一种词汇，两种受众：为什么您的人工智能和仪表板必须共享语义层

number 包含三种不同含义

向同一家公司的三个团队询问“本季度的活跃成员”，您通常会得到三个数字。营销人员会统计所有打开电子邮件的人。忠诚度团队对购买的会员进行计数。财务统计兑换价值的会员。他们都没有说谎。他们根据不同的定义工作，用不同的 SQL 编码，使用不同的工具。这个词是共享的；意思不是。

当这些数据仅供人类使用时，这尚可接受。经验丰富的分析师会询问你指的是哪个定义，幻灯片上的脚注可以掩盖其他问题。但一旦你将相同的数据交给人工智能代理，脚注就会消失，歧义就会变成隐患。代理并不知道“活跃”一词存在争议。它会选择一个定义——或者更糟，编造一个定义——并以呈现其他所有内容的相同自信来呈现结果。

工具是动词；语义层是词汇

当你赋予代理工具时，你实际上是赋予了它动词：查询、汇总、比较、预测。Anthropic 的模型上下文协议对此进行了形式化定义——工具是模型可以调用的类型化、命名的能力。这种框架是正确且有用的。但一个没有通用词汇支持的动词，就等于给了即兴发挥的许可。“告诉我收入”只有在“收入”只有一个经过认证的定义时才是安全的，这个定义必须与人们在仪表盘上看到的定义相同，并且每次计算的方式都一样。

这是核心论点：经过认证的指标语义层是共享词汇表，它确保代理的动词真实可靠。工具让代理执行操作。语义层定义了这些操作的含义。将两者分离，你会得到一个可以运行查询但无法被信任地解释查询结果的代理。将它们统一起来，代理就能免费继承分析师们已经努力达成一致的所有定义。

接下来的原则简单易懂，难以伪造：一套词汇表，两个受众群体。用户通过仪表盘和临时问题获取信息。代理通过 MCP 工具和辅助系统获取信息。两者都从同一个认证层读取数据，因此无论是用户还是代理提出 number 请求，其含义都相同。

缺乏共享层时的故障模式

跳过语义层，三个失败同时出现。首先，人工智能产生幻觉——不是因为模型被破坏了，而是因为你要求它对没有任何规范定义的原始表格进行推理，所以它用合理的猜测填补了空白。其次，KPI 定义发生了变化：每个团队、工具和笔记本重新实现的“流失”或“AOV”都略有不同，并且差异悄然加剧。第三，“自助分析”产生相互矛盾的数字，组织悄悄地不再信任所有这些数字。

德勤的《企业人工智能现状》研究始终表明，信任和治理——而非模型本身的能力——才是企业将人工智能从试点阶段扩展到生产阶段的关键因素。这与分析问题直接相关。真正的障碍很少在于模型是否能够编写SQL语句，而在于是否有人能够充分信任模型的分析结果并据此采取行动，以及他们之后能否解释number的来源。

已认证的定义及其版本历史记录

经过认证的指标是指由所有者审核并签字确认的唯一权威定义。“活跃会员”并非当前查询的计算结果，而是一个命名明确、受管理的 object，具有明确的逻辑、所有者和状态。当市场营销、客户忠诚度计划和财务部门意见不一致时，他们不再需要争论 SQL 语句。他们只需公开讨论一次定义即可。然后，该定义将被认证，所有人——包括每个人和每个代理——都将获得相同的答案。

版本控制是使其持久的原因。定义不断演变：会计日历发生变化，某个部分得到细化，数据源得到更正。如果没有版本控制，重新定义会默默地重写历史，上一季度的董事会编号将不再重现。有了它，每个指标都有其血统，因此您可以回答审计师和首席财务官实际提出的问题 - 不仅仅是“数字是多少”，而是“我们报告日期的数字是什么，根据什么定义”。

一个查询入口点，租户范围在其外部强制执行

定义的可靠性取决于执行路径的可靠性。在我们的架构中，所有指标——无论是通过仪表盘还是代理工具请求——都通过单一查询入口点进行解析。人工智能没有其他更宽松的路径。副驾驶系统和屏幕上的图表运行着完全相同的认证逻辑，这正是它们数值不会出现差异的根本原因。

