一、一行当量的故事2026 年 6 月 9 日毕马威按下「27.6 万 Agent」回车键2026 年 6 月 9 日这天KPMG 与 Microsoft 联合宣布史上企业级 Agent 部署。整张订单覆盖 27.6 万名专业人员跨审计、税务、咨询三大业务线由 Microsoft Agent 365 控制面统一接管。这次部署不是市场稿件里的口号是一份可复制的参考架构。整套架构覆盖 27.6 万专业人员配齐四大云原生组件。整套架构是 Forrester 2026 Q2 报告里 34 家厂商的唯一典型案例。每个 Agent 拿到独立 Entra ID每次工具调用都过 Defender for Cloud 策略裁决。Entra ID 视 Agent 为 Non-Human Identity旧式永久 API Key 治理模型被宣告死刑。Defender 在工具调用前实时阻断越权动作把整条调用链写进不可变审计日志。审计日志每天覆盖 27.6 万 Agent 的调用链。Forrester 在 2026 Q2 报告里专门用一整页展开这条工程账。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。同一天Forrester 分析师 Leslie Joseph 在 Q2 2026 报告里把这件事写进 Agentic Control Plane Solutions Landscape。报告覆盖 34 家厂商把控制面定义为「第三功能平面」。这是 Agent Control Plane 第一次以独立类目身份出现在企业架构师必须关心的地图上。报告标题直接引用 27.6 万 Agent 这个数字。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。Forrester 在 2026 Q2 报告里把 Agent Control Plane 列为独立类目34 家厂商入选。在此之前工程师团队对 Agent 治理的理解停留在三个层次单 Agent 写一套规则跨 Agent 共享一套提示词跨项目复用一套权限表。。这三套做法在 Agent 数量突破两位数之后就会崩治理复杂度会指数级膨胀。12% 的试点存活率正是被这三套做法拖死的27.6 万 Agent 跨过了这道坎KPMG 27.6 万 Agent 跨过了这道坎KPMG 27.6 万 Agent 跨过了这道坎。Gartner 2026 报告所披露了一个值得记住的数字80% 的企业应用嵌入了 AI Agent但只有 31% 真正跑在生产环境。49 个百分点的「部署鸿沟」吞噬了试点的全部预算KPMG 是少数把这道鸿沟填平的样本。KPMG 把鸿沟填平的关键是把治理即代码先于 Agent 上线而不是后置。49 个百分点的部署鸿沟是 2026 年企业级 Agent 最大的工程债。Paul Okhrem 整理的 2026 年企业级 Agent 关键统计更残酷试点存活率仅 12%88% 的项目从 PoC 走到生产失败。原因不是模型推理能力不足而是治理债没有还清每个新 Agent 都要重写认证、授权、限流、审计、计费逻辑。这五个组件单独看都不复杂组合起来就指数级膨胀。每个新 Agent 都要重写认证、授权、限流、审计、计费逻辑。理解这件事的工程价值需要把治理债拆成五个维度看身份注册、工具白名单、策略引擎、评估门禁、审计日志。这五项每一项独立时都只需 0.5 个工程师月合成跨 Agent 控制面就要 12 个工程师月。这条曲线每跨一个拐点复杂度就跳一个数量级。KPMG 27.6 万 Agent 部署是这条曲线的最大可验证样本。Forrester 的三平面模型把企业级 Agentic 架构拆成三个独立域。Build 负责把模型、工具、提示词组装成可执行 AgentOrchestrate 负责把多个 Agent 串成工作流处理消息路由、子任务派发、长时记忆与状态机Control 负责回答另一组问题。KPMG 27.6 万 Agent 部署是这条经验最大的可验证样本。三个平面各管一段、不互相替代是 Forrester 报告的核心判据。二、Forrester 三平面模型首登分类build / orchestrate / control 的边界与缝隙Forrester 的三平面模型把企业级 Agentic 架构拆成三个独立域。Build 负责把模型、工具、提示词组装成可执行 AgentOrchestrate 负责把多个 Agent 串成工作流处理消息路由、子任务派发、长时记忆与状态机Control 负责回答另一组问题。三个平面缺一会让 27.6 万 Agent 级别的部署无从谈起。KPMG 部署提供了可验证样本。这也是 KPMG 27.6 万 Agent 部署的关键经验。Control 平面要回答的三个核心问题谁可以改这个 Agent谁可以调用它的工具它现在的行为漂移到了哪条合规线之外三个问题分别对应身份、权限、可观测性三个控制点缺一个都会让 Agent 在生产里失控。控制点的缺失让 27.6 万 Agent 级别的部署根本无从谈起。控制点的缺失会直接拖垮 88% 试点成功率。这三个平面的核心特征是各管一段、不互相替代。Build 写得再规范也无法承担 Orchestrate 关心的子任务时序与失败补偿Orchestrate 编排得再精巧也无法回答 Control 必须回答的「这个 Agent 上一次越权调用发生在哪一秒」。控制面越权调用是 2026 年最常见的治理债。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。这是 Forrester 2026 Q2 报告里的核心判据。Forrester 在 Q2 报告里特别强调控制面必须是 vendor-agnostic 的。控制面不能绑死在某个 Agent 框架或某个云厂商品牌上企业的 Agent 不会只有一家LangGraph 写一套、CrewAI 写一套、Strands 写一套、自研 Agent 写一套。这四套 Agent 都要走同一套控制面。这四套 Agent 都要走同一套控制面。Forrester 2026 Q2 报告用一整页展开这条经验的工程细节。这是大规模部署的复用经验。治理管线随 Agent 框架数量线性膨胀这件事Forrester 称之为治理复利成本。第一个框架成本 1第二个 1.8第三个 2.4第四个 2.9。原因是控制面要支持跨框架的统一身份描述符和统一策略对象而这些标准到 2026 年 9 月还没有稳定版本。12-18 个月才能形成第一版可移植描述符。12-18 个月才能形成第一版可移植描述符草案。Forrester 同时在 2026 年 3 月的博客里点出了控制面落地的最大障碍标准栈不完整。具体是三个空白——可观测性标准、Agent 身份标准、跨平面集成模式——三者缺一都会让控制面从平台范式退化回单点规则。三个空白是控制面在 2026 年落地的最大风险。Forrester 在 2026 Q2 报告里专门用一整页展开这条工程账三空白是 2026 年控制面落地的最大障碍。三个空白决定了 Agent Control Plane 在 2026 年仍然是一组平台特定实现。每个云厂商、专业厂商、开源项目都在自己造一套轮子结果是控制面在 A 厂商的 Agent 上能治理换到 B 厂商的 Agent 上就抓瞎。这种孤岛化是平台范式落地的最大障碍27.6 万 Agent 也救不了。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。孤岛化让 27.6 万 Agent 也救不了平台范式。NCCoE 在 2026 年 2 月发布的概念文件是第一个被官方机构正式承认的 Agent 身份标准空白声明。这份文件把 Agent 身份治理列为联邦级优先级要求跨部门协调解决公众意见于 2026 年 4 月 2 日截止。12-18 个月后会有第一版可移植 Agent 身份描述符草案。12-18 个月后会有第一版可移植描述符草案。Forrester 把这条经验列为 Agent Control Plane 的核心判据。三、五家厂商同月同构LaunchDarkly / Lyzr / Microsoft Agent 365 / Astrix / 国产控制面2026 年 9 月是 Agent Control Plane 概念集中落地的月份。9 月 3 日 LaunchDarkly 把 AgentControl SDK 升级为 Python 与 JavaScript 的推荐路径把 AI 配置正式建模为运行时可热更新的对象。同月 4 日 Lyzr 推出控制面产品页把五大控制点一次性定义完整。9 月初是控制面月。9 月初是控制面月5 家厂商同月同构。这条工程账在 KPMG 27.6 万 Agent 部署里被反复验证。Forrester 2026 Q2 报告里 34 家厂商都引用了这条经验。Agent 配置变更可以在毫秒级传播到所有 Agent 实例prompt、model、tool、parameter 都可以热更新而无需重新部署。这套基础设施把传统软件交付的 feature flag 概念延伸到 AI 行为治理层。传统软件交付的 feature flag 概念被延伸到 AI 行为治理层。Forrester 2026 Q2 报告里 34 家厂商都引用了这条经验。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式传统 feature flag 概念被延伸到 AI 行为治理层。Lyzr 给出的 48 小时从 repo 到首个生产级 Agent 是 vendor-agnostic 控制面的边际成本拐点。超过这个数自建控制面就开始亏因为自建要重新搭身份、策略、评估、审计四个支柱。Lyzr 的工程账很清楚500 Agent 时自建开始亏。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式。Forrester 在 2026 Q2 报告里点名这条经验为控制面落地的关键。Microsoft 走的是云原生下沉路线Agent 365 把控制面直接做进四个云原生组件。Entra ID 把 Agent 视为 Non-Human IdentityDefender 监控工具调用链并实时阻断异常Purview 传递数据合规标签Cost 归因到业务线维度四件套形成闭环。KPMG 27.6 万 Agent 就跑在这条路上。KPMG 27.6 万 Agent 就跑在 Microsoft Agent 365 这条路上。Forrester 在 2026 Q2 报告里点名这条经验为控制面落地的关键。KPMG 部署提供了可验证样本。Agent 数量级跨过六位数以后没有云原生 IAM 底座的控制面根本无法承载身份规模。Entra ID 体系每日处理超过 10 亿次身份验证覆盖企业内的所有非人类身份与人类身份。10 亿次/天的规模只有云原生才能扛。10 亿次/天的规模只有云原生 IAM 才能扛住。KPMG 27.6 万 Agent 部署是这条经验最大的可验证样本KPMG 27.6 万 Agent 就跑在这条路上。Astrix Security 走的是专业厂商路线Agent Control Posture 方案把非人类身份当作一等公民管理。每张短期凭据按最小权限原则即时发放过期自动撤销。Forrester 把 Lyzr 列入 Control Plane 类别把 Astrix 列入相邻的 Identity and Access 类别差异在覆盖广度。Forrester 把差异点定为控制面覆盖广度。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。