让企业能审批 AI 智能体跨 Snowflake、Databricks 与 SaaS 查询受治理数据的策略模拟器。

1. Snowflake 直接收购而不是慢慢自建，说明 MCP 治理已经重要到值得大型数据平台直接买。
2. 采购重心已经从抽象的 AI 安全，转成智能体究竟怎么连上业务数据、谁来控这件事。
3. 集中式访问控制、审计日志和权限范围管理已经是明确要求，这个市场现在更像一份可执行的产品清单，而不是模糊的未来故事。
4. 多数企业的数据源实在太多，逐个连接器手工审批根本扩不动，痛点已经是眼前的运营问题。
5. Snowflake 这一步把品类做实了，但多云和非 Snowflake 环境仍然给独立控制平面厂商留着空间。

催化因素。 Snowflake 收购 Natoma，证明智能体数据治理已经是董事会级基础设施采购；而这个 cluster 又反复强调集中式控制、审计日志和数十个待治理数据源，直接把上线前访问模拟推成了刚需。

产品夹在企业 agent runtime 和 MCP 连接器之间，把现有 IAM、数仓权限、数据目录元数据和 SaaS 角色拉进同一张策略图谱。团队每次准备上线一个智能体时，系统会按真实工作流模拟它在 Snowflake、Databricks、Salesforce、ServiceNow、SharePoint 等系统里究竟能碰到哪些表、字段、文件和记录；随后自动生成一套给治理团队用的审批包，里面包含最小权限建议、必须加的脱敏规则，以及一份可审计、还能反推回 runtime 的策略包。智能体上线后，同一套控制平面还会持续比对“实际触达范围”和“获批边界”是否一致；连接器、schema 或角色一变，就立刻提示漂移。有了这层切口，企业才有办法把有价值的内部智能体推上生产，而不是在看不见的数据外泄风险前一直不敢放行。

差异化。 现有 IAM、DSPM 和数据目录工具管的是人类用户或静态仪表盘，不是会在一条工作流里跨多套系统穿行的智能体。智能体可观测性厂商能告诉你“事情发生后发生了什么”，但没法在上线前让治理团队先模拟、再审批跨系统触达范围。真正能守住的切口，是一张专门为智能体工作流调优的策略图谱、一套不断累积的“通过/驳回”访问模式语料，以及对企业最先接入的那批数据系统做深做透的集成。

待完成任务

flowchart LR
  Buyer[Data governance team] --> Pain[Cannot prove agent data blast radius]
  Pain --> Product[Agent data scope simulator]
  Product --> Outcome[Faster production approval for internal AI agents]

高管要点

• Snowflake 收购 Natoma，说明 MCP 治理正在变成战略基础设施，但这并没有封死中立、跨系统的机会。
• 买家最尖锐的痛点是上线前证明：治理团队必须在进入 production 之前就知道，一个智能体可能读到什么、触发什么。
• 现有厂商各占问题的一段——数据策略、授权、运行时安全或可观测性——但还没有默认的中立产品，把跨系统审批包和波及范围模拟真正做下来。
• 受监管行业是最好的滩头市场，因为它们本来就有治理委员会、审计预期，以及失控数据触达带来的高下行风险。
• 最有力的切口，不是把产品讲成泛 AI 安全或另一个 agent runtime，而是把它讲成“帮生产上线解堵”的基础设施。

市场定义

这个市场夹在数据治理、授权基础设施和智能体安全之间：它用软件去建模内部 AI 智能体跨数仓和 SaaS 工具能触达什么，把结果变成审批工作流，并在上线后盯住漂移。

用户与买方

第一用户是数据治理团队或企业 AI 平台团队，他们正在把内部分析、客服或运营智能体从 pilot 推向 production。经济买家通常是 Chief Data Officer、VP of Data Platform 或 CISO，因为这个决策同时牵涉部署速度和审计风险。

购买触发点

• 生产就绪评审被卡住，因为没有人能证明一个智能体跨多套已连接系统究竟具备怎样的最小权限数据触达。 [11][57][83]
• 受监管企业其实早就把 AI/ML 用在生产里了，因此下一阶段的瓶颈不再是“认不认这类技术”，而是治理质量够不够。 [76][77][78]
• 安全团队把 prompt injection 和工具滥用视为审批阻塞点，于是上线前模拟比只看日志的监控更有吸引力。 [65][70][71]

支付意愿

身份、治理和 AI 风险控制周边本来就有预算；当这家创业公司被定位为“帮生产 AI 上线解堵、同时降低审计暴露”的那一层，而不是可有可无的实验工具时，商业理由会明显更强。 [28][81][83][85]

