企业级 AI 员工 Agent 平台
技术架构方案

1建设目标与产品定位

本平台不是普通的“多模型聊天工具”，而是一套基于企业组织、岗位职责、 功能权限和数据权限，为不同员工自动装配专属 AI 员工的企业级 Agent 平台。

1.1 典型使用场景

1.2 核心价值

• 将企业组织与岗位职责转化为可执行的 AI 能力。
• 将行业经验沉淀为可复用、可授权、可审计的 Skill。
• 在调用大模型前完成数据过滤、脱敏和权限校验。
• 支持云端模型与本地模型切换，避免被单一模型供应商绑定。
• 通过草稿、确认、审批和发布机制，让 AI 从“建议”逐步进入业务执行。

2核心设计原则

3总体技术架构

3.1 推荐技术栈

4组织、岗位与权限模型

岗位、角色和权限必须分开建模，避免将“用户是市场总监”直接等同于全部功能和数据权限。

4.1 权限示例

agent:business-decision:use
agent:marketing-strategy:use
agent:store-operation:use

skill:business-plan:execute
skill:competitor-research:execute
skill:campaign-create:execute

tool:store-metrics:read
tool:campaign-draft:create
tool:campaign:publish

data:tenant:read
data:region:read
data:store:read

report:view
report:export
campaign:approve

4.2 推荐权限机制

5Agent 动态装配机制

Agent 不应固定写死为“一个岗位对应一个代码类”，而应由平台依据当前用户上下文动态装配。

5.1 Agent Profile 组成

{
  "agentCode": "store_operation_agent",
  "agentName": "门店运营助手",
  "persona": "你是一名连锁门店运营管理专家",
  "defaultModelAlias": "operation-agent",
  "allowedSkills": [
    "store_operation_diagnosis",
    "campaign_plan_generation",
    "campaign_draft_create"
  ],
  "knowledgeScopes": [
    "tenant_operation_manual",
    "store_standard_process"
  ],
  "outputStyle": "ACTION_ORIENTED",
  "allowBusinessWrite": true,
  "approvalPolicy": "REQUIRE_CONFIRMATION"
}

5.2 用户专属运行实例

店长运营 Agent 实例
├── Agent：门店运营助手
├── Skill：单店经营诊断、营销活动草稿创建
├── Tool：本店指标查询、本店库存查询、活动草稿创建
├── 数据范围：门店 A
├── 指标范围：营业额、订单量、客单价、库存
├── 禁止字段：会员手机号、员工薪资
├── 模型策略：企业指定模型 / 可选兼容模型
└── 操作限制：只能创建草稿，不能直接发布

6Skill 与 Tool 体系

6.1 示例：营销活动创建 Skill

6.2 Skill 标准定义

{
  "skillCode": "campaign_create",
  "skillName": "营销活动创建",
  "requiredPermission": "skill:campaign-create:execute",
  "riskLevel": "L3",
  "requiredTools": [
    "query_store_profile",
    "query_product_margin",
    "validate_campaign_rule",
    "create_campaign_draft"
  ],
  "requiredMetrics": [
    "revenue",
    "gross_margin",
    "member_activity"
  ],
  "approvalPolicy": "USER_CONFIRM"
}

7企业数据权限中心

企业数据权限必须独立于 Agent 和提示词，统一为所有 Agent、Skill、Tool、数据库查询、 RAG 检索、缓存、报告和长期记忆提供权限边界。

7.1 数据范围层级

7.2 五个数据权限维度

7.3 Boss 与店长的数据边界

8数据查询与 AI 处理安全链路

8.1 正确的数据查询方式

大模型只能选择受控 Tool，不允许直接提交 SQL 或任意门店 ID。

{
  "tool": "query_store_operation_metrics",
  "arguments": {
    "startDate": "2026-07-01",
    "endDate": "2026-07-30",
    "metrics": [
      "revenue",
      "order_count",
      "customer_unit_price"
    ]
  }
}

门店范围由后端的 DataScopeContext 自动注入：

SELECT revenue, order_count, customer_unit_price
FROM store_daily_metrics
WHERE tenant_id = :tenantId
  AND store_id IN (:authorizedStoreIds)
  AND business_date BETWEEN :startDate AND :endDate;

8.2 应用层与数据库层双重防护

• 应用层：作为主要权限控制，处理组织、岗位、指标、字段、时间、Skill 和审批等复杂策略。
• 数据库层：可采用只读账号、视图、Row Level Security 等作为第二道防线。
• 数据服务层：对外只提供领域查询接口，不向 Agent 暴露生产数据库连接。

