过去两年，大量企业做过”AI 助手”的尝试：接一个大模型，喂一批制度文件，员工问几句就没人用了。原因很少是模型不够聪明，而是它只会说，不会做——查不到实时库存、开不了工单、改不了交期，最终沦为高级搜索框。
让 Agent 真正进入业务流程，核心工作不在提示词，而在系统集成：把 ERP、MES、WMS、CRM 的能力封装成 Agent 可安全调用的工具，并设计好权限、幂等、审计与人工确认机制。本文给出一套可落地的架构与落地路径。
一、为什么”能聊天的 Agent”在企业里用不起来
典型失败场景有三个共性：
- 数据是旧的。知识库里的库存数据是上周导出的，问出来的答案永远不敢用。
- 输出没有出口。Agent 说”建议给这个订单延期 3 天”，但没人能一键提交到 ERP，员工还得手工去系统里点。
- 权限没定义。一旦接入生产系统，最怕的是 Agent 拿着通用账号越权查询或误写数据，IT 部门直接一刀切禁掉。
所以集成的目标不是”让模型懂业务”，而是让模型在受控边界内调用确定的业务能力。
二、四种集成模式，按风险从低到高
不要一上来就做写操作。业界比较稳妥的做法是先只读、再受控写、最后事件驱动，每一级都单独验收。
| 模式 | 做什么 | 风险 | 适用阶段 |
|---|---|---|---|
| ① 只读查询 | 库存、订单状态、交期、BOM、客户信用额度 | 低（可能泄露数据） | 第一期必做 |
| ② 受控写入 | 创建草稿工单、提交请购单、生成报价单草稿 | 中（需幂等与回滚） | 第二期 |
| ③ 事件驱动 | 质检异常自动建单、库存低于阈值触发补货建议 | 中高（需限流与去重） | 第三期 |
| ④ 人工确认闭环 | Agent 生成动作 → 主管在企业微信/钉钉审批 → 系统执行 | 可控（人始终在环） | 与②③并行 |
实践中②③都要配④：涉及钱、库存、交期的写操作，必须有人工确认节点。这不是技术限制，而是组织信任的建立过程。
三、参考架构：四层
1. 接入层
员工通过企业微信、钉钉、飞书、Web 门户或 ERP 内嵌页面提问。接入层负责身份识别（SSO）、会话上下文、以及把消息路由到编排服务。这一层要和企业的组织架构对齐，因为后续权限判断全部基于它。
2. 编排层
负责意图识别、工具选择、多步任务编排、失败重试。关键设计是把”工具”定义成结构化 schema（名称、描述、参数类型、必填项、返回结构），而不是让模型自由拼 SQL 或 URL。模型只能选择已注册的工具并填参数，这从根上杜绝了 SQL 注入和越权访问。
3. 工具层（集成适配器）
这一层是真正干活的地方，常见对接方式有四类：
| 对接方式 | 适用系统 | 优点 | 注意事项 |
|---|---|---|---|
| REST / GraphQL API | 用友、金蝶、SAP 新版、自研系统 | 标准、可鉴权、易审计 | 注意分页与限流 |
| SOAP / WebService | 老版 ERP（SAP ECC、部分国产 ERP） | 功能完整 | 报文冗长，需做字段裁剪 |
| 数据库视图（只读） | 老系统无 API 时 | 快速、成本低 | 严格只读账号 + 视图隔离，禁止直连业务表 |
| 中间表 / 消息队列 | MES、WMS 等车间系统 | 解耦、异步、抗抖动 | 需定义幂等键与重试策略 |
4. 数据与审计层
记录每一次工具调用的入参、出参、耗时、调用人、最终是否被人工确认。这是后期排查问题、做效果评估、以及应对内审的唯一依据。没有审计日志的 Agent 项目，在制造业基本过不了 IT 与合规评审。