品类动态

增长信号 34.3% to 45.3% CAGR

验证信号

• Snowflake 选择收购而不是慢慢自建，本身就是企业 MCP 治理具备独立战略价值的强信号。
• 资深 IT 负责人已经把 GenAI 摆上优先级，但仍把安全和信任视作主要阻塞点，这与拟议切口高度一致。
• 银行监管者和央行研究者已经把 AI 治理当成运营和系统性议题，而不是未来才会发生的问题。
• 商业市场模型预计 AI 治理支出将快速增长，哪怕 agentic AI 还没完全进入主流。
• CISA、NIST 和 OWASP 都开始发布面向 agentic AI 或 GenAI 的控制框架，这让独立预算科目更容易成立。

监管与技术约束

• 在协议层，MCP 的授权并非强制，因此企业仍需要额外补上身份、策略和可审计性控制。
• 在真实的智能体工作流里，prompt injection 和间接指令攻击依旧切实可行，这会显著抬高买家对自治访问的信任门槛。
• 受监管部署需要的是文档化监督、隐私评审和明确问责，而不是不透明的自治访问。
• 一旦智能体开始跨云平台与 SaaS 系统行动，非人身份蔓延和 secrets 管理就会变成一等工程风险。

这片市场很分散。数据平台希望把治理留在自家栈里，授权厂商卖的是可复用的权限底座，AI 安全厂商则盯着运行时监控和策略执行。真正的空白，是一套中立的模拟器和审批平面，能在同一条工作流里横跨 Snowflake、Databricks 和 SaaS 系统。

为什么现有厂商不会默认胜出

• 云数据平台. Snowflake 和 Databricks 能很好地治理靠近自家控制平面的智能体，但多系统数据环境仍需要一层，去统一理解非原生 SaaS 权限和跨系统工作流。
• 授权底座. Auth0 FGA 这类工具是强大的策略底座，但客户仍要自己发现连接器、归一化权限，并为治理团队打包审批证据。
• AI 安全厂商. Zenity、Prompt Security 和 Lakera 更强调运行时防护、shadow AI 或检查能力，但它们并不能自动回答“这个智能体上线前究竟能触达什么”。
• 数据治理厂商. Immuta 这类策略引擎很擅长治理数据访问，但并不是围绕“一次审批动作里模拟完整智能体工作流”而设计的；它很难同时覆盖数仓、文件和 SaaS 权限。

Agent Data Scope Simulator 应该先做成一套中立的审批控制平面，服务那些正试图把内部分析或客服智能体从 pilot 推到 production 的财富 2000 强金融和医疗企业；这些客户通常同时跑 Snowflake 或 Databricks，再叠加多套核心 SaaS。第一版产品不该从另一个 agent runtime、泛 AI 安全 dashboard 或大而全的数据治理套件切入；它该做的，是在广泛 MCP 连接器被放开前，精确证明某个具名智能体工作流究竟能读到什么。这个滩头市场之所以成立，是因为用户、买家、触发点、定价依据和分发渠道都围绕同一个场景对齐：由数据治理、平台和安全团队主导、却被生产就绪评审卡住的上线流程。研究支持的测算给出约 $650.0M TAM、$156.0M SAM 和第 3 年 $12.0M 的 SOM，前提是公司先聚焦受监管、跨系统部署，再逐步扩到更广的强制控制和第三方智能体接入。核心产品应该先接入前五个高频系统的原生权限和元数据，模拟字段级、记录级触达，并产出带有最小权限建议和可审计证据的审批包。只要公司能成为“获批智能体访问边界”的中立记录系统，而这恰恰不是云数据平台、授权底座或运行时安全厂商天然会跨工作流拥有的东西，它就有胜面。最关键的反证风险有三项：平台打包、权限脏乱导致的部署拖累，以及买家可能在只读模拟器成熟前就要求运行时强制控制。现有输入还留着两个重要证据缺口：Snowflake 生态之外独立付费部署的深度，以及非 Snowflake 买家的直接定价证据。因此，前 12 个月必须验证三件事：受监管共创客户是否愿意先为审批和模拟买单；前五个连接器是否覆盖了大多数被卡上线；pilot 能否转成年约，而不是演变成咨询项目。

问题

• 治理与平台团队在生产前无法证明一个内部 AI 智能体跨 Snowflake 或 Databricks 以及多套 SaaS 系统到底能读到什么，因此上线流程常常卡死在电子表格式评审里。
• 现有 IAM、数仓权限和运行时安全工具各自只覆盖控制栈的一段，没有谁能把最小权限访问和上线后漂移，收敛成一套可审计的跨系统审批动作。

解决方案

• 先做一张只读策略图谱，把 Snowflake、Databricks、Salesforce、ServiceNow、SharePoint 的原生权限、目录元数据和 SaaS scope 拉进来，再精确模拟某个具名智能体工作流可触达的数据边界。
• 在上线前生成包含最小权限建议、脱敏要求和可交审计证据的审批包；上线后再加入漂移检测，盯住实际触达何时偏离了原先获批的边界。

