意外数据丢失防护）用于阻止智能体执行破坏性操作。它的描述以“STOP AND VERIFY”开头，要求智能体在执行任何不可逆操作前“必须获得用户的明确许可”。被点名的操作包括 DROP TABLE、TRUNCATE、不带 WHERE 子句或使用 1=1 的 DELETE、针对生产存储桶的存储删除、gcloud projects delete 以及 KMS 密钥销毁。流程是：暂停操作、说明影响、等待用户确认。
这类防护属于引导性建议，靠智能体自觉遵守。第二类控制则是强制性的。
硬管控：把权限收回到 IAM
在 LinkedIn 上被问及能否把只读查询与修改基础设施的工具隔离开时，Nelson 回答：这要在 IAM（身份与访问管理）里处理，而不是在智能体层面单独解决。做法有两种：通过身份模拟让智能体以只读服务账号运行；或使用 IAM 拒绝策略，拦截所有 tool.isReadOnly 为 false 的 MCP 工具。
文档给出的规则是：拒绝 mcp.googleapis.com/tools.call 权限，可在组织、文件夹或项目级别生效，配套属性支持 resource.service 和 tool.name。
这套做法有三个现实限制：
- 被阻止的工具仍然出现在
tools/list中，智能体能看见自己无法使用的功能，但只在调用时才会知道被拒。 - 这些控制只覆盖谷歌云 MCP 服务器，不涉及其他来源的 MCP 服务器。
resource.service和tool.name两个属性仅在 gcloud 中可用，控制台里没有。
社区视角：接入只是第一步
AI 解决方案架构师 Amel Habira 读文档后比较看好，提到了短期凭证、只读标记，以及在智能体运行 Notebook 单元格前给出告警。他写道：
结合 Iceberg 的分支与时间旅行能力，你可以在访问层和数据层同时实现风险隔离。
viaSocket 的 AI 工程师 Ankit Dongre 把边界划得更远：
接入 MCP 只是比较简单的一环。生产环境的核心边界是权限范围加上可重试安全执行：当智能体超时后重试写入，或是运行中途表结构发生变更时会发生什么？
他补充说，IAM 和试运行覆盖了授权和预检，“但它们不会告诉智能体超时写入是否已提交。完善的返回结果应当包含幂等键、提交状态和可回滚性。”Data Agent Kit 的工具结果目前并不包含这些信息。
自托管任务自动化厂商 Conductral 的创始人 Timon Knapp 则从批处理运维经验出发：
把智能体接入 Airflow 实时环境，这种能力非常强大。根据多年运行生产批处理的经验，我会先只开放只读权限和建议能力，任何修改调度、重跑任务的操作都必须人工确认。清晰的审计日志能让后续给智能体扩容权限变得更加稳妥。
与微软方案的差异
微软选择了另一种路径。处于公开预览阶段的 Agent 365 与 Azure API Management 的 MCP 治理集成，把治理策略统一放在 Microsoft 365 管理后台，在网关层强制执行。按工具拦截需要预览套餐，应用程序密钥作用于网关级别，对所有模型和工具生效。
谷歌则基于客户已在使用的 IAM 体系做工具鉴权，并传播用户身份，从而支持行级、列级的安全策略。
对正在让编码智能体直接操作生产数据栈的团队来说，这种“软约束技能 + 硬权限策略”的分层设计值得参考，但真正的难点仍在于执行语义：重试是否幂等、写入是否已提交、失败能否回滚。
Data Agent Kit 除智能体使用的谷歌云服务外不收取任何费用。技能放在 GitHub 上，可以 fork。
关键要点
- Data Agent Kit 免费开源，由 37 个技能和 MCP 服务器组成，覆盖 15 项以上谷歌数据云服务，可在主流编码智能体和 VS Code 系编辑器中使用。
- 安全分两层：技能层靠智能体自觉遵守，例如
accidental-data-loss-prevention要求破坏性操作前暂停并取得用户确认；IAM 层用拒绝策略强制拦截非只读工具。 - 强制层目前有三个限制：被拦工具仍会出现在工具列表中；只管谷歌云 MCP 服务器；
resource.service与