租户隔离在查询外部强制执行，而非内部。调用方永远不会提供，也无法影响其所查看的租户数据；作用域由执行层从已认证的上下文中应用。这对于代理来说至关重要，因为它们会以您未编写脚本的方式组合输入。如果隔离存在于模型帮助构建的查询 string 内部，那么巧妙的提示可能会干扰它。由于作用域位于查询外部，因此任何提示（无论是对抗性的还是偶然的）都无法跨越租户边界。其结果是，答案从构建之初就具有可复现性、租户隔离性和可审计性。

基于授权的只读视图：模型无法绕过的安全机制

目前企业级人工智能中最危险的模式是将聊天机器人直接连接到原始数据表上。这种做法演示效果可能很漂亮，但会在你无法承受的地方出现问题。一旦获得表访问权限，代理就可以连接原本不应该连接的数据，提取原本不应该离开源系统的列，并以三种看似有效但实际上相互矛盾的方式计算指标。你竟然信任一个概率系统会遵守那些仅仅存在于约定俗成中的边界。

另一种方法是在模型下方的数据库中强制执行边界。我们通过基于授权的只读视图公开认证层。人工智能的凭证可以读取那些列入白名单的安全视图，而不能读取其他任何内容——没有原始表，没有写入路径，没有经过认证的表面之外的列。该模型永远不会看到它可能想要跨越的边界，因为该边界是数据库授权，而不是系统提示中的一段指令。这正是 NIST AI RMF 1.0 等框架所推动的明确的技术控制：管理和映射 AI 系统的实际访问和数据流，而不是信任模型的行为。

将代理连接到此界面属于连接问题，而非重建。为人工仪表盘提供支持的同一认证层通过 MCP 工具和 SoCode 向代理开放，因此代理基于认证指标进行推理，而非原始表格。人工智能无法凭空捏造数据，因为它根本不生成数据——它向该层发出请求，而该层返回认证的 number。

共享层如何确保无代码创作的安全性

自助服务听起来像是一种治理风险：为业务用户提供一个指标构建器，他们肯定会通过其他方式创建相同的相互冲突的定义。反之亦然，前提是建造者位于经过认证的层之上。无代码和结构化指标创作让用户可以在白名单安全视图上编写新指标（选择经过认证的维度、过滤器和聚合），而无需编写原始 SQL，也无需触及基表。

由于每个自定义指标都由已建立的、经过治理的模块组成，因此其安全属性得以继承，无需重新评估。新指标与已认证的指标一样，具有租户范围、可复现性和可审计性：它们通过相同的入口点、相同的视图、在相同的授权下运行。治理不再是阻碍用户速度的障碍，而是成为让更多用户安全构建的基础。这是唯一一种能够在不重新碎片化定义的情况下实现规模化的自助服务模式。

首席数据官 (CDO) 的实际职责

如果你是一名首席数据官 (CDO)，正在构建 AI 分析层，请克制住从聊天机器人入手的冲动。聊天机器人虽然看似简单，但却是最危险的部分。首先要从词汇表入手。明确你的核心指标——定义它们，指定负责人，并进行版本控制。将它们置于一个统一的查询入口点之后，该入口点能够从外部强制执行租户范围限制。通过基于授权的只读视图公开这些指标。只有这样，才能通过类似 MCP 的工具将代理连接到这个受控界面。按照这个顺序操作，AI 从一开始就值得信赖，因为它没有任何可以随意猜测的对象。

这不是一个理论练习。通过人工智能实现留存循环的品牌是那些代理和仪表板已经使用相同语言的品牌——McDonald's China与SocialHub.AI合作，将会员的GMV份额从5%增加到85%。只有当其下方的数字经过认证、可重复且对于审查仪表板的人员和对其进行操作的代理而言相同时，这种规模的结果才是可信的。

该论文坚持一句话：工具是动词，语义层是词汇表，你需要为两个受众提供一个词汇表，这样无论是个人还是代理询问，数字都意味着相同的事情。如果您正在建立人工智能分析层，并希望了解经过认证的、租户隔离的、可审计的指标如何为仪表板和代理提供相同的事实来源，请预订演示，我们将引导您的团队按照您自己的定义完成它。