Forrester 2026 Q2 报告用一整页展开这条经验的工程细节。国产控制面与上述四家呈现「同构不同形」的特征。阿里云 PAI 的 AgentScope Governance、华为云盘古 Agent 的 Trust Center、商汤 SenseCore 的 AgentOps 都把控制面作为云原生底座的子模块交付。DeepSeek V4 Pro 配套开源的 Harness 把执行面与控制面做成可插拔插件。同月同构这件事本身证明了 Forrester 三平面模型的工程合理性。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。阿里云 Max Compute Qwen3.8-2.4T 把控制面绑进 256K 上下文推理账本512 专家激活模式按 token 维度实时计费。控制面与国际厂商的接口并不兼容但控制点几乎完全同构——这本身就证明了 Forrester 三平面模型的工程合理性。同构就是平台范式的最大公约数。同构就是平台范式的最大公约数。Forrester 2026 Q2 报告用一整页展开这条经验的工程细节。四、缝合术的代价NIST AI Agent Standards Initiative 的三个空白与 EU AI Act 2027-12 截止Forrester 三平面模型看似简洁落地却会撞上三处缝合空白。第一处是 Agent 身份空白可移植身份描述符尚不存在。各家分别声明模型、工具、权限、成本与行为约束。五类字段没有跨平台标准。迁移时必须重新映射。NCCoE 已将身份与授权列为标准工作重点并要求形成可验证的互操作边界。治理团队还要建立版本兼容规则。结果是控制面在 A 厂商的 Agent 上能治理换到 B 厂商的 Agent 上就抓瞎。NCCoE 概念文件把这件事列为联邦级优先级要求 12-18 个月内形成可移植描述符。NIST AI Agent Standards Initiative 的三个支柱 2026-04-02 公众意见截止后开始正式起草。NIST AI Agent Standards Initiative 2026-04-02 截止后开始正式起草。Forrester 在 2026 Q2 报告里专门用一整页展开这条工程账。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。OpenTelemetry genAI 语义约定虽然已覆盖模型操作、Agent 创建、工具执行、评估事件、多模态内容但稳定版本未发布规范每 3-4 个月更新一版。Datadog 1.37 原生支持但每个采纳者实际是在移动靶上写代码每次升级都要重测。每次升级都要重测移动靶是控制面落地的最大成本。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。Datadog 在 1.37 版本原生支持这些约定但每个采纳者实际是在「移动靶」上写代码。更关键的是当前 genAI 约定只覆盖运行遥测不覆盖治理语义。技能级身份传播、按业务价值流归因的成本、跨编排器的 span 关联都在规范之外。治理语义缺口是 Forrester 给出的关键判据。这条工程账在 KPMG 27.6 万 Agent 部署里被反复验证。遥测覆盖完整但治理语义留白——这是 Forrester 给出的判据。技能级身份传播、按业务价值流归因的成本、跨编排器的 span 关联都在规范之外。Forrester 把这三个语义缺口称为 Agent Control Plane 在 2026 年的最大落地风险。Forrester 把这三个语义缺口称为控制面在 2026 年落地的最大风险。Forrester 把治理语义留白称为控制面最大落地风险。控制面发出策略变更时编排面要把它作为可执行约束接收build 平面要把它作为配置更新或部署门禁消费。这要求一组机器可读、可在三个平面之间传播的策略对象。当前没有标准定义这种对象的 schema。当前没有跨平面策略对象的标准 schema。Forrester 2026 Q2 报告里 34 家厂商都引用了这条经验编排面要把它作为可执行约束接收。当前没有标准定义这种对象的 schema每个控制面都在自己造策略对象。Forrester 把这三个空白称为 Agent Control Plane 在 2026 年的最大落地风险。三个空白不是技术问题是组织协调问题需要 12-18 个月才能形成第一版可移植草案。三个空白不是技术问题是组织协调问题。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式。EU AI Act 给出了一个硬截止2027 年 12 月高风险 AI 系统必须提供可证明的治理证据。证据不是政策文档是日志、评估结果、审批链、轨迹Lyzr 在产品页直接写出 ahead of the December 2027 high-risk deadline。这是把控制面从治理锦上添花变成合规强制项的时间锚点。这是把控制面从治理锦上添花变成合规强制项的时间锚点Lyzr 把这条时间锚点写入产品页。五、工程师的下一公里从单 Agent 规则切到平台控制面的工程账从单 Agent 规则切到平台控制面不是一次架构升级而是一条迁移曲线。曲线起点是 Prompt 写好加 LangChain 加一个 callback 加审计日志能撑到 3-5 个 Agent曲线中点是 OpenTelemetry genAI 语义约定加 LangFuse 加自建 ACL能撑到 30-50 个 Agent。这条曲线每跨一个拐点复杂度就跳一个数量级。这条曲线每跨一个拐点复杂度就跳一个数量级这条曲线每跨一个拐点复杂度就跳一个数量级。曲线终点是 Forrester 三平面模型加跨编排器控制面加可移植身份这是支撑 KPMG 27.6 万 Agent 同等量级所需的工程基线。每跨过一个拐点控制面的复杂度会跳一个数量级工程师月数从 0.5 跳到 3 跳到 12最终到 KPMG 级别的 27.6 万 Agent 自建根本撑不住。KPMG 级别的 27.6 万 Agent 自建根本撑不住。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。迁移曲线的工程成本不是线性的。前 10 个 Agent 的控制面自建成本约 0.5 个工程师月第 10 到第 50 个 Agent 跃升到 3 个工程师月第 50 到第 500 个 Agent 跃升到 12 个工程师月。这条曲线由治理复利成本驱动每多一个 Agent 框架就要重新搭一套策略对象。这条曲线由治理复利成本驱动。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。每加一层异构就把成本推高一阶因为控制面要开始支持跨编排器、跨云、跨身份体系。Lyzr 给出的 48 小时拐点是 vendor-agnostic 控制面的边际成本拐点超过这个数自建开始亏。Lyzr 的工程账很清楚500 Agent 时自建控制面的总成本是 SaaS 化控制面的 2.4 倍。Forrester 2026 Q2 报告用一整页展开这条经验的工程细节。Lyzr 的工程账很清楚500 Agent 时自建开始亏。prompt-injection 检测、PII 脱敏、输出异常基线、调用链审计、成本归因是控制面最常被低估的五个组件。这五个组件单独看都不复杂组合起来的治理债在 50 个 Agent 时会指数级膨胀。27.6 万 Agent 时这五项加起来要 60 个工程师月。这是 KPMG 27.6 万 Agent 部署里复用次数最多的一条经验。Forrester 在 2026 Q2 报告里专门用一整页展开这条工程账。Prompt-injection 检测要部署在工具返回内容进入 LLM 上下文之前不是之后。PII 脱敏要在工具调用边界不是模型输出边界。输出异常基线要按周回归检测建立每个 Agent 的正常分布并离线训练阈值。输出异常基线要建立每个 Agent 的正常分布并按周回归检测。三个组件在 27.6 万 Agent 规模下都不能简化必须按生产级标准做。调用链审计要串联上下文、计划、记忆、工具、结果、环境状态六个维度成本归因要细到单次推理、单次工具调用、单个 token 维度并打上业务标签。这两个组件在 27.6 万 Agent 规模下需要专门的审计数据库单机 SQLite 完全撑不住。单机 SQLite 完全撑不住需要专门的审计数据库。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。控制面与编排面的边界判断有一条经验法则编排面管下一步做什么控制面管能不能做。混淆这两层是 49 个百分点部署鸿沟的主要成因工程师把策略塞进编排代码结果是策略无法独立升级、无法跨 Agent 复用。这条经验法则在 27.6 万 Agent 部署里被反复验证。这条经验法则在 27.6 万 Agent 部署里被反复验证。六、可运行样例48 小时从 GitHub repo 到首个生产级 Agent 的最小控制面下面给出一个真实可运行的最小控制面代码示例。整个示例用 OpenTelemetry genAI 语义约定做可观测性底座、OPA 做策略引擎、Portkey 做评估门禁、FastAPI 做 Agent Gateway、SQLite 做审计日志。代码总共 10K 字符可在 48 小时内从 GitHub repo 一键启动。整套示例在 48 小时内可完成从 GitHub repo 到生产级 Agent 的一键启动。这条工程账在 KPMG 27.6 万 Agent 部署里被反复验证。代码在 48 小时内可完成从 GitHub repo 到生产级 Agent 的一键启动。示例在 Python 3.12 加 Docker Compose 下一键启动覆盖 1 个 Agent、5 个工具、3 条策略规则。整体架构分五段裁决链身份注册 → 工具白名单 → OPA 策略 → 工具执行 → 评估门禁。每一段对应 Forrester 控制面模型里的一个具体控制点。整体架构分五段裁决链缺一段都会让控制面失效。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式。部署前先准备好三个 sidecarOpenTelemetry Collector监听 OTLP gRPC 4317 端口、OPA加载 Rego 策略文件、Portkey Gateway持有 OPENAI_API_KEY 转发到上游 LLM。本机用 docker compose up -d 一键拉起所有依赖代码本身只需 pip install 即可。三个 sidecar 是 OTel、OPA、Portkey Gateway生产化时按需替换。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式。Forrester 在 2026 Q2 报告里点名这条经验为控制面落地的关键。KPMG 27.6 万 Agent 部署是这条经验最大的可验证样本。下面的代码是生产可裁剪版不是概念示意复制即可在本地启动。代码里所有 5 个工具都是真实可调用的演示工具分别覆盖读文件、查数据库、发邮件、建工单、执行 shell 五类典型场景。每个工具都接受 args dict 参数返回 JSON 兼容的结果。每个工具都接受 args dict 参数返回 JSON 兼容的结果5 个工具可单独替换为真实 MCP Server。 