四、权限与安全：五条硬规则
- 服务账号最小权限。给 Agent 单独开服务账号，只授予必要的表/接口权限，绝不复用管理员账号。
- 数据行级过滤前置。“销售只能看自己客户的订单””车间主管只能看本车间工单”这类规则必须在工具层用代码实现，不能指望模型自觉。
- 写操作幂等。每次写请求带唯一幂等键（如会话 ID + 动作 + 时间戳），避免网络重试造成重复建单。
- 关键动作双人复核。超过金额阈值、超过库存调整比例、修改交期的操作，强制走审批流。
- 脱敏与私有化。客户手机号、供应商价格等敏感字段在返回给模型前脱敏；模型本身建议私有化部署，参考 国产大模型私有化部署实战指南。
五、五个高价值起点场景
不要做”全能助手”，选一个高频、边界清晰、能算清收益的场景先跑通。
| 场景 | Agent 做的事 | 可量化收益 |
|---|---|---|
| 库存与交期查询 | 按物料/订单号查实时库存、在途、可用量、承诺交期 | 业务员每天少打 20–40 通电话 |
| 工单创建与报工 | 把口语化需求转成标准工单草稿，人工确认后写入 MES | 建单时间从 10 分钟降到 2 分钟 |
| 质检异常闭环 | 异常照片 + 描述 → 自动关联批次、生成不合格品单、通知责任人 | 异常响应时间缩短 50% |
| 采购比价与请购 | 汇总历史采购价与供应商报价，生成比价表与请购单草稿 | 比价准备时间从半天降到 20 分钟 |
| 经营日报 | 汇总产量、良率、交付达成、异常工单，生成自然语言日报 | 管理层每天节省 30 分钟 |
其中”质检异常闭环”和视觉质检系统天然衔接，可参考 AI 机器视觉质检系统建设指南；也可在 在线诊断页面 先体验缺陷检测的推理效果。
六、落地路径与验收指标
阶段一：打通只读链路（4–6 周）
选 3–5 个只读接口（库存、订单、交期、BOM），完成身份对接、工具注册、审计日志。此阶段不上线给全员，先给 10 人试点。
阶段二：受控写入（4–8 周）
加入工单草稿、请购单草稿两类写操作，全部配人工确认。重点验证幂等与回滚：人为制造网络超时，看是否产生重复单据。
阶段三：事件驱动与扩面（持续）
接入质检异常、库存预警等事件，扩展到更多部门。
| 指标 | 定义 | 目标 |
|---|---|---|
| 工具调用成功率 | 成功返回的比例 | ≥ 98% |
| 一次解决率 | 单轮对话完成任务、无需转人工的比例 | ≥ 60%（首期） |
| 人工接管率 | 需要人工确认或转交的比例 | 写操作场景 100% 保留确认 |
| 平均处理时长 | 从提问到任务完成 | 比原流程缩短 50% 以上 |
| 误写事故 | 未经确认的错误写入 | 0 |
七、五个常见失败点
- 先做写操作、后补权限。IT 部门会在第一次误写后停掉整个项目。
- 让模型直接拼 SQL。既不可审计也不安全，务必用工具 schema 约束。
- 忽略历史系统没有 API。老 ERP 很多只能走数据库视图，要提前评估。
- 没有审计日志。出了问题无法定位，也无法证明合规。
- 追求全能助手。场景铺得太开，每个都做不深，最终全部门都不用。
结语
AI Agent 的价值不在对话，而在把一次跨系统的操作压缩成一句话。而这句话能否被信任，取决于背后的集成架构、权限设计与审计能力——这些恰恰是过去企业信息化建设中积累最深的部分，也是最容易被”AI 项目”忽略的部分。
我们的建议是：先选一个只读场景跑通，用真实数据证明 Agent 的回答可信，再逐步放开写权限。如果你正在评估 ERP/MES 的集成方案，可以联系我们获取一份接口清单与风险分级模板。
