Google’s Data Agent Kit Hits GA, Splitting Agent Guardrails Between Skills and IAM
Google has made Data Agent Kit generally available, a free set of MCP tools and 37 open-source skills that connect coding agents to more than fifteen Google Data Cloud services. Two kinds of guardrail ship with it, and practitioners need to tell them apart: one is a skill asking the agent to stop,
Data Agent Kit ist eine Sammlung von MCP-Tools, die einen Agenten mit mehr als fünfzehn Diensten der Google Data Cloud verbinden, ergänzt um von Google erstellte Skills, die ihm Praktiken wie die Optimierung von BigQuery-SQL oder das Entwerfen von Bigtable-Row-Keys vermitteln. Es läuft in Antigravity, Claude Code, Codex, Cursor und VS Code-kompatiblen Editoren und ist in Cloud Shell und Cloud Workstations vorinstalliert.
Data Agent Kit sitzt als zwei Komponenten zwischen dem Coding-Agenten und den Diensten der Google Data Cloud: Skills, die Leitlinien mit bewährten Praktiken mitbringen, und MCP-Servern, die Live-Schemata und Tools bereitstellen. (Quelle: Google Blogpost)
Mit der GA-Version kommen BigQuery Graph, Bigtable und Managed Service for Apache Spark hinzu. Der Produktmanager Arun Nair und der Developer Advocate Jeff Nelson, die den Launch-Beitrag verfasst haben, richten das Angebot auf eine Lücke aus, die Agenten standardmäßig haben: Sie schreiben gutes SQL, wissen aber nichts darüber, "welche Tabellen existieren, wie sie partitioniert sind, welchen Ihr Team vertraut oder warum der Job in der letzten Nacht fehlgeschlagen ist."
Das Plugin-Repository enthält 37 Skills unter Apache 2.0, jeweils mit Frontmatter, das Google als Herausgeber ausweist. Es ist ordentlich versioniert, mit 1.0.0 vom 29. September und 1.1.0 vom 13. Oktober, sodass Teams es festpinnen können.
Diese Schutzvorrichtung ist ein Hinweis. Der Agent wird gebeten, sich daran zu halten. Eine zweite Kontrolle ist das nicht.
Auf die Frage in einem LinkedIn-Beitrag, ob eine schreibgeschützte Untersuchung von Tools isoliert werden könne, die Infrastruktur verändern, antwortete Nelson, dass dies über IAM und nicht pro Agent geregelt wird: Man lasse den Agenten über Impersonation als schreibgeschütztes Servicekonto laufen oder verwende "eine IAM-Deny-Policy, die jedes MCP-Tool blockiert, bei dem tool.isReadOnly auf false steht."
api.getAttribute('mcp.googleapis.com/tool.isReadOnly', false) == false Sie verweigert die Berechtigung mcp.googleapis.com/tools.call und greift auf Organisation-, Ordner- oder Projektebene. Ergänzende Attribute decken resource.service und tool.name ab.
Drei Einschränkungen kommen damit einher. Ein blockiertes Tool erscheint weiterhin in tools/list, sodass der Agent Fähigkeiten sieht, die er nicht nutzen kann, und davon erst beim Aufruf erfährt. Die Kontrollen betreffen nur Google-Cloud-MCP-Server und nichts anderes. Und resource.service sowie tool.name sind nur über gcloud verfügbar und fehlen in der Konsole.
Amel Habira, ein AI Solutions Architect, hat die Dokumentation gelesen und zeigte sich ermutigt, mit Verweis auf die kurzlebigen Zugangsdaten, das Read-only-Attribut und eine Warnung, bevor Agenten Notebook-Zellen ausführen. Er schrieb:
Kombiniert man das mit Branching und Time Travel auf der Iceberg-Seite, kann man sich Eindämmung sowohl auf der Zugriffsebene als auch auf der Datenebene vorstellen.
Ankit Dongre, ein AI Engineer bei viaSocket, zog die Grenze noch weiter:
Der MCP-Zugang ist der einfache Teil. Die Produktionsgrenze ist der Berechtigungsumfang plus wiederholsichere Ausführung: Was passiert, wenn ein Agent nach einem Timeout einen Schreibvorgang wiederholt, oder wenn sich das Schema während eines Laufs ändert?
IAM und Dry Runs decken Autorisierung und Vorabprüfung ab, ergänzte er, "aber sie sagen dem Agenten nicht, ob ein abgelaufener Schreibvorgang committet wurde. Ein erstklassiges Ergebnis sollte einen Idempotency-Key sowie einen Commit-Status und Rollback-Fähigkeit enthalten." Die Tool-Ergebnisse von Data Agent Kit tragen das derzeit nicht.
Microsoft hat diese Entscheidung woanders verortet. Seine Agent 365-Integration mit Azure API Management, in der öffentlichen Vorschau, hält die Governance-Absicht in einer Microsoft 365 Admin-Oberfläche fest und setzt sie an einem Gateway durch, wo das Blockieren einzelner Tools einen Preview-Tarif erfordert und der Anwendungsschlüssel "gateway-scoped" ist und jedes Modell und Tool erreicht. Google autorisiert pro Tool in der IAM-Sprache, die Kunden bereits verwenden, und propagiert die Identität des Nutzers, sodass Zeilen- und Spaltensicherheit greift.