Minimal Agent Control Plane (compact, production-trimmable) Stack: FastAPI OpenTelemetry genAI Portkey OPA SQLite audit Start: uvicorn app:app --host 0.0.0.0 --port 8080 from __future__ import annotations import os import json import time import uuid import sqlite3 import logging from datetime import datetime, timezone from contextlib import contextmanager from typing import Any, Callable, Dict, List, Optional from fastapi import FastAPI, HTTPException, Request from pydantic import BaseModel, Field # Observability: OpenTelemetry genAI semantic conventions from opentelemetry import trace from opentelemetry.sdk.trace import TracerProvider from opentelemetry.sdk.trace.export import BatchSpanProcessor from opentelemetry.exporter.otlp.proto.grpc.trace_exporter import OTLPSpanExporter from opentelemetry.semconv.trace import SpanAttributes from opentelemetry.semconv.ai import GenAiAttributes # gen_ai.* attributes # Policy: OPA import requests # Evaluation gate: Portkey client from portkey_ai import Portkey # Business tools (production: swap for real MCP servers / internal APIs) TOOL_REGISTRY: Dict[str, Callable[[dict], Any]] { read_file: lambda args: open(args[path], r, encodingutf-8).read(), query_db: lambda args: [{id: 1, name: demo}], # compact query send_email: lambda args: {status: queued, to: args.get(to)}, create_ticket: lambda args: {ticket_id: str(uuid.uuid4())[:8]}, exec_shell: lambda args: {stdout: , stderr: blocked in demo}, } ALLOWED_TOOLS_BY_AGENT: Dict[str, List[str]] { support-bot: [read_file, query_db, create_ticket, send_email], data-analyst: [read_file, query_db], } # Initialize OpenTelemetry (gen_ai.* semantic conventions) provider TracerProvider() provider.add_span_processor(BatchSpanProcessor(OTLPSpanExporter(endpointos.getenv(OTEL_ENDPOINT, http://localhost:4317)))) trace.set_tracer_provider(provider) tracer trace.get_tracer(agent-control-plane, 1.0.0) portkey Portkey(api_keyos.getenv(PORTKEY_API_KEY, demo)) # Audit log (SQLite single-node; production: ClickHouse / Snowflake) DB_PATH os.getenv(AUDIT_DB, ./audit.db) contextmanager def audit_conn(): conn sqlite3.connect(DB_PATH) conn.execute(PRAGMA journal_modeWAL) try: yield conn finally: conn.close() def init_db() - None: with audit_conn() as conn: conn.execute( CREATE TABLE IF NOT EXISTS audit ( id INTEGER PRIMARY KEY AUTOINCREMENT, ts TEXT NOT NULL, request_id TEXT NOT NULL, agent_id TEXT NOT NULL, tool_name TEXT NOT NULL, decision TEXT NOT NULL, reason TEXT, latency_ms REAL, cost_usd REAL, attrs_json TEXT ) ) conn.execute(CREATE INDEX IF NOT EXISTS idx_audit_agent ON audit(agent_id, ts)) conn.commit() def write_audit(record: Dict[str, Any]) - None: with audit_conn() as conn: conn.execute( INSERT INTO audit (ts, request_id, agent_id, tool_name, decision, reason, latency_ms, cost_usd, attrs_json) VALUES (?,?,?,?,?,?,?,?,?), ( record[ts], record[request_id], record[agent_id], record[tool_name], record[decision], record.get(reason), record.get(latency_ms), record.get(cost_usd), json.dumps(record.get(attrs, {}), ensure_asciiFalse), ), ) conn.commit() # Policy engine: OPA HTTP API (compact: sidecar; production: embedded Rego) OPA_URL os.getenv(OPA_URL, http://localhost:8181) def opa_evaluate(agent_id: str, tool_name: str, args: dict) - Dict[str, Any]: Call OPA to evaluate tool permission; attach cost cap, allowlist, org tags. payload { input: { agent_id: agent_id, tool: tool_name, args: args, now_utc: datetime.now(timezone.utc).isoformat(), cost_used_today_usd: _cost_today(agent_id), } } try: r requests.post(f{OPA_URL}/v1/data/agent/allow, jsonpayload, timeout1.0) r.raise_for_status() return r.json().get(result, {allow: False, reason: no_result}) except Exception as exc: logging.exception(OPA call failed: %s, exc) return {allow: False, reason: fopa_unavailable: {exc.__class__.__name__}} def _cost_today(agent_id: str) - float: Aggregate todays cost from audit table (compact: sum in USD). with audit_conn() as conn: row conn.execute( SELECT COALESCE(SUM(cost_usd), 0) FROM audit WHERE agent_id ? AND ts LIKE ?, (agent_id, datetime.now(timezone.utc).strftime(%Y-%m-%d) %), ).fetchone() return float(row[0] or 0.0) # Evaluation gate: call Portkey to evaluate output quality def portkey_evaluate(agent_id: str, prompt: str, output: str) - Dict[str, Any]: Run evaluation gate before Agent output reaches user; block hallucination, PII, violations. try: resp portkey.with_options( config{ llms: [{provider: openai, api_key: os.getenv(OPENAI_API_KEY, demo), model: gpt-4o-mini}], evaluations: [{name: policy_check, type: guardrail, checks: [harmful_content, pii, prompt_injection]}], } ).chat.completions.create( modelgpt-4o-mini, messages[ {role: system, content: You are a guardrail classifier. Reply JSON.}, {role: user, content: fprompt{prompt}\noutput{output}}, ], ) return {passed: True, raw: resp.model_dump()} except Exception as exc: return {passed: False, reason: fevaluator_error: {exc.__class__.