🤖 AI

Agentic Data Environments

本文引入了“智能体数据环境”（Agentic Data Environments）这一主动执行基座，它超越了传统数据库以整合多样化的数据源，旨在增强自主智能体的能力，同时通过实施安全保障来限制自动化失败带来的风险。

原作者： Elaine Ang, Chenxi Huang, Georgios Liargkovas, Jerry Liu, Jinhui Liu, Nikos Pagonas, Charlie Summers, Haonan Wang, Jiakai Xu, Tianle Zhou, Yusen Zhang, Zhou Yu, Zhuo Zhang, Tianyi Peng, Kostis Kaffes

发布于 2026-07-09

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Elaine Ang, Chenxi Huang, Georgios Liargkovas, Jerry Liu, Jinhui Liu, Nikos Pagonas, Charlie Summers, Haonan Wang, Jiakai Xu, Tianle Zhou, Yusen Zhang, Zhou Yu, Zhuo Zhang, Tianyi Peng, Kostis Kaffes, Eugene Wu

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你雇佣了一个非常聪明、动作极快的机器人助手来帮你做家务。在过去，这些机器人就像是图书管理员：它们可以阅读书籍、寻找信息并告诉你答案。如果它们犯了错，也只是给出了一个错误的事实。你可以通过要求它们重试来轻松修复错误。

这篇论文指出，我们正在进入一个新时代，这些机器人不再仅仅是图书管理员，而是活跃的劳动者，它们可以移动家具、改写规则并提交正式文件。这被称为代理自动化（Agentic Automation）。

问题在于：如果图书管理员看错了书，这很烦人。但如果一个工作机器人不小心删除了你的房子、提交了错误的报税单或锁定了你的银行账户，其造成的损失是即时且灾难性的。

哥伦比亚大学的作者们提出了一个新的解决方案：我们不应该只致力于构建“聪明的机器人”，而应该开始构建**“智能工作空间”（他们称之为代理数据环境，Agentic Data Environments**）。与其仅仅让机器人变得更聪明，不如重新设计它工作的房间，以确保它不会意外地烧掉房子。

以下是他们的详细拆解：

1. 核心问题：“读-写”陷阱

旧方式（只读）： 机器人查看你的数据并告诉你它看到了什么。（安全，但能力有限）。
新方式（读-写）： 机器人查看你的数据，做出决策，并改变数据。（强大，但危险）。
风险： 因为机器人可以改变事物，一个单一的错误不仅仅是一个错误的答案，而是一场灾难。论文指出，我们不能仅仅寄希望于机器人“基本表现良好”。我们需要一个由环境本身来防止灾难的系统。

2. 让机器人更聪明（“收益”）

为了从这些机器人身上获得最大的价值，这个“工作空间”需要完成三件具体的事情，以帮助机器人找到正确的工具和信息：

AIM（代理信息管理）：“智能整理员”
- 问题： 机器人经常因为数据混乱而感到困惑。想象一下，试图在一堆由 10,000 张杂乱无章的便利贴组成的堆中寻找特定的对话。
- 解决方案： 工作空间会自动将这些便利贴整理成带有清晰标签的整齐文件柜。它不仅仅是倾倒数据，而是将数据转化为机器人可以用来解决特定任务的格式。
AIR（代理信息检索）：“深海潜水员”
- 问题： 有时答案并不在单个文件中，而是隐藏在庞大“数据湖”中的数百万份文档里。
- 解决方案： 工作空间帮助机器人深入这个海洋，寻找它所需的精确线索，而不是仅仅靠猜测或幻觉（编造事实）。
ADE（代理数据提取）：“侦探”
- 问题： 一些重要的信息根本没有被记录下来。它们隐藏在系统的行为方式中（比如“如果点击 X，则发生 Y”这样的隐藏规则）。
- 解决方案： 工作空间允许机器人进行安全的、微小的实验，以“钓出”这些隐藏规则，并将它们记录下来，以便机器人日后使用。