9典型岗位 Agent 与 Skill 规划

9.1 典型权限矩阵

10业务操作、风险分级与审批

AI 对企业业务系统的操作必须按风险分级，不能把“能调用 Skill”等同于“能直接发布”。

10.1 营销活动创建安全流程

11核心数据模型

11.1 组织与权限

tenant
organization
department
position
user
role
permission

user_position
user_role
role_permission

11.2 Agent 与 Skill

agent_definition
agent_version
agent_prompt
agent_model_policy
agent_knowledge_scope

tenant_agent
position_agent
role_agent
user_agent

skill_definition
skill_version
skill_parameter
skill_step
skill_tool
agent_skill
role_skill
tenant_skill

11.3 Tool、数据权限与审批

tool_definition
tool_endpoint
tool_permission
tool_risk_level
tool_approval_policy

user_data_scope
role_data_scope
user_store_scope
metric_definition
role_metric_permission
data_field_definition
role_field_permission
data_policy

approval_instance
approval_record

11.4 运行与审计

agent_session
agent_run
skill_run
tool_call_log
llm_request_log
generated_report
security_event_log

11.5 用户数据范围表建议

12接口与运行上下文设计

12.1 数据权限上下文

public record DataScopeContext(
    Long tenantId,
    Long userId,
    Set<Long> businessUnitIds,
    Set<Long> regionIds,
    Set<Long> storeIds,
    Set<String> allowedMetrics,
    Set<String> allowedFields,
    LocalDate earliestDataDate,
    LocalDate latestDataDate,
    DataScopeType scopeType
) {}

12.2 Agent 执行上下文

public record AgentExecutionContext(
    Long tenantId,
    Long userId,
    String agentCode,
    Set<String> allowedSkills,
    Set<String> allowedTools,
    DataScopeContext dataScope,
    ModelPolicy modelPolicy,
    ApprovalPolicy approvalPolicy,
    String traceId
) {}

12.3 Tool 执行约束

• 所有 Tool 必须显式接收当前 AgentExecutionContext。
• Tool 参数中的组织、区域、门店等范围只能缩小，不得扩大上下文权限。
• Tool Gateway 负责二次权限校验、字段白名单、时间范围和结果数量限制。
• 查询结果在进入大模型前完成敏感字段脱敏、聚合和裁剪。

13安全、缓存、RAG 与审计

13.1 RAG 知识库权限

文档与切片必须携带租户、组织、区域、门店、密级和允许角色等元数据，检索前先做权限过滤。

{
  "tenantId": 1001,
  "documentId": "DOC-001",
  "regionId": 3001,
  "storeId": 4001,
  "securityLevel": "INTERNAL",
  "allowedRoles": ["BOSS", "REGION_MANAGER"]
}

13.2 缓存与报告

• 缓存键必须包含租户、用户或数据范围摘要，防止 Boss 的全局结果被店长复用。
• 生成报告必须记录所属企业、创建用户、数据范围、安全等级和允许访问对象。
• Agent 长期记忆不能跨租户、跨用户或跨数据范围复用。

13.3 审计内容

谁
在什么时间
使用哪个 Agent
执行哪个 Skill
调用哪个 Tool
查询了哪些数据范围和指标
返回多少条记录
使用哪个模型
生成或修改了什么业务对象
是否经过用户确认和审批
是否发生越权尝试

14MVP 建设范围

第一期先验证“真实数据、权限隔离、标准 Skill、可控执行”四个核心闭环。

14.1 首批岗位与 Agent

14.2 MVP 能力清单

• 4 个岗位、4 个 Agent、约 12 个 Skill、20～30 个受控 Tool。
• 强制租户隔离，支持 TENANT、REGION、STORE 三级数据范围。
• 支持指标白名单和敏感字段脱敏。
• 支持 2 个云端模型与 1 个本地模型，后台配置模型别名和路由。
• 支持只读分析、内容生成、业务草稿、用户确认和审批。
• 支持 Agent、Skill、Tool、数据范围和模型调用的完整审计。
• 支持结构化报告输出和权限继承。

14.3 第一阶段暂缓

• 多 Agent 自由讨论和无限自主规划。
• 无人确认的正式业务执行。
• 大模型直接执行任意 SQL。
• 跨用户共享长期记忆。
• 过早建设复杂通用策略 DSL。

15实施路线与优先级

15.1 建设优先级

1. 先数据与权限：明确企业、区域、门店、字段和指标边界。
2. 再 Tool：所有数据库和业务系统操作封装为受控接口。
3. 再 Skill：把行业任务固化为标准输入、步骤和结构化输出。
4. 再 Agent：根据岗位、角色和权限动态装配 AI 员工。
5. 最后增强自主性：在安全、评测和审计成熟后逐步引入复杂编排。