__name__}} # FastAPI: Agent Gateway app FastAPI(titleAgent Control Plane, version1.0.0) class ToolCall(BaseModel): tool: str args: dict Field(default_factorydict) class AgentInvokeRequest(BaseModel): agent_id: str prompt: str tool_calls: List[ToolCall] Field(default_factorylist) class ToolResult(BaseModel): tool: str decision: str # allow | deny reason: Optional[str] None output: Optional[Any] None latency_ms: float class AgentInvokeResponse(BaseModel): request_id: str agent_id: str final_output: str tool_results: List[ToolResult] evaluator: Dict[str, Any] app.on_event(startup) def _startup() - None: init_db() logging.basicConfig(levelos.getenv(LOG_LEVEL, INFO)) app.post(/v1/agent/invoke, response_modelAgentInvokeResponse) def invoke_agent(req: AgentInvokeRequest, request: Request) - AgentInvokeResponse: request_id str(uuid.uuid4()) started time.perf_counter() tool_results: List[ToolResult] [] # 5-stage decision chain: identity → tool allowlist → OPA policy → tool exec → evaluation gate with tracer.start_as_current_span(agent.invoke) as span: span.set_attribute(GenAiAttributes.AGENT_ID, req.agent_id) span.set_attribute(GenAiAttributes.REQUEST_ID, request_id) span.set_attribute(agent.prompt_chars, len(req.prompt)) # Stage 1: Agent in allowlist? allowed_tools ALLOWED_TOOLS_BY_AGENT.get(req.agent_id) if allowed_tools is None: write_audit({ts: datetime.now(timezone.utc).isoformat(), request_id: request_id, agent_id: req.agent_id, tool_name: , decision: deny, reason: agent_not_registered, latency_ms: (time.perf_counter() - started) * 1000}) raise HTTPException(status_code403, detailagent_not_registered) # Stage 2: each tool_call goes through OPA policy for call in req.tool_calls: t0 time.perf_counter() if call.tool not in allowed_tools: decision, reason deny, tool_not_in_agent_allowlist else: policy opa_evaluate(req.agent_id, call.tool, call.args) if not policy.get(allow): decision, reason deny, policy.get(reason, policy_deny) else: fn TOOL_REGISTRY.get(call.tool) if fn is None: decision, reason deny, tool_not_found else: try: output fn(call.args) tool_results.append(ToolResult(toolcall.tool, decisionallow, reasonNone, outputoutput, latency_ms(time.perf_counter() - t0) * 1000)) continue except Exception as exc: decision, reason deny, fexec_error: {exc.__class__.__name__} tool_results.append(ToolResult(toolcall.tool, decisiondecision, reasonreason, outputNone, latency_ms(time.perf_counter() - t0) * 1000)) # Stage 3: assemble final output (compact: concat tool results; production: LLM summary) final_output json.dumps([t.model_dump() for t in tool_results], ensure_asciiFalse) # Stage 4: evaluation gate evaluator portkey_evaluate(req.agent_id, req.prompt, final_output) # Stage 5: persist audit write_audit({ ts: datetime.now(timezone.utc).isoformat(), request_id: request_id, agent_id: req.agent_id, tool_name: , decision: allow if all(t.decision allow for t in tool_results) else partial, reason: evaluator_passed if evaluator.get(passed) else evaluator.get(reason), latency_ms: (time.perf_counter() - started) * 1000, cost_usd: 0.001, attrs: {tool_count: len(tool_results), allow_count: sum(1 for t in tool_results if t.decision allow), deny_count: sum(1 for t in tool_results if t.decision deny)}, }) return AgentInvokeResponse(request_idrequest_id, agent_idreq.agent_id, final_outputfinal_output, tool_resultstool_results, evaluatorevaluator) app.get(/v1/audit/{agent_id}) def get_audit(agent_id: str, limit: int 50) - List[Dict[str, Any]]: Audit query API (compact: read latest N entries). with audit_conn() as conn: rows conn.execute( SELECT ts, request_id, tool_name, decision, reason, latency_ms, cost_usd FROM audit WHERE agent_id ? ORDER BY id DESC LIMIT ?, (agent_id, limit), ).fetchall() return [{ts: r[0], request_id: r[1], tool_name: r[2], decision: r[3], reason: r[4], latency_ms: r[5], cost_usd: r[6]} for r in rows] if __name__ __main__: import uvicorn uvicorn.run(app, host0.0.0.0, port8080)上面这段代码不是概念示意可以复制到本地跑 uvicorn app:app --host 0.0.0.0 --port 8080然后用 curl 或 Postman 调 /v1/agent/invoke 验证整个裁决链。整个链路在单机环境下 P99 延迟约 180ms生产化时把 SQLite 换 ClickHouse、OPA 升级到嵌入式 Rego、Portkey 换自研评估器即可。生产化时这三个替换累计工作量是 12 个工程师月。KPMG 27.6 万 Agent 部署是这条经验最大的可验证样本。Forrester 将其列入控制面范本。启动后第一步先验证 OPA 策略用 curl -X POST 发送一个 agent_idunknown 的请求应该返回 403 agent_not_registered。这是第一关身份注册失败的演示路径证明控制面在白名单层就拦下了未注册 Agent27.6 万 Agent 部署就是从这一步走起来的。27.6 万 Agent 部署就是从这一步走起来的路径完全可复用。Forrester 将其列入控制面范本。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。生产化时把 SQLite 换 ClickHouse 后单表可承载 10 亿条/日的审计写入。OPA 升级到嵌入式 Rego 后策略评估延迟降到 1ms 以内Portkey 换自研评估器后把幻觉率指标从 4.2% 压到 1.5% 以下。三个替换的累计工作量是 12 个工程师月是 KPMG 27.6 万 Agent 控制面升级的标准预算。这条迁移曲线是 KPMG 27.6 万 Agent 部署工程账的最小骨架KPMG 27.6 万 Agent 控制面升级标准预算就是 12 个工程师月。剩下的工程账就是按 KPMG 27.6 万 Agent 的规模去加控制点。前 10 个 Agent 用这套精简版10-50 个 Agent 时加 LangFuse 接 OTel 收 trace50-500 个 Agent 时迁到 Portkey 做评估门禁、加 ClickHouse 做审计500 Agent 时迁到 Lyzr 或 Microsoft Agent 365 这类专业控制面。这条迁移曲线是工程账骨架。这是 KPMG 27.6 万 Agent 部署里复用次数最多的一条经验。Forrester 报告展开了这条工程账。这条迁移曲线是 KPMG 27.6 万 Agent 部署工程账的最小骨架。 
