冯若航 9 月 22 日在上海 AI 应用生态大会那场演讲值得剥开看：把卖 PG 发行版的段落摘掉，剩下的判断比市面上大多数「Agent 认知」都硬。他先甩了一组一手数据——一个数据库文档站，月请求从一百万涨到一点几个亿，九成流量是 Agent 在读手册；Neon 上八成的库是 Agent 建的；Supabase 过去一年创建量涨六百%，六成多出自 AI 工具，CEO 点名来自 Claude Code 和 Codex。另一边，Salesforce 给自家新东西打的标语是「AI 替代 UI」。应用层塌缩不是预测，是正在被观测的事实。
但塌缩不等于灭亡。演讲的结语是全场最值钱的一句话：执行者可以换，账本不能乱。顺着往下捋，Agent 时代真正值钱的三样东西全是旧的：账本、权限、后悔药。
一、账本不死
程序说到底是状态加转移。转移（界面、编排、流程）可以随便换，状态不能丢。所以应用层塌缩，塌掉的是「整包软件」的中间层——增删改查那层壳，Agent 凭什么不能替？塌不掉的是两头：会选路径、组织执行的，进「驾驶舱」；要长期保存、共同遵守、可靠追溯的，沉进记录系统。软件没有消失，是边界重画了。
数据和数据库为什么不会死？因为账本必须是真的。模型可以生成一切，唯独生成不了「确实发生过的交易、确实授予过的权限、确实存在过的时间戳」。AI 越泛滥，一手数据越稀缺——这是数据服务商「不会死」的另一半：不止是稳定性刚需，是真实性刚需。界面年年换皮，账本十年不挪窝，护城河从应用层退守到账本，就是这个时代的资产迁移路线。
二、权限才是企业级的真单子
市场上把企业 AI 需求讲成「要更聪明的能力」，剥开看本质就一件事：Agent 继承原有权限，接进业务系统。
Salesforce 发布 AIforce 时反复强调两句：记录系统还留在 CRM，界面你可以不进；每个从 Slack 过来的请求，继承请求者原有的权限和共享规则，不另建一套。翻译一下——界面可以扔，规则不能丢。
这不是产品洁癖，是安全现实。过去应用层那套认证为什么够用？因为唯一摸到连接串的，是一台审核过的应用服务器。现在拿到连接串的，是概率性的、会被提示注入的、你保证不了下一步干什么的 Agent——应用层的精巧设计瞬间跟纸糊的一样。权限必须下沉到库里：你是谁、能碰哪张表、能看哪几行，写进记录系统本身；上面换多少驾驶舱，规矩一条不跑。
所以 Supabase 的魔法从来不是自动生成 API——PostgREST 十年前就有——是把认证和行级权限一起做进了数据库。同理，判断任何一家「企业级 Agent 方案」的成色，别看演示多炫，先问一句：它继承谁的权限，出事算谁的。答不清楚的，还停在玩具阶段。
三、后悔药：防的不是笨，是「自信地错」
敢不敢让 Agent 直连生产库？大概率不敢——Replit 的 Agent 删过用户生产库在前。演讲者的答案不是「我的 Agent 更乖」，而是底下有时间点恢复：Agent 三点零五删了表，三点零四分五十九秒一键拉回来。数据库的撤销栈二十年前就有；DSH 为了热替换执行层，在进程里把撤销、依赖、事务整套重造了一遍——方向没错，但这件事真正的含义是：放开 Agent 的前提，是底下犯什么错都兜得住。
这不是理论推演。这几天从「删盘靠运气刹车」到「验证环节谎报安全」，翻车姿势换了三次，坑是同一个：会干活的手，配上了会自信犯错的胆。防 AI 防的从来不是它笨，是它错得流畅、错得敢打包票。所以灾备矩阵、时间点恢复、删除强制审批、目标白名单，这些一点都不性感的老东西，是 Agent 时代的安全阀——你敢放多大的权限出去，取决于底下的后悔药有多快。这是个信任方程，不是勇气问题。
结语
三样旧东西：账本是数据库，权限是二十年前就写好的行级策略，后悔药是时间点恢复。Agent 时代没有新魔法，只有把旧保险柜搬到驾驶舱底下摆好。执行者随便换，正因为底下这三样纹丝不动——先把它们备好的人，才敢第一个放 Agent 出门。