智能体控制平面：多数企业 AI 栈跳过的那层治理

2026 年 9 月 2 日，Boomi 发布了 Agent Control Plane：一层位于任何智能体、模型或应用与企业事务系统之间的 AI 原生化控制点，用来约束智能体行为、集中可视性与审计、并压住失控的 token 支出（Boomi 官方新闻稿，2026 年 9 月 2 日）。它之所以重要，不是因为功能表，而是因为它指向了同一份新闻稿里引用的一个数字：Gartner 认为「到 2027 年，40% 的企业会因为只有在生产事故之后才发现的治理缺口，而降级或下线自主 AI 智能体」。这篇文章不推销任何厂商，只把那层被跳过的治理层拆开，给你一套这周就能落地的做法。

控制平面夹在智能体与企业系统之间

一、到底发布了什么

Boomi 的 Agent Control Plane 是一个厂商中立、模型中立的控制点：无论智能体是 Boomi 自建、第三方还是开源框架搭的，都要经过它才能触达事务系统。执行层的强制点来自 Boomi 收购 Lunar.dev 后整合出的 AI Gateway，把 MCP 网关与 LLM 网关合并成一个控制点。部署形态上它支持公有云、客户自己的 VPC，以及完全本地化部署，并支持自带模型（BYOM）与专用小模型；Boomi 官方给出的六个落地场景包括：收敛多厂商智能体的治理、通过 1,000+ 预置 MCP 服务器/工具做受治理的连接、把智能体跑在自己防火墙内、用业务定义与端到端血缘把答案钉在事实上、把自然语言意图转成可审批的多系统工作流，以及通过 API 与智能体技能开放给自建团队。

# agents/refunds-agent.yaml - give every agent its own identity
agent: refunds-agent
owner: finance-platform
identity:
  type: workload                    # NOT a shared "agent-api-key" secret
  service_account: sa-refunds-agent
  scopes:                           # least privilege, per tool
    - read:orders
    - read:invoices
    - write:refunds:create
  denied:
    - write:refunds:approve
    - read:payments:card_data
  data_boundary: eu-central-1        # sovereignty + residency
budget:
  tokens_per_day: 2_000_000
  usd_per_day: 75
  on_exceed: halt_and_page_owner

每个智能体一个身份，而不是共享密钥

二、治理缺口被量化了

缺口有两半。第一半是治理：Gartner 预测到 2027 年 40% 的企业会降级或下线自主智能体，原因是治理缺口只在生产事故后才暴露；Gartner 还指出「对所有 AI 智能体套用统一治理，而不区分其自主级别与作用范围，会导致企业级 AI 智能体失败」（以上引自 Boomi 官方新闻稿转引的 Gartner 表述）。第二半是渠道：智能体要创造价值就必须深度访问 Salesforce、SAP、Oracle、Workday 这类事务系统，而在缺少策略强制与边界控制的情况下授予这种访问，等于把核心知识产权暴露给公共模型。控制平面存在的理由，就是让「深度访问」与「强边界」同时成立。

# policy.py - one file that answers "may this agent do this?"
RISK = {("write", "refunds:create"): "medium",
        ("write", "refunds:approve"): "high",
        ("read",  "payments:card_data"): "blocked"}

def decide(action, tool, agent, amount_usd=0):
    key = (action, tool)
    level = RISK.get(key, "blocked")
    if level == "blocked":
        return {"decision": "deny", "reason": f"{tool} is out of scope"}
    if level == "high" or amount_usd > 5000:
        return {"decision": "hold", "reason": "human_approval_required"}
    return {"decision": "allow", "reason": "within_policy"}

# The same function is called by the gateway, the CLI, and CI.
# One decision path means one audit trail, not three partial ones.