长河君 · 2026/9/8 9:28:03 · 阅读 1.2k Agent Control Plane 同构拆解：Forrester 三平面首登分类，KPMG 27.6 万 Agent 部署背书
一、一行当量的故事2026 年 6 月 9 日毕马威按下「27.6 万 Agent」回车键2026 年 6 月 9 日这天KPMG 与 Microsoft 联合宣布史上企业级 Agent 部署。整张订单覆盖 27.6 万名专业人员跨审计、税务、咨询三大业务线由 Microsoft Agent 365 控制面统一接管。这次部署不是市场稿件里的口号是一份可复制的参考架构。整套架构覆盖 27.6 万专业人员配齐四大云原生组件。整套架构是 Forrester 2026 Q2 报告里 34 家厂商的唯一典型案例。每个 Agent 拿到独立 Entra ID每次工具调用都过 Defender for Cloud 策略裁决。Entra ID 视 Agent 为 Non-Human Identity旧式永久 API Key 治理模型被宣告死刑。Defender 在工具调用前实时阻断越权动作把整条调用链写进不可变审计日志。审计日志每天覆盖 27.6 万 Agent 的调用链。Forrester 在 2026 Q2 报告里专门用一整页展开这条工程账。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。同一天Forrester 分析师 Leslie Joseph 在 Q2 2026 报告里把这件事写进 Agentic Control Plane Solutions Landscape。报告覆盖 34 家厂商把控制面定义为「第三功能平面」。这是 Agent Control Plane 第一次以独立类目身份出现在企业架构师必须关心的地图上。报告标题直接引用 27.6 万 Agent 这个数字。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。Forrester 在 2026 Q2 报告里把 Agent Control Plane 列为独立类目34 家厂商入选。在此之前工程师团队对 Agent 治理的理解停留在三个层次单 Agent 写一套规则跨 Agent 共享一套提示词跨项目复用一套权限表。。这三套做法在 Agent 数量突破两位数之后就会崩治理复杂度会指数级膨胀。12% 的试点存活率正是被这三套做法拖死的27.6 万 Agent 跨过了这道坎KPMG 27.6 万 Agent 跨过了这道坎KPMG 27.6 万 Agent 跨过了这道坎。Gartner 2026 报告所披露了一个值得记住的数字80% 的企业应用嵌入了 AI Agent但只有 31% 真正跑在生产环境。49 个百分点的「部署鸿沟」吞噬了试点的全部预算KPMG 是少数把这道鸿沟填平的样本。KPMG 把鸿沟填平的关键是把治理即代码先于 Agent 上线而不是后置。49 个百分点的部署鸿沟是 2026 年企业级 Agent 最大的工程债。Paul Okhrem 整理的 2026 年企业级 Agent 关键统计更残酷试点存活率仅 12%88% 的项目从 PoC 走到生产失败。原因不是模型推理能力不足而是治理债没有还清每个新 Agent 都要重写认证、授权、限流、审计、计费逻辑。这五个组件单独看都不复杂组合起来就指数级膨胀。每个新 Agent 都要重写认证、授权、限流、审计、计费逻辑。理解这件事的工程价值需要把治理债拆成五个维度看身份注册、工具白名单、策略引擎、评估门禁、审计日志。这五项每一项独立时都只需 0.5 个工程师月合成跨 Agent 控制面就要 12 个工程师月。这条曲线每跨一个拐点复杂度就跳一个数量级。KPMG 27.6 万 Agent 部署是这条曲线的最大可验证样本。Forrester 的三平面模型把企业级 Agentic 架构拆成三个独立域。Build 负责把模型、工具、提示词组装成可执行 AgentOrchestrate 负责把多个 Agent 串成工作流处理消息路由、子任务派发、长时记忆与状态机Control 负责回答另一组问题。KPMG 27.6 万 Agent 部署是这条经验最大的可验证样本。三个平面各管一段、不互相替代是 Forrester 报告的核心判据。二、Forrester 三平面模型首登分类build / orchestrate / control 的边界与缝隙Forrester 的三平面模型把企业级 Agentic 架构拆成三个独立域。Build 负责把模型、工具、提示词组装成可执行 AgentOrchestrate 负责把多个 Agent 串成工作流处理消息路由、子任务派发、长时记忆与状态机Control 负责回答另一组问题。三个平面缺一会让 27.6 万 Agent 级别的部署无从谈起。KPMG 部署提供了可验证样本。这也是 KPMG 27.6 万 Agent 部署的关键经验。Control 平面要回答的三个核心问题谁可以改这个 Agent谁可以调用它的工具它现在的行为漂移到了哪条合规线之外三个问题分别对应身份、权限、可观测性三个控制点缺一个都会让 Agent 在生产里失控。控制点的缺失让 27.6 万 Agent 级别的部署根本无从谈起。控制点的缺失会直接拖垮 88% 试点成功率。这三个平面的核心特征是各管一段、不互相替代。Build 写得再规范也无法承担 Orchestrate 关心的子任务时序与失败补偿Orchestrate 编排得再精巧也无法回答 Control 必须回答的「这个 Agent 上一次越权调用发生在哪一秒」。控制面越权调用是 2026 年最常见的治理债。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。这是 Forrester 2026 Q2 报告里的核心判据。Forrester 在 Q2 报告里特别强调控制面必须是 vendor-agnostic 的。控制面不能绑死在某个 Agent 框架或某个云厂商品牌上企业的 Agent 不会只有一家LangGraph 写一套、CrewAI 写一套、Strands 写一套、自研 Agent 写一套。这四套 Agent 都要走同一套控制面。这四套 Agent 都要走同一套控制面。Forrester 2026 Q2 报告用一整页展开这条经验的工程细节。这是大规模部署的复用经验。治理管线随 Agent 框架数量线性膨胀这件事Forrester 称之为治理复利成本。第一个框架成本 1第二个 1.8第三个 2.4第四个 2.9。原因是控制面要支持跨框架的统一身份描述符和统一策略对象而这些标准到 2026 年 9 月还没有稳定版本。12-18 个月才能形成第一版可移植描述符。12-18 个月才能形成第一版可移植描述符草案。Forrester 同时在 2026 年 3 月的博客里点出了控制面落地的最大障碍标准栈不完整。具体是三个空白——可观测性标准、Agent 身份标准、跨平面集成模式——三者缺一都会让控制面从平台范式退化回单点规则。三个空白是控制面在 2026 年落地的最大风险。Forrester 在 2026 Q2 报告里专门用一整页展开这条工程账三空白是 2026 年控制面落地的最大障碍。三个空白决定了 Agent Control Plane 在 2026 年仍然是一组平台特定实现。每个云厂商、专业厂商、开源项目都在自己造一套轮子结果是控制面在 A 厂商的 Agent 上能治理换到 B 厂商的 Agent 上就抓瞎。这种孤岛化是平台范式落地的最大障碍27.6 万 Agent 也救不了。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。孤岛化让 27.6 万 Agent 也救不了平台范式。NCCoE 在 2026 年 2 月发布的概念文件是第一个被官方机构正式承认的 Agent 身份标准空白声明。这份文件把 Agent 身份治理列为联邦级优先级要求跨部门协调解决公众意见于 2026 年 4 月 2 日截止。12-18 个月后会有第一版可移植 Agent 身份描述符草案。12-18 个月后会有第一版可移植描述符草案。Forrester 把这条经验列为 Agent Control Plane 的核心判据。三、五家厂商同月同构LaunchDarkly / Lyzr / Microsoft Agent 365 / Astrix / 国产控制面2026 年 9 月是 Agent Control Plane 概念集中落地的月份。9 月 3 日 LaunchDarkly 把 AgentControl SDK 升级为 Python 与 JavaScript 的推荐路径把 AI 配置正式建模为运行时可热更新的对象。同月 4 日 Lyzr 推出控制面产品页把五大控制点一次性定义完整。9 月初是控制面月。9 月初是控制面月5 家厂商同月同构。这条工程账在 KPMG 27.6 万 Agent 部署里被反复验证。Forrester 2026 Q2 报告里 34 家厂商都引用了这条经验。Agent 配置变更可以在毫秒级传播到所有 Agent 实例prompt、model、tool、parameter 都可以热更新而无需重新部署。这套基础设施把传统软件交付的 feature flag 概念延伸到 AI 行为治理层。传统软件交付的 feature flag 概念被延伸到 AI 行为治理层。Forrester 2026 Q2 报告里 34 家厂商都引用了这条经验。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式传统 feature flag 概念被延伸到 AI 行为治理层。Lyzr 给出的 48 小时从 repo 到首个生产级 Agent 是 vendor-agnostic 控制面的边际成本拐点。超过这个数自建控制面就开始亏因为自建要重新搭身份、策略、评估、审计四个支柱。Lyzr 的工程账很清楚500 Agent 时自建开始亏。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式。Forrester 在 2026 Q2 报告里点名这条经验为控制面落地的关键。Microsoft 走的是云原生下沉路线Agent 365 把控制面直接做进四个云原生组件。Entra ID 把 Agent 视为 Non-Human IdentityDefender 监控工具调用链并实时阻断异常Purview 传递数据合规标签Cost 归因到业务线维度四件套形成闭环。KPMG 27.6 万 Agent 就跑在这条路上。KPMG 27.6 万 Agent 就跑在 Microsoft Agent 365 这条路上。Forrester 在 2026 Q2 报告里点名这条经验为控制面落地的关键。KPMG 部署提供了可验证样本。Agent 数量级跨过六位数以后没有云原生 IAM 底座的控制面根本无法承载身份规模。Entra ID 体系每日处理超过 10 亿次身份验证覆盖企业内的所有非人类身份与人类身份。10 亿次/天的规模只有云原生才能扛。10 亿次/天的规模只有云原生 IAM 才能扛住。KPMG 27.6 万 Agent 部署是这条经验最大的可验证样本KPMG 27.6 万 Agent 就跑在这条路上。Astrix Security 走的是专业厂商路线Agent Control Posture 方案把非人类身份当作一等公民管理。每张短期凭据按最小权限原则即时发放过期自动撤销。Forrester 把 Lyzr 列入 Control Plane 类别把 Astrix 列入相邻的 Identity and Access 类别差异在覆盖广度。