Data Agent 的 L0–L5：升级的不是功能，而是责任

一个系统会写 SQL，另一个系统会调用 SQL 和 Python，遇到错误还能重新规划。后者连接的工具更多，但这还不足以证明它更“自主”。真正的区别是：谁决定目标，谁组织过程，谁有权执行，谁验证结果，出了问题又由谁恢复并负责。

因此，Data Agent 的等级不是功能数量表，而是一张责任转移图。每升一级，Agent 接手的不只是更多操作，也包括更多判断与风险。

这套 L0–L5 框架来自 2026 年论文 Data Agents: Levels, State of the Art, and Open Problems 及其配套的 Data Agent 研究资料库。作者将公开研究的主体现状放在 L0–L2，把正在探索端到端自主编排的系统称为 Proto-L3；L4 和 L5 主要是未来愿景。它适合用来讨论人机分工，不是厂商排行榜，也不是采购认证。

判断等级，要看五种权力归谁

同一个产品在不同工作流上可能处于不同等级。判断时可以沿五个维度逐项追问：

只要其中一个关键维度仍由人控制，系统的实际等级就会受到它限制。例如 Agent 可以自动写并执行 SQL，但每一步由人指定、结论也由人验收，它更接近 L2，而不是 L3。

L0：人是唯一的操作者

在 L0，分析师或工程师自己找数据、写 SQL 或代码、检查结果并决定下一步。数据库、BI 和 notebook 是工具，但不会代替人做判断。

L0 并不等于落后。在财务结账、监管报送、重大生产变更等高风险流程中，完整人工控制可能是合理设计。它的问题是吞吐依赖个人经验，过程难以规模化，隐性知识也容易留在个人电脑和脑中。

生产门槛：建立版本、评审、数据口径和操作记录。没有这些基础，接入 Agent 只会把原本不透明的人工过程自动化。

L1：Agent 提建议，人完成闭环

L1 的 Agent 是响应式助手：生成 SQL 片段、解释报错、建议图表或起草摘要。它不会独立感知完整环境，也不对最终执行结果负责。

这个等级的价值常被低估。对熟练用户而言，一个能稳定提供可编辑草稿的助手，往往比一个偶尔“端到端完成”但过程不可见的系统更实用。关键是界面要清楚标明生成内容，保留差异对比，并让用户在执行前审查。

生产门槛：输出可编辑、来源可定位、危险内容不自动执行，用户能够识别不确定性。

L2：Agent 执行程序，人编排工作流

L2 是第一个重要分水岭。Agent 能读取环境、调用 SQL、Python、检索或可视化工具，根据执行结果继续行动，也能处理一部分可预期错误。但任务如何分段、何时进入下一阶段、何时结束，仍主要由人或预定义流程控制。

从 L1 到 L2，不是“多接几个工具”这么简单。系统开始接触真实数据和计算资源，权限、沙箱、超时、成本预算、幂等性、执行日志和结果验证都从加分项变成必需品。

生产门槛：工具契约明确；读写权限分离；每次执行可追踪；有资源上限、停止条件和人工接管；关键结果必须经过确定性校验或人工确认。

L3：Agent 编排任务，人监督边界

在 L3，人给出目标、约束和授权边界，Agent 负责分解任务、选择工具、执行、验证和调整计划。人从流程导演转为监督者，只在高风险动作、重大不确定性或异常情况下介入。

这一步难的不是让模型写出更长的计划，而是让系统在真实环境里知道何时不该继续。它需要稳定的状态管理、可组合技能、失败分类、验证器、审批策略和恢复路径。只要完成路径仍由人提前写死，它仍然是复杂的 L2 自动化。

目前把实际系统称为 Proto-L3 更谨慎：它们能在受限任务中展示自主编排，但对跨领域泛化、长链可靠性和异常恢复仍缺乏充分证据。

生产门槛：限定任务域和最大影响面；每个高风险动作有显式策略；Agent 能识别不确定性并升级给人；评测覆盖成功、拒答、异常和恢复，而不只覆盖理想路径。

L4：Agent 主动发现问题，人委托并观察

L4 不必等待明确提示。它持续观察指标、质量、成本或管道状态，主动提出问题、调查原因并组织处理。人的角色转为委托者或旁观者。

主动性会同时放大收益与噪声。没有稳定语义和业务优先级，系统可能把正常波动当异常；没有责任预算，它可能不停调查低价值问题；没有严格授权，它甚至会主动制造生产事故。

研究门槛：长期状态、目标优先级、低误报监控、跨任务资源分配、可撤销授权，以及能证明“保持沉默”也正确的评测。目前不宜把自动告警加总结包装成完整 L4。

L5：Agent 创造方法，而不仅是选择方法

L5 的设想不只是无人值守地完成已知流程，而是面对新问题时提出新的数据方法、工具或研究范式，并验证其适用边界。此时人不再是日常流程中的必要角色。

这更像研究方向，而不是当前可采购的产品规格。一个系统能生成代码、创建工具，甚至完成一次新颖实验，都不足以证明它具备稳定的生成式自治；真正的门槛是长期、可复核地创造有效方法，并承担验证责任。

同一产品为什么会有多个等级

等级应标在“工作流 × 环境 × 权限”上，而不是品牌上。一个企业问数产品可能同时表现为：

• 给出 SQL 草稿，由分析师执行：L1；
• 在只读仓库执行查询并返回结果：L2；
• 在限定数据域内自行拆解经营问题、运行多轮分析并请求最终确认：Proto-L3；
• 自动监控指标并主动开启调查：向 L4 探索。

只要换了数据域、权限或写入能力，风险就变了，原来的等级判断也不能直接沿用。“我们的产品达到 L3”因此不是一个完整陈述，至少要补上任务范围、授权边界、验证方式和证据日期。

不要把这些能力误认为高等级

• 工具多不等于自主：固定顺序调用十个工具，仍可能只是 L2 流程。
• 链路长不等于自主：长计划可能只是提示词展开，未必能根据环境重规划。
• 能写入不等于自主：写权限扩大了风险，不会自动提升判断能力。
• 会自我评价不等于验证：同一个模型复述自己的结论，不能替代独立规则、执行结果或人审。
• 主动发消息不等于 L4：定时触发和真正的问题发现、优先级管理并不是一回事。

一条更稳妥的升级路径

团队不必追求从 L1 一步跳到 L3。更可行的方式，是让每次责任转移都有证据门槛：

1. 先让建议可审查。 保存输入、上下文、草稿与人工修改，建立真实错误集。
2. 再开放只读执行。 用沙箱、权限和预算限制影响面，让查询与代码结果可复现。
3. 把验证独立出来。 对 SQL、统计结论、数据质量和工程变更使用不同验证器。
4. 只在窄域开放自主编排。 明确可用工具、最大步骤、升级条件和人工确认点。
5. 最后讨论主动性。 先证明系统能控制误报、资源和长期目标，再让它主动发起工作。

每一步都应同时测四类样本：正常完成、信息不足、工具失败和高风险请求。如果系统只在“答案存在、权限充足、工具正常”的演示路径上表现良好，它还没有获得接手更多责任的资格。

结语：自主性是一份责任合同

L0–L5 最有价值的地方，不是给市场上的产品排座次，而是迫使团队把隐含的人机分工写清楚。每提升一级，都应回答：Agent 新获得了哪项权力，依赖什么证据，我们用什么护栏限制它，失败时谁能接管。

当这些问题没有明确答案时，“更自主”通常只是更难审计；当责任、验证与恢复机制都能落到系统设计里，自主性才真正开始产生价值。