Databricks砸了大概10亿美元买下PostgreSQL厂商Neon，顺手挖出个让人吃惊的底牌：差不多80%的新数据库实例是AI Agent自己建的。阿里云那边也印证了这事，其数据库产品负责人杨辛军透了个底，近几个月Agent创建的PG实例数量，直接顶过去5年的总和。 为啥偏偏是PostgreSQL？大模型训练时喂了太多它的文档和代码，机器最懂它，建库时自然首选。这其实是开源生态优势借由AI语料完成的一次暗度陈仓。 以前咱们用数据库，链路长得让人头疼。产品经理提需求，开发写SQL，DBA建库配权限，最后前端套个壳。代码在开发阶段就写死了，点一下按钮执行什么语句雷打不动。现在Agent接手了，它不看步骤只看目标。扔给它一句做个客户管理工具，它自己申请实例、建表、写脚本、导数据。产品架构负责人王远说得很准，过去死板的系统逻辑，现在变成了秒级甚至亚秒级变化的执行方式。 这可不是简单的机器代人写几行代码。五十年前数据库把执行路径规划权交给查询优化器，好歹做什么还是人说了算。现在Agent直接拿走了行动权，人类连怎么执行的决策都让渡了。当数据库的直接操作者从人变成Agent，开发链路确实短了，但权力的转移也彻底完成。别以为这只是个提效故事，当机器开始自己决定怎么操作底层数据，安全防线的靶子早就从防范信息出错变成了控制现实后果。 既然用户换成了Agent，那它操作数据库的方式跟传统程序有什么不同？这就得聊聊数据库历史上的第二次权力转移。 五十年前关系模型胜出，把执行路径规划权交给了查询优化器，完成了第一次权力转移。但那时候底线还在，查什么表、要什么数据，都是程序员提前写死在代码里的，机器只是个听话的执行器。 现在Agent把这条底线给踹了。以前的应用，用户点个提交订单，后端跑哪条SQL雷打不动。Agent不吃这一套，它只接收业务目标。你扔给它一句检查本季度异常支出，它根本不管底层SQL怎么写。它会自己去摸索数据库结构，拆解任务，跑一半发现字段对不上，立马换条路继续试。就像王远说的，这种秒级甚至亚秒级变化的执行方式，本质上是把怎么执行的决策权彻底交出去了。 从执行固定指令到动态拆解目标，这绝不仅是技术升级，而是一次实打实的权力让渡。人类连怎么操作的决策都交给了机器。以前系统出bug，顶多是查不出数据或者报个错，风险停留在信息层面。现在Agent手里握着写权限，能直接改数据、触发付款、冻结账户。一旦它推理跑偏，那就不是信息错误了，而是直接砸在现实业务上的真金白银。 把底层系统的操作权交给一个会推理也会出错的系统，咱们确实换来了极高的效率。但权力的转移从来都是双向的，当你把怎么做的决定权交出去时，也就必须接受它可能随时改主意的现实。以前我们防范的是代码写错，现在我们要面对的是，一个拥有自主决策权的系统，随时可能在运行时给你整出个意想不到的骚操作。 权力转移带来了极高的自由度，但也直接撕开了原有的安全口子。 以前大模型出点岔子，顶多是胡说八道给个错误答案，大家笑一笑就过去了，毕竟说错话的成本极低。但现在情况变了，当Agent拿到数据库的写权限，说错话就直接变成了做错事。 你想想这个场景。以前财务查账，SQL写错了，最坏的结果是查不出数据，系统报个错，人工介入改一下就行。现在呢？Agent接收的是业务目标，它自己去拆解任务、匹配规则。如果它理解偏了，或者中间推理出了幻觉，直接去触发付款、冻结账户、调整库存。这时候的错误就不再是屏幕上的几行乱码，而是真金白银的损失和现实业务的灾难。 传统的数据库安全防线，其实都是静态的。防的是外部注入，防的是越权访问，规则早就写死在权限表里。但现在面对的是一个会自己探索环境、会动态调整路径，而且还会出错的系统。这就好比你请了个极其聪明的实习生，你不仅给了他公司大门的钥匙，还把财务章和公章都交给了他，更可怕的是，他每秒钟都在改变自己的办事逻辑。 当数据库的直接操作者从人变成Agent，安全边界的重构已经避无可避。我们不能再沿用防范信息错误的老思路，去应对这种直接控制现实后果的新风险。把底层执行权交出去的那一刻，我们就必须接受一个现实：未来的安全对抗，不再是人和外部黑客的博弈，而是人类如何给一个拥有自主决策权、且随时可能跑偏的机器，打造一套能直接兜底现实后果的硬核约束。 认清了风险，咱们也不能因噎废食。面对不可逆的趋势，堵不如疏，得换个思路来管。拔网线是最懒的办法，真要让Agent在数据库里放开手脚，得给它套上最小权限和沙箱这两根缰绳。 以前咱们配权限图省事，开发要个账号，DBA大笔一挥直接给个高权限，或者把整张表的读写全放开。现在Agent接手了，这套粗放的管理必须扔进垃圾桶。权限得切碎了喂。比如让Agent去处理异常支出，它只需要查询特定视图的权限，根本不需要碰底层明细表。它想触发付款？可以，但只能调用一个封装好的、经过严格业务校验的API（应用程序接口），绝对不能让它直接去改数据库里的余额字段。把动作限制在最小颗粒度，它就算推理跑偏也找不到搞破坏的着力点。 光限制权限还不够，Agent毕竟是个会自己瞎琢磨的变量，操作路径秒级变化，你得给它建个沙箱。让它在隔离环境里先跑一遍。它生成的SQL或者操作逻辑，先在影子库里执行一次，看看会不会把数据搞乱，或者触发什么诡异的死循环。确认没把天捅破，再同步到生产环境。这就好比让新司机上路前，先在模拟舱里练够里程。 以前我们防的是行为模式固定的黑客，靠静态规则就能拦截。现在面对的是个随时变招的黑盒，安全机制必须从静态拦截升级到动态演练。别总想着给Agent戴上沉重的镣铐让它变成个废人，而是要给它划定一个足够大但绝对安全的操场。未来的生产力，永远属于那些敢把方向盘交给AI，同时又懂得在悬崖边装好护栏的人。