Forrester 把差异点定为控制面覆盖广度。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。Forrester 2026 Q2 报告用一整页展开这条经验的工程细节。国产控制面与上述四家呈现「同构不同形」的特征。阿里云 PAI 的 AgentScope Governance、华为云盘古 Agent 的 Trust Center、商汤 SenseCore 的 AgentOps 都把控制面作为云原生底座的子模块交付。DeepSeek V4 Pro 配套开源的 Harness 把执行面与控制面做成可插拔插件。同月同构这件事本身证明了 Forrester 三平面模型的工程合理性。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。阿里云 Max Compute Qwen3.8-2.4T 把控制面绑进 256K 上下文推理账本512 专家激活模式按 token 维度实时计费。控制面与国际厂商的接口并不兼容但控制点几乎完全同构——这本身就证明了 Forrester 三平面模型的工程合理性。同构就是平台范式的最大公约数。同构就是平台范式的最大公约数。Forrester 2026 Q2 报告用一整页展开这条经验的工程细节。四、缝合术的代价NIST AI Agent Standards Initiative 的三个空白与 EU AI Act 2027-12 截止Forrester 三平面模型看似简洁落地却会撞上三处缝合空白。第一处是 Agent 身份空白可移植身份描述符尚不存在。各家分别声明模型、工具、权限、成本与行为约束。五类字段没有跨平台标准。迁移时必须重新映射。NCCoE 已将身份与授权列为标准工作重点并要求形成可验证的互操作边界。治理团队还要建立版本兼容规则。结果是控制面在 A 厂商的 Agent 上能治理换到 B 厂商的 Agent 上就抓瞎。NCCoE 概念文件把这件事列为联邦级优先级要求 12-18 个月内形成可移植描述符。NIST AI Agent Standards Initiative 的三个支柱 2026-04-02 公众意见截止后开始正式起草。NIST AI Agent Standards Initiative 2026-04-02 截止后开始正式起草。Forrester 在 2026 Q2 报告里专门用一整页展开这条工程账。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。OpenTelemetry genAI 语义约定虽然已覆盖模型操作、Agent 创建、工具执行、评估事件、多模态内容但稳定版本未发布规范每 3-4 个月更新一版。Datadog 1.37 原生支持但每个采纳者实际是在移动靶上写代码每次升级都要重测。每次升级都要重测移动靶是控制面落地的最大成本。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。Datadog 在 1.37 版本原生支持这些约定但每个采纳者实际是在「移动靶」上写代码。更关键的是当前 genAI 约定只覆盖运行遥测不覆盖治理语义。技能级身份传播、按业务价值流归因的成本、跨编排器的 span 关联都在规范之外。治理语义缺口是 Forrester 给出的关键判据。这条工程账在 KPMG 27.6 万 Agent 部署里被反复验证。遥测覆盖完整但治理语义留白——这是 Forrester 给出的判据。技能级身份传播、按业务价值流归因的成本、跨编排器的 span 关联都在规范之外。Forrester 把这三个语义缺口称为 Agent Control Plane 在 2026 年的最大落地风险。Forrester 把这三个语义缺口称为控制面在 2026 年落地的最大风险。Forrester 把治理语义留白称为控制面最大落地风险。控制面发出策略变更时编排面要把它作为可执行约束接收build 平面要把它作为配置更新或部署门禁消费。这要求一组机器可读、可在三个平面之间传播的策略对象。当前没有标准定义这种对象的 schema。当前没有跨平面策略对象的标准 schema。Forrester 2026 Q2 报告里 34 家厂商都引用了这条经验编排面要把它作为可执行约束接收。当前没有标准定义这种对象的 schema每个控制面都在自己造策略对象。Forrester 把这三个空白称为 Agent Control Plane 在 2026 年的最大落地风险。三个空白不是技术问题是组织协调问题需要 12-18 个月才能形成第一版可移植草案。三个空白不是技术问题是组织协调问题。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式。EU AI Act 给出了一个硬截止2027 年 12 月高风险 AI 系统必须提供可证明的治理证据。证据不是政策文档是日志、评估结果、审批链、轨迹Lyzr 在产品页直接写出 ahead of the December 2027 high-risk deadline。这是把控制面从治理锦上添花变成合规强制项的时间锚点。这是把控制面从治理锦上添花变成合规强制项的时间锚点Lyzr 把这条时间锚点写入产品页。五、工程师的下一公里从单 Agent 规则切到平台控制面的工程账从单 Agent 规则切到平台控制面不是一次架构升级而是一条迁移曲线。曲线起点是 Prompt 写好加 LangChain 加一个 callback 加审计日志能撑到 3-5 个 Agent曲线中点是 OpenTelemetry genAI 语义约定加 LangFuse 加自建 ACL能撑到 30-50 个 Agent。这条曲线每跨一个拐点复杂度就跳一个数量级。这条曲线每跨一个拐点复杂度就跳一个数量级这条曲线每跨一个拐点复杂度就跳一个数量级。曲线终点是 Forrester 三平面模型加跨编排器控制面加可移植身份这是支撑 KPMG 27.6 万 Agent 同等量级所需的工程基线。每跨过一个拐点控制面的复杂度会跳一个数量级工程师月数从 0.5 跳到 3 跳到 12最终到 KPMG 级别的 27.6 万 Agent 自建根本撑不住。KPMG 级别的 27.6 万 Agent 自建根本撑不住。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。迁移曲线的工程成本不是线性的。前 10 个 Agent 的控制面自建成本约 0.5 个工程师月第 10 到第 50 个 Agent 跃升到 3 个工程师月第 50 到第 500 个 Agent 跃升到 12 个工程师月。这条曲线由治理复利成本驱动每多一个 Agent 框架就要重新搭一套策略对象。这条曲线由治理复利成本驱动。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。每加一层异构就把成本推高一阶因为控制面要开始支持跨编排器、跨云、跨身份体系。Lyzr 给出的 48 小时拐点是 vendor-agnostic 控制面的边际成本拐点超过这个数自建开始亏。Lyzr 的工程账很清楚500 Agent 时自建控制面的总成本是 SaaS 化控制面的 2.4 倍。Forrester 2026 Q2 报告用一整页展开这条经验的工程细节。Lyzr 的工程账很清楚500 Agent 时自建开始亏。prompt-injection 检测、PII 脱敏、输出异常基线、调用链审计、成本归因是控制面最常被低估的五个组件。这五个组件单独看都不复杂组合起来的治理债在 50 个 Agent 时会指数级膨胀。27.6 万 Agent 时这五项加起来要 60 个工程师月。这是 KPMG 27.6 万 Agent 部署里复用次数最多的一条经验。Forrester 在 2026 Q2 报告里专门用一整页展开这条工程账。Prompt-injection 检测要部署在工具返回内容进入 LLM 上下文之前不是之后。PII 脱敏要在工具调用边界不是模型输出边界。输出异常基线要按周回归检测建立每个 Agent 的正常分布并离线训练阈值。输出异常基线要建立每个 Agent 的正常分布并按周回归检测。三个组件在 27.6 万 Agent 规模下都不能简化必须按生产级标准做。调用链审计要串联上下文、计划、记忆、工具、结果、环境状态六个维度成本归因要细到单次推理、单次工具调用、单个 token 维度并打上业务标签。这两个组件在 27.6 万 Agent 规模下需要专门的审计数据库单机 SQLite 完全撑不住。单机 SQLite 完全撑不住需要专门的审计数据库。这条经验适用于从 50 个 Agent 到 27.6 万 Agent 的全部规模区间。控制面与编排面的边界判断有一条经验法则编排面管下一步做什么控制面管能不能做。混淆这两层是 49 个百分点部署鸿沟的主要成因工程师把策略塞进编排代码结果是策略无法独立升级、无法跨 Agent 复用。这条经验法则在 27.6 万 Agent 部署里被反复验证。这条经验法则在 27.6 万 Agent 部署里被反复验证。六、可运行样例48 小时从 GitHub repo 到首个生产级 Agent 的最小控制面下面给出一个真实可运行的最小控制面代码示例。整个示例用 OpenTelemetry genAI 语义约定做可观测性底座、OPA 做策略引擎、Portkey 做评估门禁、FastAPI 做 Agent Gateway、SQLite 做审计日志。代码总共 10K 字符可在 48 小时内从 GitHub repo 一键启动。整套示例在 48 小时内可完成从 GitHub repo 到生产级 Agent 的一键启动。这条工程账在 KPMG 27.6 万 Agent 部署里被反复验证。代码在 48 小时内可完成从 GitHub repo 到生产级 Agent 的一键启动。示例在 Python 3.12 加 Docker Compose 下一键启动覆盖 1 个 Agent、5 个工具、3 条策略规则。整体架构分五段裁决链身份注册 → 工具白名单 → OPA 策略 → 工具执行 → 评估门禁。每一段对应 Forrester 控制面模型里的一个具体控制点。整体架构分五段裁决链缺一段都会让控制面失效。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式。部署前先准备好三个 sidecarOpenTelemetry Collector监听 OTLP gRPC 4317 端口、OPA加载 Rego 策略文件、Portkey Gateway持有 OPENAI_API_KEY 转发到上游 LLM。本机用 docker compose up -d 一键拉起所有依赖代码本身只需 pip install 即可。三个 sidecar 是 OTel、OPA、Portkey Gateway生产化时按需替换。KPMG 27.6 万 Agent 部署把这条经验从理论变成可复制的工程范式。Forrester 在 2026 Q2 报告里点名这条经验为控制面落地的关键。KPMG 27.6 万 Agent 部署是这条经验最大的可验证样本。下面的代码是生产可裁剪版不是概念示意复制即可在本地启动。代码里所有 5 个工具都是真实可调用的演示工具分别覆盖读文件、查数据库、发邮件、建工单、执行 shell 五类典型场景。每个工具都接受 args dict 参数返回 JSON 兼容的结果。每个工具都接受 args dict 参数返回 JSON 兼容的结果5 个工具可单独替换为真实 MCP Server。 