InfoQ

Google’s Data Agent Kit Hits GA, Splitting Agent Guardrails Between Skills and IAM

8.5内容质量
Google’s Data Agent Kit Hits GA, Splitting Agent Guardrails Between Skills and IAM

TL;DR · AI 摘要

Google Data Agent Kit 正式发布，通过技能和 IAM 分离防护措施，提升数据代理安全性。

核心要点

  • Data Agent Kit 支持 BigQuery Graph、Bigtable 等 15+ Google 数据服务集成
  • 技能模块强制要求用户确认后才能执行 DROP TABLE、TRUNCATE 等破坏性操作
  • 通过 IAM 策略而非代理本身实现读写隔离，使用 read-only 服务账号或 deny policy

结构提纲

按章节快速跳转。

  1. §GA发布与核心定位

    介绍Data Agent Kit正式GA，定位为连接编码代理与Google数据服务的开源工具包。

  2. ·双层防护机制

    区分技能模块（最佳实践指导）与MCP服务器（实时元数据暴露）的双重控制架构。

  3. ›新增服务支持

    新增BigQuery Graph、Bigtable等服务集成，强化数据操作防护能力。

  4. ·IAM控制策略

    通过IAM策略实现读写隔离，而非依赖代理自身权限控制。

  5. ›技能模块示例

    展示accidental-data-loss-prevention技能的强制确认流程与操作限制。

思维导图

用一张图看清主题之间的关系。

查看大纲文本（无障碍 / 无 JS 友好）
  • Google Data Agent Kit
    • 核心机制
      • 技能模块（最佳实践）
      • MCP服务器（元数据暴露）
    • 功能特性
      • 支持15+ Google数据服务
      • 新增BigQuery Graph/Bigtable集成
    • 安全控制
      • IAM策略隔离读写
      • 技能强制确认流程

金句 / Highlights

值得收藏与分享的关键句。

#Google#Data Agent Kit#IAM#开源工具
打开原文

Google 的 Data Agent Kit 正式发布，将代理防护机制拆分为技能与 IAM - InfoQ

InfoQ 首页 News Google 的 Data Agent Kit 正式发布，将代理防护机制拆分为技能与 IAM

云技术

在线 InfoQ AI 安全与隐私工程认证（10 月 26 日）：在受监管环境中部署 AI？

Google 的 Data Agent Kit 正式发布，将代理防护机制拆分为技能与 IAM

2026 年 10 月 24 日 3 分钟阅读

作者：

  • Steef-Jan Wiggers

#### 关注我们

YouTube

232K 粉丝

LinkedIn

26K 粉丝

Instagram

新账号

RSS

19K 读者

X

57.1k 粉丝

Facebook

21K 喜欢

Bluesky

收听本文音频 -

0:00

音频已准备就绪

您的浏览器不支持音频元素。

正常播放

1.25x

1.5x

点赞

新下拉阅读列表

  • 阅读列表

Google 近日将 Data Agent Kit 正式向公众开放，将其从夏季的预览版中移出。该工具免费、开源，并可安装在 Google 未拥有的代码代理中。它提供两种控制机制，这种差异在生产环境中具有重要意义。

Data Agent Kit 是一套 MCP 工具，用于将代理连接到 Google Data Cloud 的十五多项服务，同时还包含由 Google 编写的技能模块，教授其优化 BigQuery SQL 或设计 Bigtable 行键等实践方法。它可在 Antigravity、Claude Code、Codex、Cursor 以及兼容 VS Code 的编辑器中运行，并已预装在 Cloud Shell 和 Cloud Workstations 中。

Data Agent Kit 作为两个组件位于代码代理与 Google Data Cloud 服务之间：承载最佳实践指导的技能模块，以及暴露实时架构和工具的 MCP 服务器。（来源：Google 博客文章）

随着 GA 版本的发布，公司新增了 BigQuery Graph、Bigtable 和 Apache Spark 管理服务。产品经理 Arun Nair 和开发者倡导者 Jeff Nelson 在发布文章中指出，当前代理存在默认缺口：它们能编写优秀的 SQL，却对"哪些表存在、如何分区、哪些表团队信任、为何昨晚的任务失败"等信息一无所知。

