合规部门评估 Agentic RAG，核心看三件事：每一次回答能不能追溯到具体来源文件；每一步操作能不能绑定到具体的人、角色和权限；系统自主发起的动作能不能被拦截、记录和审计。这三件事做不到，再聪明的 Agent 也不能进入合规业务流。
Agentic RAG 和传统 RAG 的区别在于，它不只是“检索后回答”，而是会自主判断“需要查什么、用哪个工具、要不要写数据、下一步做什么”。这对合规团队意味着，评估重点必须从“内容准不准”升级为“行为可不可控”。
为什么 Agentic RAG 的合规评估不能只看回答质量
传统 RAG 的风险集中在生成环节：答案有没有出处、有没有幻觉、引用的文件是否过期。Agentic RAG 的风险面更宽。
它会做三件传统问答系统不做的事：
- 主动决定检索路径，可能跨越多个知识库、多个业务系统
- 调用工具执行动作，例如查询 CRM、创建工单、发送通知
- 在多轮任务中保留上下文，形成连续的决策链路
因此，合规部门需要评估的不只是“它说了什么”，还包括“它为什么这么说”“它凭什么去查那个系统”“它有没有越权”。
合规部门应该从哪些维度评估 Agentic RAG
来源验证机制是否可回溯到原文
每一次回答，系统需要明确给出引用的来源。来源不能只是一个笼统的“知识库”，而要细分到文档、章节、版本。
合规团队可以要求供应商演示一个场景：让系统回答一个涉及公司制度的复杂问题，然后检查回答中每个关键事实能否定位到具体的原文段落。如果答案引用了多个来源，还需要确认这些来源之间有没有冲突、系统如何标注优先级。
权限控制是否覆盖检索、生成和工具调用三个环节
权限控制是 Agentic RAG 最容易出问题的环节。传统系统只需要控制“谁能看什么”，Agentic 系统还要控制“Agent 能替谁看什么、能替谁做什么”。
评估时建议关注三个层面：
- 检索权限：Agent 检索时是否严格继承用户本人的数据访问范围
- 生成权限：生成答案时是否根据用户角色过滤敏感字段，例如手机号、客户身份证信息
- 工具权限：Agent 调用外部系统时，是否只能使用被授权用户允许的接口和操作范围
这三个层面必须形成一致策略。一个常见的风险是：用户没有权限看某份合同，但 Agent 为了“完成任务”，绕过了前端界面直接调取数据。合规团队需要确认技术实现上是否存在这类绕过路径。
操作追溯是否形成可审计的完整链条
Agentic RAG 的每次任务都不是孤立的。用户提出一个需求，系统可能经过多次检索、多步推理、多次工具调用才给出结果。
合规评估需要确认：整个过程中每一次关键动作都有日志，日志中包含时间、触发人、执行动作、访问的数据对象、最终决策依据。日志不能只记录“调用了知识库检索”，而要记录“以用户 A 的身份检索了知识库 B 中权限范围内 C 类文档”。
合规团队是否具备终止和干预能力
Agentic 系统如果完全自主运行，合规部门就无法在风险发生时及时介入。评估时，需要确认系统是否支持人工确认节点，是否可以在关键动作前设置审批门槛。
例如，当 Agent 准备向外部系统写入数据、向客户发送信息、批量导出数据时，是否可以强制进入人工确认流程。这是合规团队可以参与技术选型时提出的硬性要求。
什么企业在立项前需要先做合规评估
以下几类企业在引入 Agentic RAG 前，建议先由合规、法务或审计人员完成一轮专项评估：
- 数据涉及客户个人信息、合同条款、交易记录的企业
- 知识库中同时存在不同密级资料的企业，例如总部与分公司、不同部门之间权限差异明显
- 计划让 Agent 连接业务系统并执行写操作的企业
- 行业本身有明确审计要求，例如金融、医疗、法律、人力资源服务
如果企业目前只是做内部问答、不调用写操作、知识库内容不涉及敏感数据，评估复杂度会低很多。但一旦系统从“读”走向“写”，评估标准就需要同步收紧。
常见误区：把“能追溯”等同于“合规”
很多团队在选型时，看到系统能显示引用来源，就认为合规问题解决了。实际上，能显示来源只解决了“可解释性”的一部分，不等于权限控制到位，也不等于整个操作链路可审计。
合规团队需要关注的是：来源是不是真实检索出来的，而不是模型事后为迎合答案生成的；权限是不是在每一次工具调用时都被校验，而不是只在登录时校验一次；日志是不是覆盖动作层，而不仅仅是对话层。
另一个误区是，只评估演示场景。Agentic 系统的风险往往出现在长链路任务中——用户问了一个看似普通的问题，Agent 自动拆解出多个子任务，其中一个子任务触及了未授权数据。合规评估需要覆盖这类多步任务，而不是只看单轮问答。
智未来 AI 如何支持合规部门的选型评估
智未来 AI 在为企业交付知识库和 Agentic RAG 系统时，会把合规要求拆成可验证的交付项：来源引用到原文段落、权限策略与用户身份体系对接、关键动作支持人工确认、操作日志按审计要求留存。
合规团队参与选型时，我们会建议先用一个小范围场景做压力测试，例如选择一份权限敏感度较高的内部制度，模拟不同角色的用户提问，检查系统在检索范围、回答内容和工具调用上是否始终符合预设边界。通过这样的验证方式，合规团队可以在系统正式上线前，明确判断这套 Agentic RAG 是否具备进入业务流的基本条件。
如果你的企业在规划企业知识库和 Agentic RAG 应用，需要合规与法务团队提前参与评估，可以联系智未来（上海）智能科技有限公司，我们提供面向企业场景的 AI 落地规划与实施支持。
常见问题
1. 合规部门评估 Agentic RAG，最容易漏掉哪个风险点？
最容易漏掉的是工具调用环节的权限继承。很多系统在检索和生成阶段做了权限控制，但 Agent 一旦调用外部系统接口，就可能绕过前端权限。评估时要专门验证：Agent 调工具时，是否严格以当前用户身份和权限范围执行。
2. 我们公司知识库里有合同和客户信息，Agentic RAG 适合用吗？
可以用，但需要先完成权限分级和敏感字段识别。建议先梳理知识库中哪些内容属于受限资料，哪些字段不能进入生成结果，再让供应商按这个边界配置权限和审计策略，从权限敏感度较高的场景开始试点，而不是一开始就全量开放。
3. 怎么判断一个 Agentic RAG 供应商的权限控制是否真的到位？
不要只听方案介绍，要求供应商做权限穿透测试。用不同角色的账号提问同一类敏感问题，观察系统是否能稳定地限制检索范围、过滤敏感字段、阻止未授权工具调用。测试要覆盖长链路任务，而不只是单轮问答。
4. 我们是中型企业，没有专门的 AI 合规人员，怎么起步？
可以先由法务或内控负责人牵头，用一份权限敏感度适中的内部制度做试点。明确三个底线要求：答案必须给出处、不同角色看到的内容不同、Agent 写操作必须人工确认。满足这三条再考虑扩大范围。智未来 AI 可以协助企业设计这个最小验证方案。
5. Agentic RAG 的操作日志需要记录到什么程度，才能满足审计要求？
建议至少覆盖四个要素：谁在什么时间发起任务、系统以什么身份检索了哪些数据、调用了什么工具和动作、每一步决策引用了哪些来源。如果未来可能涉及外部审计，还需要保证日志只追加不覆盖、可按时间区间导出，并明确日志保留周期。