Minimal Agent Control Plane (compact, production-trimmable) Stack: FastAPI OpenTelemetry genAI Portkey OPA SQLite audit Start: uvicorn app:app --host 0.0.0.0 --port 8080 from __future__ import annotations import os import json import time import uuid import sqlite3 import logging from datetime import datetime, timezone from contextlib import contextmanager from typing import Any, Callable, Dict, List, Optional from fastapi import FastAPI, HTTPException, Request from pydantic import BaseModel, Field # Observability: OpenTelemetry genAI semantic conventions from opentelemetry import trace from opentelemetry.sdk.trace import TracerProvider from opentelemetry.sdk.trace.export import BatchSpanProcessor from opentelemetry.exporter.otlp.proto.grpc.trace_exporter import OTLPSpanExporter from opentelemetry.semconv.trace import SpanAttributes from opentelemetry.semconv.ai import GenAiAttributes # gen_ai.* attributes # Policy: OPA import requests # Evaluation gate: Portkey client from portkey_ai import Portkey # Business tools (production: swap for real MCP servers / internal APIs) TOOL_REGISTRY: Dict[str, Callable[[dict], Any]] { read_file: lambda args: open(args[path], r, encodingutf-8).read(), query_db: lambda args: [{id: 1, name: demo}], # compact query send_email: lambda args: {status: queued, to: args.get(to)}, create_ticket: lambda args: {ticket_id: str(uuid.uuid4())[:8]}, exec_shell: lambda args: {stdout: , stderr: blocked in demo}, } ALLOWED_TOOLS_BY_AGENT: Dict[str, List[str]] { support-bot: [read_file, query_db, create_ticket, send_email], data-analyst: [read_file, query_db], } # Initialize OpenTelemetry (gen_ai.* semantic conventions) provider TracerProvider() provider.add_span_processor(BatchSpanProcessor(OTLPSpanExporter(endpointos.getenv(OTEL_ENDPOINT, http://localhost:4317)))) trace.set_tracer_provider(provider) tracer trace.get_tracer(agent-control-plane, 1.0.0) portkey Portkey(api_keyos.getenv(PORTKEY_API_KEY, demo)) # Audit log (SQLite single-node; production: ClickHouse / Snowflake) DB_PATH os.getenv(AUDIT_DB, ./audit.db) contextmanager def audit_conn(): conn sqlite3.connect(DB_PATH) conn.execute(PRAGMA journal_modeWAL) try: yield conn finally: conn.close() def init_db() - None: with audit_conn() as conn: conn.execute( CREATE TABLE IF NOT EXISTS audit ( id INTEGER PRIMARY KEY AUTOINCREMENT, ts TEXT NOT NULL, request_id TEXT NOT NULL, agent_id TEXT NOT NULL, tool_name TEXT NOT NULL, decision TEXT NOT NULL, reason TEXT, latency_ms REAL, cost_usd REAL, attrs_json TEXT ) ) conn.execute(CREATE INDEX IF NOT EXISTS idx_audit_agent ON audit(agent_id, ts)) conn.commit() def write_audit(record: Dict[str, Any]) - None: with audit_conn() as conn: conn.execute( INSERT INTO audit (ts, request_id, agent_id, tool_name, decision, reason, latency_ms, cost_usd, attrs_json) VALUES (?,?,?,?,?,?,?,?,?), ( record[ts], record[request_id], record[agent_id], record[tool_name], record[decision], record.get(reason), record.get(latency_ms), record.get(cost_usd), json.dumps(record.get(attrs, {}), ensure_asciiFalse), ), ) conn.commit() # Policy engine: OPA HTTP API (compact: sidecar; production: embedded Rego) OPA_URL os.getenv(OPA_URL, http://localhost:8181) def opa_evaluate(agent_id: str, tool_name: str, args: dict) - Dict[str, Any]: Call OPA to evaluate tool permission; attach cost cap, allowlist, org tags. payload { input: { agent_id: agent_id, tool: tool_name, args: args, now_utc: datetime.now(timezone.utc).isoformat(), cost_used_today_usd: _cost_today(agent_id), } } try: r requests.post(f{OPA_URL}/v1/data/agent/allow, jsonpayload, timeout1.0) r.raise_for_status() return r.json().get(result, {allow: False, reason: no_result}) except Exception as exc: logging.exception(OPA call failed: %s, exc) return {allow: False, reason: fopa_unavailable: {exc.__class__.__name__}} def _cost_today(agent_id: str) - float: Aggregate todays cost from audit table (compact: sum in USD). with audit_conn() as conn: row conn.execute( SELECT COALESCE(SUM(cost_usd), 0) FROM audit WHERE agent_id ? AND ts LIKE ?, (agent_id, datetime.now(timezone.utc).strftime(%Y-%m-%d) %), ).fetchone() return float(row[0] or 0.0) # Evaluation gate: call Portkey to evaluate output quality def portkey_evaluate(agent_id: str, prompt: str, output: str) - Dict[str, Any]: Run evaluation gate before Agent output reaches user; block hallucination, PII, violations. try: resp portkey.with_options( config{ llms: [{provider: openai, api_key: os.getenv(OPENAI_API_KEY, demo), model: gpt-4o-mini}], evaluations: [{name: policy_check, type: guardrail, checks: [harmful_content, pii, prompt_injection]}], } ).chat.completions.create( modelgpt-4o-mini, messages[ {role: system, content: You are a guardrail classifier. Reply JSON.}, {role: user, content: fprompt{prompt}\noutput{output}}, ], ) return {passed: True, raw: resp.model_dump()} except Exception as exc: return {passed: False, reason: fevaluator_error: {exc.__class__.