按决策而不是按 token 计账

三、真正的瓶颈是信任

Forrester Consulting 受 Boomi 委托、于 2026 年 7 月完成的《The Agentic AI Readiness Gap》给出了最刺眼的一组对比：86% 的受访负责人表示其组织已经走出智能体试点阶段，但只有 34% 表示信任自家智能体系统所采取的行动；而那些在准备就绪之前就部署智能体的组织，平均多付出了 210 万美元的成本。注意这个顺序：不是「能力不足」，而是「跑起来了但不敢信」。这解释了为什么很多团队在演示阶段一路绿灯，一到生产就卡在审批。

# gateway.py - per-agent rate limits and hard financial caps
from collections import defaultdict
SPEND = defaultdict(float)

def guard(agent, est_usd, est_tokens, budget):
    if SPEND[agent] + est_usd > budget["usd_per_day"]:
        raise BudgetExceeded(f"{agent}: daily cap hit")
    if est_tokens > budget["tokens_per_day"]:
        raise BudgetExceeded(f"{agent}: token ceiling hit")
    SPEND[agent] += est_usd
    return {"agent": agent, "spend_today": round(SPEND[agent], 2)}

# Caps are boring and they are the whole ballgame: an agent that cannot
# exceed its budget cannot produce a surprise invoice on the 28th.

四、成本已经是一个治理问题

FinOps Foundation 的《State of FinOps 2026》调查了 1,192 位从业者，覆盖超过 830 亿美元的年云支出：98% 表示他们现在已经在管理 AI 支出，而两年前这个比例只有 31%（2025 年为 63%），AI 成本管理成为该领域最紧缺的技能（FinOps Foundation，2026 年 2 月 19 日）。Boomi 给出的答案非常朴素：为每个智能体设置速率限制与财务上限，实时跟踪用量、性能与 token 消耗，把「烧了 token 却没产出」的智能体标出来，在失控调用变成财务意外之前重新分配预算。

# approval.py - hold high-risk actions for a human, not for a retry loop
def execute(action, gateway):
    d = gateway.decide(action)
    if d["decision"] == "deny":
        return {"status": "rejected", "reason": d["reason"]}
    if d["decision"] == "hold":
        ticket = open_approval(action, evidence=action["payload_digest"])
        return {"status": "pending_approval", "ticket": ticket}
    return gateway.run(action)          # allow: inside policy, inside budget

# High-risk means: money moves, records are destroyed, or access changes.
# Everything else can run unattended.

五、这周就能搭起来的控制平面

你不需要买齐一整套平台才能开始。下面五段代码就是最小可用控制平面的骨架：给每个智能体一个独立工作负载身份与最小权限作用域（代码示例 1）；把「能不能做」收敛到一个策略函数里，让网关、CLI 与 CI 调用同一条判定路径（代码示例 2）；在网关上做速率限制与硬性财务封顶（代码示例 3）；把高风险动作挂起等人工审批，而不是丢给重试循环（代码示例 4）；最后用一种可复原的事件结构落审计（代码示例 5）。四段代码加起来不到 100 行，但它们决定了你在出事那天能不能答上话。

{
  "event": "agent.action",
  "ts": "2026-09-16T04:12:07Z",
  "agent_id": "refunds-agent",
  "identity": "sa-refunds-agent",
  "requested": {"action": "write", "tool": "refunds:create"},
  "decision": "allow",
  "policy_version": "2026-09-14.3",
  "model": "frontier-coding-1",
  "tokens": {"input": 18422, "output": 612, "cached": 16000},
  "cost_usd": 0.0413,
  "data_touched": ["orders/8812", "invoices/2291"],
  "artifact_digest": "sha256:9f2c...c71a",
  "reconstructable": true
}

// If you cannot answer "who approved this, on what data, at what cost"
// six months later, you do not have an audit trail. You have logs.

六、下次智能体评审要问的三个问题

Omdia 首席分析师 Michael Barnes 在评论这次发布时说得直接：治理的议题已经从模型风险转向执行风险——企业担心的不再是一个智能体「说了什么」，而是它对总账或客户记录「做了什么」、这个动作花了多少钱、以及半年后审计时有没有人能复原这次决策。所以评审会上问三个问题就够了：这个智能体用的是什么身份，权限边界写在哪里？哪些动作必须有人类签字，签名留在哪个系统里？半年后，我能不能仅凭审计数据复原这一次决策与它的成本？三个都答不上来的智能体，不该拿到写权限。