这两年参加过不少数据流通的交流，坐在对面的人问的第一个问题，几乎从来不是“你们用了什么算法”，而是：我把手里最核心的那份数据交出去，你怎么保证它不会被拿去干别的？
这个问题的答案，过去始终建立在一个未成文的假设之上：访问、调取数据的是人。而如今，站在数据另一端的，越来越有可能是Agent。它不会主观违约，只是无从知晓权责边界；而恰恰是这一点，再详尽的合约，也会在无形中失去效力。
人工取数与Agent取数对比
要读懂这个问题，首先要穿透表层：它并不属于技术命题。政策推动数据要素流通、释放要素价值，解决的是“为什么要用”；企业真正迈不过去的现实关卡，则是“凭什么敢用”。可信数据空间的提出，本质就是回应这一难题。按照国家数据局行动计划，到2028年将建成100个以上可信数据空间；全国数标委同步输出“服务平台+接入连接器”技术架构，把数字合约管理、数据使用控制纳入核心能力。行业给出的通用答案，这些年也已经相当收敛：数据不出域，用隐私计算做到可用不可见，每一次访问留痕上链，再签一份数字合约把用途约定下来。这套答案不新鲜，但它站在一条很长的历史线上。人类每一次让某种要素流动得更快，都伴随着信任基础的一次迁移：从相信手里的黄金，到相信一张纸币；从相信亲笔签章，到相信一段电子签名。每一次迁移都有人说“不踏实”，而每一次新体系最后都证明了自己比旧的更可靠。数据只是这条链上最新的一环——把“我得拿在手里才放心”，换成“有一套机制替我看着”。我们最初也是这么起步的：把闸口守住。谁能进来、能看哪些表、能取多少行。管住了这些，合约就算履行了。
这套守闸口的做法过去之所以能成立，靠的是三个可以被预先确定的前提。范围能事先圈定：这次合作要用哪几张表、哪些字段，谈的时候就列得清清楚楚，附件里一条条写明白。路径相对固定：固定的报表、固定的模型、固定的取数逻辑，编排一次就能长期复用。授权能一次批完：人的访问是低频的、有目的的，审批走一遍，之后按这个范围执行就行。它的取数方式和人完全不同：为了回答一个问题，它会主动探索多个数据源、试探不同的查询、顺手把相关上下文一并抓进来——它需要的范围，你事先根本枚举不完；它的查询是概率式生成的，每一次走的路径都可能不一样，编排不过；它以机器速度发起成百上千次请求，每一次都需要一个新的授权决策，而它不会在审批队列里排队等。而这已经不是少数场景。公开报告显示，在两万余家受访组织中，由AI Agent创建的数据库占比两年内从0.1%涨到了80%。今天真正在数据源前排队的，越来越不是人。范围更大、更灵活、更快——这三件事叠加起来，“在使用时控制住”的难度，就完全不是一个量级了。这里要补一句，否则容易把功劳记错地方：“合约必须在使用发生时就控制住”，从来不是Agent带来的新要求。数字合约本就该是一段运行时的策略，而不是签完存档的文本——这一点行业里早有共识，我们的合约也一直按这个标准在做。Agent没有改写这条要求，它只是把兑现这条要求的难度，抬到了另一个量级。
那是一个制造业质量分析的场景。要拿出来的是工艺配方和检测数据，这类东西对一家制造企业的分量，不亚于图纸。合约附件写得极细：哪几张脱敏表可用、每张开放到哪几个字段、用途限定为某条产线的良率归因。把边界写到这个颗粒度，是我们过去挺引以为傲的严谨。变化发生在对方接进来的是一个Agent之后。它要回答的问题并不复杂——这条产线的良率为什么波动。但为了回答它，这个Agent先去查了物料批次，想看看原料有没有换过供应商；又关联了设备运行日志，排查是不是参数漂移；中途还调了几条工艺参数明细，做一次它自己认为必要的交叉验证。每一步单独看，都是一个工艺工程师会做的动作。合在一起，就远远超出了那份附件。它不是在越权，它只是在找路。区别只在于，一个工程师走到这一步会先问一句“这几张表我能不能看”，而它不会——它没有“要不要先问一下”这个概念。
