O Google disponibilizou o Data Agent Kit em disponibilidade geral, movendo-o da fase de preview que durou todo o verão. Trata-se de um conjunto gratuito e open-source de ferramentas MCP que conecta agentes de código a mais de 15 serviços Google Data Cloud, acompanhado de 37 skills de autoria Google que ensinam práticas recomendadas como otimização de SQL BigQuery e design de chaves em Bigtable.
O kit opera em ambientes como Antigravity, Claude Code, Codex, Cursor e editores compatíveis com VS Code, com instalação pré-configurada em Cloud Shell e Cloud Workstations. A arquitetura funciona em dois componentes: skills que carregam orientações de boas práticas e servidores MCP que expõem schema e ferramentas operacionais.
Com o lançamento em GA, o Google adicionou BigQuery Graph, Bigtable e Managed Service for Apache Spark ao portfólio de serviços suportados. Os líderes do projeto, o product manager Arun Nair e o developer advocate Jeff Nelson, destacam uma lacuna significativa no comportamento padrão de agentes: embora escrevam SQL competente, desconhecem quais tabelas existem, como estão particionadas, quais são confiáveis ou por que trabalhos falharam na noite anterior.
O repositório de plugins hospeda 37 skills sob licença Apache 2.0, cada uma identificando o Google como publicador. O versionamento segue procedimento apropriado, com release 1.0.0 em 29 de setembro e 1.1.0 em 13 de outubro, permitindo que equipes fixem versões específicas.
Dois tipos de guardrails acompanham o lançamento, e a distinção entre eles é crítica em produção. O primeiro tipo consiste em skills que aconselham o agente a parar. A skill accidental-data-loss-prevention, por exemplo, abre com "STOP AND VERIFY" e instrui o agente a obter consentimento explícito do usuário antes de qualquer operação irreversível. A lista abrange DROP TABLE, TRUNCATE, DELETE sem cláusula WHERE ou utilizando 1=1, deletions de storage em production buckets, gcloud projects delete e destruição de chaves KMS. O procedimento exige: interromper, explicar o impacto, aguardar consentimento afirmativo.
O segundo tipo de controle opera de forma fundamentalmente diferente. Em resposta a questões sobre isolamento entre investigação somente leitura e ferramentas que modificam infraestrutura, Jeff Nelson esclareceu que o controle reside em políticas IAM, não por agente. Operadores podem executar o agente como service account somente leitura mediante impersonação ou aplicar uma política de negação IAM que bloqueia qualquer ferramenta MCP onde tool.isReadOnly é falso.
A documentação fornece a condição específica: api.getAttribute('mcp.googleapis.com/tool.isReadOnly', false) == false. Esta negação aplica-se à permissão mcp.googleapis.com/tools.call em nível de organização, pasta ou projeto. Atributos complementares cobrem resource.service e tool.name.
Três limitações acompanham este modelo. Primeira: ferramentas bloqueadas continuam aparecendo em tools/list, permitindo que o agente visualize capacidades que não pode usar, descobrindo a negação apenas durante invocação. Segunda: os controles cobrem apenas servidores MCP do Google Cloud, não se estendem a outras ferramentas. Terceira: os atributos resource.service e tool.name estão disponíveis exclusivamente via gcloud, ausentes do console.
Amel Habira, arquiteto de soluções IA, analisou a documentação e demonstrou entusiasmo com credenciais de curta duração, atributo read-only e avisos antes da execução de células de notebook. Ele desenhou um cenário onde branching e time travel em camadas Iceberg permitem contenção tanto na camada de acesso quanto na camada de dados.
Ankit Dongre, engenheiro de IA em viaSocket, expandiu a fronteira de segurança. Identificou que acesso MCP é a parte fácil; o limite de produção verdadeiro reside em escopo de permissão mais execução segura para repetição: o que ocorre quando um agente retenta uma escrita após timeout ou quando o schema muda durante execução. IAM e dry runs cobrem autorização e preflight, mas não informam ao agente se uma escrita com timeout foi commitada. Dongre propõe que resultados de primeira classe deveriam incluir idempotency key, commit status e rollbackability. Data Agent Kit não carrega esses dados atualmente.
O Microsoft Agent 365, em preview público, posiciona-se diferentemente. Sua integração com Azure API Management mantém intent de governança em superfícies administrativas Microsoft 365 e executa em gateway. Bloqueio por ferramenta requer tier preview e a chave de aplicação é scoped ao gateway, atingindo todos os modelos e ferramentas. Google autoriza por ferramenta na linguagem IAM que clientes já usam e propaga a identidade do usuário para que row e column security se apliquem.
Operadores sequenciam ambas abordagens com cuidado. Timon Knapp, fundador da plataforma de automação de workload auto-hospedada Conductral, com experiência em execução de batch de produção, recomenda iniciar com acesso somente leitura e sugestões, permitindo que humanos confirmem qualquer mudança de schedule ou rerun de trabalho. Ele enfatiza que um audit trail limpo facilita a concessão gradual de direitos adicionais ao agente posteriormente.
O Data Agent Kit não gera custos além dos serviços Google Cloud que o agente utiliza. As skills estão no GitHub e são forkáveis.