3. 让机器人更安全（“成本”）

即使有了聪明的机器人，我们也需要确保它不会破坏任何东西。论文提出了两个内置在工作空间中的安全网：

分支（Branching）：“时光旅行沙盒”
- 类比： 想象一款电子游戏，你可以保存进度，尝试一个冒险的动作，如果你死了，你可以立即读取存档。
- 现实： 当机器人需要尝试一个新想法（例如更改数据库设置）时，工作空间会创建一个当前状态的“克隆体”。机器人在这个克隆体中进行操作。如果它搞砸了克隆体，真实世界仍不受影响。如果它成功了，更改将被合并。这允许机器人承担风险，而无需担心造成永久性损坏。
数据流控制 (DFC)：“保安”
- 类比： 想象一个保安，他不只是检查谁进入了建筑，还观察他们携带的信息在做什么。
- 现实： 即使机器人被允许读取某个文件，工作空间也会阻止它对该信息进行违规操作。例如，它可能允许机器人计算总数，但严格禁止它打印出每个人的私人信用卡号列表。它执行关于数据如何混合和移动的规则，而不只是关于谁可以接触数据。

4. 大局观：良性循环

论文总结道，这不仅仅是关于更好的机器人，更是关于一个更好的生态系统。

随着机器人的工作，它会留下“人工制品”（例如更好的文件组织、发现的隐藏规则和安全策略）。
这些人工制品使工作空间变得更聪明。
更聪明的工作空间使下一个机器人变得更优秀、更安全。

简而言之： 我们正在从构建“智能助手”转向构建“智能、安全、自我修正的工作空间”，在这些空间里，机器人可以进行真正的生产工作，而无需承担意外毁灭世界的风险。

技术摘要：智能体数据环境 (Agentic Data Environments)

1. 问题陈述

本文指出，由自主智能体（Autonomous Agents）的兴起所驱动的，数据管理领域正在发生根本性的转变。虽然现代大语言模型（LLMs）和智能体框架已经使非编程人员能够部署能够观察数据、进行规划并执行动作的智能体，但目前的系统主要设计用于只读交互（例如 NL2SQL、检索增强生成）。

当智能体从“读取数据”转向“修改数据”时，核心问题便随之而来。在“智能体自动化”中，智能体会执行具有现实世界后果的操作，例如提交纳税申报表、修改会计记录或触发云端部署。这引入了一种严重的非对称性：

收益： 通过速度和规模实现渐进式积累。
成本： 是突发性的、灾难性的且难以逆转的（例如，删除生产数据库、违反监管条例）。

目前的“尽力而为”式的安全机制是不够的，因为单次失败就可能不成比例地抑制技术的采用。论文认为，挑战不仅在于智能体设计问题，更是一个系统问题。智能体运行的环境必须从被动的数据存储器演变为主动的智能体数据环境 (Agentic Data Environment)，既能放大智能体的能力，又能限制失败的风险。

2. 方法论与框架

作者提出了一种新的架构范式：智能体数据环境。这些环境是状态化的基质（Substrates），旨在主动准备信息并治理智能体的交互。该方法分为两个主要支柱：

支柱 1：提升智能体能力（信息管理）

为了最大化自动化的收益，环境必须管理信息，以便智能体能够以正确的表示形式访问正确的数据。论文根据信息的可用性定义了三个互补的方向：

智能体信息管理 (Agentic Information Management, AIM)：
- 目标： 将已知的资料源转化为智能体就绪的能力。
- 机制： AIM 不再使用静态模式（Schema）或通用的向量嵌入，而是使用多智能体系统来自动提出针对特定任务定制的数据模型、模式和提取流水线。它通过逐步增加结构（例如，将对话日志转换为具有特定技能的关系表）并根据任务反馈进行演进。
- 示例： 将多会话对话数据集转换为包含 Users、Sessions 和 Events 表的关系模式，从而允许智能体通过 SQL 进行查询，而非原始文本检索。
智能体信息检索 (Agentic Information Retrieval, AIR)：
- 目标： 在结构和来源关系未知的海量异构数据湖中发现相关证据。
- 机制： 解决探索性问答 (Exploratory Question Answering, EQA) 问题，即智能体必须迭代地推断证据需求并搜索数据湖。论文引入了 LakeQA 基准测试，旨在同时压力测试“搜索强度”（寻找来源）和“推理强度”（组合来源）。
- 挑战： 当前的模型主要失败在寻找正确的数据集，而非推理能力，这凸显了在智能体与数据湖之间建立语义层的必要性。
智能ly 数据诱导 (Agentic Data Elicitation, ADE)：
- 目标： 使存在于环境中但尚未成为显式人工制品的潜在信号具象化。
- 机制： 智能体通过观察、合成或进行受控实验，来揭示隐含的结构（例如，未记录的关系、性能瓶颈或“部落知识”）。随后，这些信息被具象化为可重用的制品（例如，推断出的约束、性能计数器），供未来任务使用。
- 示例： 智能体通过检查模式结构和查询追踪，推断出特定表是“变更日志”而非事实表，从而创建一个持久的制品，以引导未来的表选择。

