谷歌开源 Data Agent Kit：让写 SQL 的智能体先学会「看懂数据」

一个编码智能体可以写出语法正确的 SQL，却常常不知道这张表是不是团队可信的、数据如何分区、昨天凌晨的任务为什么失败。它缺的不是查询能力，而是数据环境的上下文。谷歌最新开源的 Data Agent Kit，想补的就是这一块。

这套工具在夏季预览后正式发布，免费、开源，可以安装到非谷歌的编码智能体中。它是一个 MCP 工具集，能把智能体连接到超过 15 项谷歌数据云服务，并提供一套技能，指导智能体完成 BigQuery SQL 优化、Bigtable 行键设计等实践。它可以在 Antigravity、Claude Code、Codex、Cursor 和兼容 VS Code 的编辑器里运行，并预装在 Cloud Shell 与 Cloud Workstations 中。

一分钟速览

• 谷歌正式发布 Data Agent Kit，免费开源，可接入非谷歌编码智能体。
• 由技能集合与 MCP 服务器两部分组成，连接 15 项以上谷歌数据云服务。
• 新增 BigQuery Graph、Bigtable 和 Apache Spark 托管服务支持。
• 内置 37 个技能，防误删技能要求执行不可逆操作前必须获得用户明确许可。

补的是「数据上下文」

谷歌产品经理 Arun Nair 与开发者布道师 Jeff Nelson 在发布博文中点出了关键断点：智能体虽然能写出不错的 SQL，但它不知道有哪些表、表如何分区、哪些表是团队可信的，也不知道昨夜的任务为什么失败。没有这些上下文，生成的查询即使能跑，也可能查错表、扫全表、算出错误口径。

Data Agent Kit 的架构分两层：一层是承载最佳实践指引的技能集合，另一层是暴露实时元数据和工具的 MCP 服务器。技能告诉智能体「应该怎么做」，MCP 服务器告诉它「现在有什么」。两者结合，智能体才能从「会写 SQL」变成「能在真实数据环境里干活」。

插件仓库包含 37 个技能，基于 Apache 2.0 协议，每个技能的元信息都标注谷歌为发布方。它还有版本管理规范：9 月 29 日发布 1.0.0，10 月 13 日发布 1.1.0，团队可以锁定固定版本使用。对生产环境来说，这种可锁定、可审计的发布节奏，比「永远最新」更重要。

两层防护：建议与强制

数据智能体最让人担心的，是误删和误改。Data Agent Kit 里有一个名为 accidental-data-loss-prevention 的技能，描述以「STOP AND VERIFY」开头，要求智能体在执行任何不可逆操作之前必须获得用户明确许可。它列出的危险操作包括 DROP TABLE、TRUNCATE、没有 WHERE 子句或使用 1=1 的 DELETE、针对生产存储桶的存储删除、gcloud projects delete 以及 KMS 密钥销毁。

流程被设计成三步：暂停操作、说明影响、等待用户确认。这属于引导性建议，依靠智能体自觉遵守。真正强制的是第二层——IAM。Nelson 在回应「能否把只读查询与修改基础设施的工具隔离」时表示，这应该在 IAM 层处理，而不是在智能体层单独处理：可以让智能体以只读服务账号运行，或者使用 IAM 拒绝策略，拦截所有 tool.isReadOnly 为 false 的 MCP 工具。相关策略可以在组织、文件夹或项目级别生效。

这个设计值得借鉴。很多 AI 工具把安全寄托在提示词上，告诉模型「不要做危险操作」；但提示词可以被绕过，权限却不会。把「建议」和「强制」分开，前者提升成功率，后者守住底线，才是生产级智能体应有的结构。

MCP 的生态意义

Data Agent Kit 支持非谷歌编码智能体，这一点比功能本身更有意思。它意味着谷歌愿意把数据云的接入能力，做成一个跨工具的标准组件，而不是只服务自家的 Gemini 或 Antigravity。对开发者来说，不管用 Claude Code、Codex 还是 Cursor，都可以用同一套技能和元数据访问 BigQuery、Bigtable 和 Spark；对谷歌来说，这能降低数据云的使用门槛，把更多工作负载留在自己的平台上。

当然，工具解决的是「怎么连」，不解决「数据质量」。如果元数据本身不准确、权限划分混乱、表命名没有规范，智能体依然会犯错。Data Agent Kit 的价值，是把最佳实践和实时元数据放到模型触手可及的地方，但前提是组织自己先把数据治理做好。

趋势洞察

数据智能体正在从「自然语言生成 SQL」走向「理解数据环境并安全执行」。竞争点不再是模型能不能写对语法，而是能不能知道表的分区、任务的依赖、权限的边界，以及什么时候该停下来问人。谷歌用开源和 MCP 降低接入门槛，其他云厂商大概率会跟进类似方案。

对企业来说，现在就可以做两件事：一是把关键数据资产的元数据、分区策略和可信标记整理清楚，让智能体有上下文可用；二是把危险操作的权限收紧到 IAM 层，而不是只靠提示词提醒。工具会越来越聪明，但底线必须由人来定。