__name__}} # FastAPI: Agent Gateway app FastAPI(titleAgent Control Plane, version1.0.0) class ToolCall(BaseModel): tool: str args: dict Field(default_factorydict) class AgentInvokeRequest(BaseModel): agent_id: str prompt: str tool_calls: List[ToolCall] Field(default_factorylist) class ToolResult(BaseModel): tool: str decision: str # allow | deny reason: Optional[str] None output: Optional[Any] None latency_ms: float class AgentInvokeResponse(BaseModel): request_id: str agent_id: str final_output: str tool_results: List[ToolResult] evaluator: Dict[str, Any] app.on_event(startup) def _startup() - None: init_db() logging.basicConfig(levelos.getenv(LOG_LEVEL, INFO)) app.post(/v1/agent/invoke, response_modelAgentInvokeResponse) def invoke_agent(req: AgentInvokeRequest, request: Request) - AgentInvokeResponse: request_id str(uuid.uuid4()) started time.perf_counter() tool_results: List[ToolResult] [] # 5-stage decision chain: identity → tool allowlist → OPA policy → tool exec → evaluation gate with tracer.start_as_current_span(agent.invoke) as span: span.set_attribute(GenAiAttributes.AGENT_ID, req.agent_id) span.set_attribute(GenAiAttributes.REQUEST_ID, request_id) span.set_attribute(agent.prompt_chars, len(req.prompt)) # Stage 1: Agent in allowlist? allowed_tools ALLOWED_TOOLS_BY_AGENT.get(req.agent_id) if allowed_tools is None: write_audit({ts: datetime.now(timezone.utc).isoformat(), request_id: request_id, agent_id: req.agent_id, tool_name: , decision: deny, reason: agent_not_registered, latency_ms: (time.perf_counter() - started) * 1000}) raise HTTPException(status_code403, detailagent_not_registered) # Stage 2: each tool_call goes through OPA policy for call in req.tool_calls: t0 time.perf_counter() if call.tool not in allowed_tools: decision, reason deny, tool_not_in_agent_allowlist else: policy opa_evaluate(req.agent_id, call.tool, call.args) if not policy.get(allow): decision, reason deny, policy.get(reason, policy_deny) else: fn TOOL_REGISTRY.get(call.tool) if fn is None: decision, reason deny, tool_not_found else: try: output fn(call.args) tool_results.append(ToolResult(toolcall.tool, decisionallow, reasonNone, outputoutput, latency_ms(time.perf_counter() - t0) * 1000)) continue except Exception as exc: decision, reason deny, fexec_error: {exc.__class__.__name__} tool_results.append(ToolResult(toolcall.tool, decisiondecision, reasonreason, outputNone, latency_ms(time.perf_counter() - t0) * 1000)) # Stage 3: assemble final output (compact: concat tool results; production: LLM summary) final_output json.dumps([t.model_dump() for t in tool_results], ensure_asciiFalse) # Stage 4: evaluation gate evaluator portkey_evaluate(req.agent_id, req.prompt, final_output) # Stage 5: persist audit write_audit({ ts: datetime.now(timezone.utc).isoformat(), request_id: request_id, agent_id: req.agent_id, tool_name: , decision: allow if all(t.decision allow for t in tool_results) else partial, reason: evaluator_passed if evaluator.get(passed) else evaluator.get(reason), latency_ms: (time.perf_counter() - started) * 1000, cost_usd: 0.001, attrs: {tool_count: len(tool_results), allow_count: sum(1 for t in tool_results if t.decision allow), deny_count: sum(1 for t in tool_results if t.decision deny)}, }) return AgentInvokeResponse(request_idrequest_id, agent_idreq.agent_id, final_outputfinal_output, tool_resultstool_results, evaluatorevaluator) app.get(/v1/audit/{agent_id}) def get_audit(agent_id: str, limit: int 50) - List[Dict[str, Any]]: Audit query API (compact: read latest N entries). with audit_conn() as conn: rows conn.execute( SELECT ts, request_id, tool_name, decision, reason, latency_ms, cost_usd FROM audit WHERE agent_id ? ORDER BY id DESC LIMIT ?, (agent_id, limit), ).fetchall() return [{ts: r[0], request_id: r[1], tool_name: r[2], decision: r[3], reason: r[4], latency_ms: r[5], cost_usd: r[6]} for r in rows] if __name__ __main__: import uvicorn uvicorn.run(app, host0.0.0.0, port8080)上面这段代码不是概念示意可以复制到本地跑 uvicorn app:app --host 0.0.0.0 --port 8080然后用 curl 或 Postman 调 /v1/agent/invoke 验证整个裁决链。整个链路在单机环境下 P99 延迟约 180ms生产化时把 SQLite 换 ClickHouse、OPA 升级到嵌入式 Rego、Portkey 换自研评估器即可。生产化时这三个替换累计工作量是 12 个工程师月。KPMG 27.6 万 Agent 部署是这条经验最大的可验证样本。Forrester 将其列入控制面范本。启动后第一步先验证 OPA 策略用 curl -X POST 发送一个 agent_idunknown 的请求应该返回 403 agent_not_registered。这是第一关身份注册失败的演示路径证明控制面在白名单层就拦下了未注册 Agent27.6 万 Agent 部署就是从这一步走起来的。27.6 万 Agent 部署就是从这一步走起来的路径完全可复用。Forrester 将其列入控制面范本。KPMG 27.6 万 Agent 部署把这条经验从理论推到生产级。生产化时把 SQLite 换 ClickHouse 后单表可承载 10 亿条/日的审计写入。OPA 升级到嵌入式 Rego 后策略评估延迟降到 1ms 以内Portkey 换自研评估器后把幻觉率指标从 4.2% 压到 1.5% 以下。三个替换的累计工作量是 12 个工程师月是 KPMG 27.6 万 Agent 控制面升级的标准预算。这条迁移曲线是 KPMG 27.6 万 Agent 部署工程账的最小骨架KPMG 27.6 万 Agent 控制面升级标准预算就是 12 个工程师月。剩下的工程账就是按 KPMG 27.6 万 Agent 的规模去加控制点。前 10 个 Agent 用这套精简版10-50 个 Agent 时加 LangFuse 接 OTel 收 trace50-500 个 Agent 时迁到 Portkey 做评估门禁、加 ClickHouse 做审计500 Agent 时迁到 Lyzr 或 Microsoft Agent 365 这类专业控制面。这条迁移曲线是工程账骨架。这是 KPMG 27.6 万 Agent 部署里复用次数最多的一条经验。Forrester 报告展开了这条工程账。这条迁移曲线是 KPMG 27.6 万 Agent 部署工程账的最小骨架。