支柱 2：限制风险（安全探索）

为了减轻失败的成本，环境必须提供状态安全和数据安全的保证。

用于状态安全的分支 (Branching for State Safety)：
- 目标： 允许智能体探索替代轨迹（试错），而不损坏共享状态。
- 机制： 环境必须支持全状态分支，不仅捕捉数据库状态，还包括文件系统、进程内存和终端上下文。
- 研究结果： 现有的可分支数据库（如 Neon, Dolt）是为人类创建的长寿命分支优化的，无法满足智能体探索所需的高频、短寿命分支的需求。论文引入了 Checkpoint-lite (Chkpt) 系统，它结合了组件特定分支（如 DBMS）与操作系统级检查点，以提供快速的写时复制（Copy-on-write）状态隔离。
用于数据安全的数据流控制 (Data Flow Control, DFC)：
- 目标： 约束信息在系统中的传播方式，以防止政策违规（例如，隐私泄露、幻觉传播）。
- 机制： DFC 策略定义了从源（关系、文件）到汇（提示词、API）的许可流。与传统的访问控制不同，DFC 对派生过程实施约束（例如，“每一行插入的数据必须源自收据”）。
- 实现： 论文建议通过查询引擎内的轻量级重写层来强制执行这些策略（确保优化器不变性），并在整个智能体工作流（跨 SQL、Python 和文件）中扩展追踪，以确保表示不变性 (Representation Invariance)。

3. 关键结果与评估

论文展示了用于验证所提概念的实证结果和基准测试：

AIM 性能： 在 LoCoMo 数据集上，AIM 实现的准确率与具有完整对话上下文的前沿模型相当，但仅使用了约 10% 的上下文长度。与专门的记忆系统（Mem0, Octen, GAM）相比，AIM 在准确率（提高高达 49.8%）和速度（快 4.18 倍）方面均有显著提升。
LakeQA 基准： 对七个前沿模型在 LakeQA 上的评估显示，其端到端准确率 $\le$ 23%。主要的失败模式是无法找到所需的数据集，这证实了对于 EQA 而言，搜索系统的设计与模型能力同样关键。
分支性能： 对现有可分支数据库（Neon, Xata, Tiger, Dolt, PostgreSQL）的基准测试表明，它们无法支持智能体工作负载。随着分支数量的增加，读延迟下降了 5 到 4000 倍，且分支创建延迟比查询优化系统高出 25 到 1500 倍。在 1000 步 MCTS 实验中，Neon 仅完成了 3% 的步骤，受限于并发限制。
Checkpoint-lite (Chkpt)： 初步结果显示，Chkpt 对 2GB 文件系统的检查点处理时间为 66ms（对比容器的 11.21s），对 1GB 内存状态的处理时间为 1.46s（对比使用 CRIU 的 Podman 为 8.84s）。
DFC 强制执行： 在五个数据库引擎（DuckDB, Umbra, PostgreSQL, DataFusion, SQL Server）上的实验表明，强制执行 DFC 策略对 TPC-H 查询的开销几乎为 0，同时提供了确定性保证；相比之下，基于概率的 LLM 安全检查表现出较低的 F1 分数 (0.4) 和较高的延迟。

4. 重要性与主张

论文声称，从“数据库”向“智能体数据环境”的转变对于自动化未来至关重要。其重要性在于：

重新定义安全问题： 论文认为，安全性不能仅靠更好的智能体模型来解决，它需要环境层面的保证（分支和 DFC）来限制失败的后果。
新的信息管理范式： 它超越了静态的数据表示，转向动态的、任务特定的信息准备（AIM, AIR, ADE），将数据视为实现任务成功的手段，而非仅仅是对现实的忠实呈现。
系统级需求： 它强调了当前的基础设施（数据库、操作系统、容器）并不适用于智能体探索的高频、投机性质，因此需要新的原语，如分支原生 DBMS 和感知状态的检查点。
良性循环（Virtuous Flywheel）： 论文假设这些环境会创造一个反馈循环：智能体依赖环境获取信息和保障安全，同时通过具象化新的制品（模式、策略、性能模型）来改进环境，从而使未来的任务更加准确和高效。

作者总结道，智能体数据环境不仅是一个支持层，更是将自主智能体从“尽力而为”的工具扩展到可靠、高风险自动化系统的基础基质。