为什么我们会赢

• 公司卖的是跨多套系统的“上线解堵证明”，不是另一个单栈治理附加组件，也不是只看运行时的安全层。
• 受监管企业本来就有风险委员会、审计要求和一批被卡住的内部智能体项目，因此审批工作流是眼前采购，而不是未来想象。
• “通过/驳回”的访问边界、归一化后的权限图谱和漂移历史，能逐渐积累成一套现有厂商很难在客户现场重建的专有控制数据。

里程碑

flowchart LR
  Wedge[Regulated internal-agent approval wedge] --> MVP[Cross-system simulation MVP]
  MVP --> Proof[Approved launches with auditable least-privilege evidence]
  Proof --> Expansion[Drift detection and broader control plane]

创始团队

实验路线图

风险评估

必须成立的条件

• 至少一半的合格滩头账户必须认同：生产被卡的首要原因就是上线前缺少跨系统证明，而不是一个次要顾虑。
• 前五个连接器必须覆盖早期共创客户里大多数真实的被卡上线场景。
• 只读模拟器加审批包，必须能在不接管 runtime 的前提下，足够快地通过安全评审，进而拿下付费 pilot。
• 首个生产工作流必须支撑六位数 ARR，同时对大多数早期客户把 onboarding 控制在 30 天部署窗口内。
• 中立多系统定位必须经常能赢过平台原生方案或手工替代方案，才能把 pilot→production 转化率维持在 50% 以上。

待尽调问题

• 今天真正解锁采购决策的关键产物是什么：波及范围模拟、审批包、审计轨迹，还是漂移监控？
• 真实阻塞里，到底有多少是权限边界不清，有多少其实是元数据差、标签缺失或 prompt injection 之类的相邻问题？
• 买家是否愿意为“只做模拟”的范围签单，还是多数严肃机会一开始就要运行时强制控制和事故响应钩子？
• 哪些连接器组合最常出现在被卡上线里？如果缺少某一个核心系统，价值会掉多少？
• 第一笔预算在现实里到底归谁：CDO、平台工程、安全，还是更上层的 AI 项目办公室？

模型合理性

• 收入引擎. 基础情景收入来自：客户数从 Q4Y2 的 13 个增至 Q4Y3 的 40 个，同时确认 ACV 从约 $150K 升到 $220K，因为账户持续加购漂移模块和更多受治理工作流。
• 必须跑对的环节. 公司必须把 pilot→production 转化率守在计划附近，并把至少一条合作伙伴渠道真正变成 Y3 的有效 pipeline，而不是继续只靠创始人打单。
• 模型会失灵的情况. 如果买家把模拟器视为重咨询部署，或在采购前就坚持要运行时强制控制，现金会向 downside 情景靠拢，这轮种子资金也撑不到 breakeven。
• 下一轮融资证明点. 到 Q4Y2 拿下 10–13 个生产客户、把实施周期压到 30 天以内，并让漂移监控真正跑起来，这是最有希望支撑下一轮融资的里程碑。

情景

敏感性

flowchart LR
  QualifiedPipeline --> PaidPilots
  PaidPilots --> ProductionCustomers
  ProductionCustomers --> Revenue
  Revenue --> GrossProfit
  GrossProfit --> Cash

警示项: 模型仍依赖客户数从 Q4Y2 的 13 个跳到 Q4Y3 的 40 个，因此合作伙伴渠道执行和 referenceability 是最大预测风险。 · 源材料里，Snowflake 相邻账户之外的定价证据依旧偏薄，因此 Y3 约 $220K 的已确认退出 ACV 还要靠首批生产续约去验证。 · Y3 每 FTE 收入已经冲到 SaaS 基准的高位，如果部署速度或扩单稍有失手，盈利时间点就会被明显后移。

• 平台打包. Snowflake、Databricks 或大型安全厂商，可能把足够多的治理能力直接打包进去，把独立切口压窄。 缓解措施: 先从这些平台管不到的跨系统环境下手，靠跨厂商模拟、审批和审计覆盖取胜，而不是拼单一技术栈里的强制控制。
• 集成拖累. 客户的权限、schema 和遗留系统可能很乱，让可达性建模难以做准。 缓解措施: 先覆盖受监管智能体试点里最常见的 5–7 套系统，用分阶段 rollout 先证明价值，再去补边角案例。
• 预算归属不清. 部分企业可能把智能体治理算进更大的 AI 项目里，从而推迟购买独立产品。 缓解措施: 围绕“生产上线被卡”和“审计就绪”来卖，定价绑定那些已经在等审批的具体智能体工作流。