于是摆在面前的只剩两个选择：挡住它，分析跑不完，合作方会说你们这个平台连个像样的归因都做不了；放行它，那份写得很细的附件就成了摆设。会议室安静了一会儿。我们意识到，问题不在于有没有控制，而在于我们控制的颗粒度，是照着“人会怎么取数”设计的——可它不是人。而真正危险的，也不是“没有控制”，是“控制跟不上”。策略列不全、判定排不上，为了不让Agent动不动就卡死，最省事的做法就是把范围放宽一点；而范围一旦放宽就很难再收回来，为某个任务临时开的口子，项目结束了还留着。控制名义上还在，实质上已经退化成了留痕。所以那次之后，我们给自己立了一个很笨的判据，用来定期检查有没有在不知不觉中退化——把用途合约的每一条拿出来，问一句：如果它就是要越过这条边界，在那一刻，是什么真的拦住了它？如果答案是“事后审计能查出来”，那这一条已经从可强制滑回了可举证。两个词听上去只差一点，中间隔着的却是整整一个执行层。而这种滑落几乎从不是某一次决策的结果，它是一次次“先放宽一点，不然跑不动”累积出来的。行业的现实也比想象中骨感。国际数据空间体系定义了21类使用控制策略，而主流开源连接器真正落地的只有8到9类——标准文本上看起来齐整的能力，工程上远没有兑现完。第一，控制会从“预先编排”转向“实时判定”。因为再长的清单，也追不上一个探索式的行为。出路不在于把范围列得更全，而在于换一种控制方式：不再是入场时圈定一份清单、批一次就一路放行，而是每一次请求都带着上下文被当场判定。提问方式也随之改变——过去问的是“这个主体一般有没有权限碰这张表”，以后要问的是“考虑到它此刻正在做的事，这一次请求现在该不该放行”。这里还有一个容易被低估的约束：判定必须足够快。慢到让Agent停下来等，最后一定会有人提议把它关掉。很多治理方案最终被绕过，原因不是不严，是太慢。第二，手段会分层，而且必须按数据敏感度分级选用。接入、判定、执行、留痕各有各的做法，越往后成本越高。这一点我们交过学费：一上来就想给所有场景都上最重的方案，最后大概率被成本和性能拖死，一个都落不了地。合理的顺序是先把最敏感的那部分真正管住，其余的逐步跟上。第三，计量的单位也会变。当消费方是Agent，“卖出多少条数据”这个口径会慢慢让位于“按合约计量的一次可信使用”。数据的商业化，会从卖拷贝走向卖服务。而衡量一个可信数据空间的标准，也会跟着换：从比“建了多少个空间”，转向比“每一条合约条款有没有可运行的强制实现”。如果只带走一个动作，我的建议是：先别急着扩规模，拿现有的一份数字合约，逐条做一遍那个“在那一刻是什么真的拦住了它”的自查。多数团队会发现，条款当初都是按可强制设计的，但其中不少已经在一次次放宽里，悄悄退回了可举证。这不丢人——我们第一次做这道自查时，也是这个结果。
红湖·可信数据空间过去这一年的工作，基本就集中在这一件事上：在数据范围变大、访问变灵活、授权变快的前提下，怎么把“按合约使用”继续兑现住。方向上，是让控制从“事先编排”走向“当场判定”：每一次具体使用都带着上下文被实时判定，并且快到不必让Agent停下来等；使用过程放在受控的环境里，按数据敏感度分级，而不是所有场景一刀切上最重的方案；每一次使用都落下可计量、可审计的记录，让“按合约使用”从一个形容词，变成一笔可以对账的事实。
但走到这一步，我们越来越确信一件事：对一个正在犹豫要不要把核心数据拿出来的企业来说，它真正想要的其实不是更强的算法，而是一种朴素的确定感——我知道我的数据此刻正在被谁、以什么方式使用，而且我随时可以让它停下来。技术能给的从来不是绝对的安全，而是这份确定感。数据要素能不能真正流动起来，最后拼的可能也不是谁的技术更先进，而是谁能把这份确定感，稳稳地交到对方手里。毕竟到最后，一个可信数据空间的价值，不取决于它签了多少份合约，而取决于当一次使用越过约定时，有没有一行代码，真的把它拦了下来。
评价反馈