插件仓库下包含 37 个遵循 Apache 2.0 协议的技能模块，每个模块的前置信息均标注 Google 为发布者。版本管理规范，1.0.0 版本于 9 月 29 日发布，1.1.0 版本于 10 月 13 日发布，团队可进行版本锁定。

这些技能中包括 accidental-data-loss-prevention（意外数据丢失防护），其作用是防止代理误删数据。该技能描述以"STOP AND VERIFY"开头，要求代理在执行任何不可逆操作前"必须获得用户明确授权"，列出 DROP TABLE、TRUNCATE、缺少 WHERE 子句的 DELETE 或使用 1=1 的删除操作、对生产存储桶的删除操作、gcloud projects delete 以及 KMS 密钥销毁等场景。操作流程为：暂停操作、解释影响、等待确认授权。

该防护机制属于建议性质。代理被要求遵守该建议。第二种控制机制则不同。

在 LinkedIn 帖文中被问及是否可将只读调查与修改基础设施的工具隔离时，Nelson 回答称这通过 IAM 实现而非代理层面：通过模拟身份以只读服务账户运行代理，或使用"阻止所有 tool.isReadOnly 为 false 的 MCP 工具的 IAM 拒绝策略"。

文档中给出条件：

code
api.getAttribute('mcp.googleapis.com/tool.isReadOnly', false) == false

该条件拒绝 mcp.googleapis.com/tools.call 权限，并在组织、文件夹或项目层级生效。配套属性包括 resource.service 和 tool.name。

Three limits come with it. A blocked tool still appears in tools/list, so the agent sees capabilities it cannot use and finds out only on invocation. The controls cover Google Cloud MCP servers and nothing else. And resource.service and tool.name are gcloud only, absent from the console.

Amel Habira, an AI solutions architect, read the documentation and came away encouraged, noting the short-lived credentials, the read-only attribute, and a warning before agents execute notebook cells. He wrote:

Combine that with branching and time travel on the Iceberg side, and you can imagine containment at both the access layer and the data layer.

Ankit Dongre, an AI engineer at viaSocket, drew the boundary further out:

MCP access is the easy part. The production boundary is permission scope plus repeat-safe execution: what happens when an agent retries a write after a timeout, or when the schema changes mid-run?

IAM and dry runs cover authorization and preflight, he added, "but they do not tell the agent whether a timed-out write committed. A first-class result should carry an idempotency key plus commit status and rollbackability." Data Agent Kit’s tool results do not carry that today.

Microsoft put that decision somewhere else. Its Agent 365 integration with Azure API Management , in public preview, keeps governance intent in a Microsoft 365 admin surface and enforces it at a gateway, where per-tool blocking requires a preview tier and the application key is "gateway-scoped" , reaching every model and tool. Google authorizes per tool in the IAM language customers already use, and propagates the user’s identity so row and column security applies.

Operators are sequencing either way carefully. Timon Knapp, founder of the self-hosted workload automation vendor Conductral, wrote:

Connecting agents to live environments like Airflow is powerful. From running production batch for years I would start with read access and suggestions, and let a human confirm anything that changes a schedule or reruns a job. A clean audit trail makes it much easier to give the agent more rights later.

Data Agent Kit costs nothing beyond the Google Cloud services an agent uses. The skills are on GitHub and forkable.

main wrapper for authors section

About the Author

section title

main wrapper for each author

#### Steef-Jan Wiggers

Show more

Show less

#### This content is in the Cloud topic

##### Related Topics:

  • Development
  • Architecture & Design
  • DevOps
  • AI, ML & Data Engineering
  • Cloud
  • Google Cloud
  • Database
  • Related Editorial
  • Related Sponsors
  • Related Sponsor November 19, 2026, 12 PM EST Scaling OpenTelemetry: Managing Collectors, Configuration, and Cost Presented by: David Iparraguirre - Senior Product Marketing Manager at Datadog, and Jessica Yang - Product Manager at Datadog

The InfoQ Newsletter

A round-up of last week’s content on InfoQ sent out every Tuesday. Join a community of over 250,000 senior developers. View an example

We protect your privacy.