Betreiber gehen in beiden Fällen sorgfältig gestaffelt vor. Timon Knapp, Gründer des Anbieters selbst gehosteter Workload-Automatisierung Conductral, schrieb:
Agenten mit Live-Umgebungen wie Airflow zu verbinden ist leistungsstark. Aus jahrelanger Erfahrung mit produktiven Batchläufen würde ich mit Lesezugriff und Vorschlägen beginnen und einen Menschen alles bestätigen lassen, was einen Zeitplan ändert oder einen Job erneut ausführt. Ein sauberer Audit-Trail macht es später deutlich einfacher, dem Agenten mehr Rechte zu geben.
Data Agent Kit kostet nichts über die Google-Cloud-Dienste hinaus, die ein Agent nutzt. Die Skills liegen auf GitHub und sind forkbar.
PostgreSQL für Time-Series im großen Maßstab Bewältigen Sie riesige Time-Series-Datenmengen mit PostgreSQL, ohne Abstriche bei der Performance. Erfahren Sie, wie Tiger Data High-Speed-Ingest, schnelle Abfragen und skalierbaren Speicher bietet. Mehr erfahren.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
Data Agent Kit is a set of MCP tools connecting an agent to more than fifteen Google Data Cloud services, plus Google-authored skills that teach it practices like optimizing BigQuery SQL or designing Bigtable row keys. It runs in Antigravity, Claude Code, Codex, Cursor, and VS Code-compatible editors, and comes preinstalled in Cloud Shell and Cloud Workstations.
Data Agent Kit sits between the coding agent and Google Data Cloud services as two components: skills carrying best-practice guidance and MCP servers exposing live schema and tools. (Source: Google Blog post )
With the GA release, the company adds BigQuery Graph, Bigtable, and Managed Service for Apache Spark. Product manager Arun Nair and developer advocate Jeff Nelson, who wrote the launch post, pitch it at a gap agents have by default: they write good SQL but know nothing about "which tables exist, how they’re partitioned, which ones your team trusts, or why last night’s job failed."
The plugin repository carries 37 skills under Apache 2.0, each with frontmatter naming Google as publisher. It is versioned properly, with 1.0.0 cut on September 29 and 1.1.0 on October 13, so teams can pin it.
That guardrail is advice. The agent is asked to obey it. A second control is not.
Asked in a LinkedIn post whether read-only investigation could be isolated from tools that modify infrastructure, Nelson answered that it is handled in IAM rather than per agent: run the agent as a read-only service account through impersonation, or use "an IAM deny policy that blocks any MCP tool where tool.isReadOnly is false."
api.getAttribute('mcp.googleapis.com/tool.isReadOnly', false) == false It denies the mcp.googleapis.com/tools.call permission, and applies at the organization, folder, or project level. Companion attributes cover resource.service and tool.name.
Three limits come with it. A blocked tool still appears in tools/list, so the agent sees capabilities it cannot use and finds out only on invocation. The controls cover Google Cloud MCP servers and nothing else. And resource.service and tool.name are gcloud only, absent from the console.
Amel Habira, an AI solutions architect, read the documentation and came away encouraged, noting the short-lived credentials, the read-only attribute, and a warning before agents execute notebook cells. He wrote:
Combine that with branching and time travel on the Iceberg side, and you can imagine containment at both the access layer and the data layer.
Ankit Dongre, an AI engineer at viaSocket, drew the boundary further out:
MCP access is the easy part. The production boundary is permission scope plus repeat-safe execution: what happens when an agent retries a write after a timeout, or when the schema changes mid-run?
IAM and dry runs cover authorization and preflight, he added, "but they do not tell the agent whether a timed-out write committed. A first-class result should carry an idempotency key plus commit status and rollbackability." Data Agent Kit’s tool results do not carry that today.
Microsoft put that decision somewhere else. Its Agent 365 integration with Azure API Management, in public preview, keeps governance intent in a Microsoft 365 admin surface and enforces it at a gateway, where per-tool blocking requires a preview tier and the application key is "gateway-scoped", reaching every model and tool. Google authorizes per tool in the IAM language customers already use, and propagates the user’s identity so row and column security applies.
Operators are sequencing either way carefully. Timon Knapp, founder of the self-hosted workload automation vendor Conductral, wrote:
Connecting agents to live environments like Airflow is powerful. From running production batch for years I would start with read access and suggestions, and let a human confirm anything that changes a schedule or reruns a job. A clean audit trail makes it much easier to give the agent more rights later.
Data Agent Kit costs nothing beyond the Google Cloud services an agent uses. The skills are on GitHub and forkable.
PostgreSQL Built for Time-Series Scale Handle massive time-series data with PostgreSQL, without sacrificing performance. Discover how Tiger Data delivers high-speed ingest, fast queries, and scalable storage. Learn More.