本文是《FDE 技术栈清单》的第二版。v1 分四层，讲的是"一个人怎么把 AI 接进客户系统"。v2 分七层，新增评测层和治理层，另把可观测从运维工具提升为独立一层。
这篇转发给谁：转给正在给 AI 项目做技术选型的人，转给正在验收 AI 交付的业务方，转给要组建 AI 交付团队的技术负责人。
一、v1 为什么不够用了
v1 写在四个月前。当时一个 FDE 的完整工作可以概括成：接数据、搭检索、写编排、部署上线。四层就够。
四个月里发生了三件把这个清单撑破的事。
第一件，评测从"加分项"变成"入场券"。 一批 2026 年的 FDE 面试指南显示，评估能力已成为面试的分水岭问题——"你怎么知道你的 AI 系统真的在工作"，含糊其辞直接出局（Exponent，2026 年 6 月）。同期的岗位画像也把 eval 框架、可观测能力和 RAG、agent 开发并列为核心技能（jobsbyculture，2026 年 7 月）。这不是技能通胀，是因为交付物变了：交付一个 demo 只需要它跑通一次，交付一个 agent 需要证明它下次也不会跑错。
第二件，治理从合规部门的事变成工程师的事。 2026 年 8 月 2 日，欧盟 AI 法案的透明度义务开始适用，欧盟 AI 办公室与成员国主管机关同日获得实施、监督和执法权限，可以要求技术文档、评估模型、责令整改并处罚（欧盟委员会数字战略页面）。同时，修正案把高风险系统的义务分别推迟了 18 个月和 2 年，原因是协调标准迟迟未出、成员国主管机关尚未就位（Akin 法律简报，2026 年 7 月）。
这个组合值得注意：罚则先落地，标准后到位。 对交付方的含义很直接——短期内没有一份权威清单能让你"照做就合规"，但已经有机构可以来问你要文档。谁来准备这份文档？在大多数项目里，是那个唯一同时理解客户系统和模型行为的人，也就是 FDE。
第三件，协议层收口了。 2026 年 8 月 20 日，谷歌的 A2A 协议正式并入 Linux 基金会主导的 Agentic AI Foundation，与 Anthropic 捐出的 MCP 归入同一治理框架，该基金会成员已超过 250 家，涵盖主要云厂商与模型公司（AI Agent Store 周报，2026 年 8 月 24 日）。协议归中立组织治理之后，选型问题从"押哪家"变成"怎么把它治住"——注册、审批、审计、权限，都是要有人做的工程活。
这三件事指向同一个结论：FDE 的工具箱正在从"怎么把它建出来"扩展到"怎么证明它对、怎么管住它"。 v2 补的就是后半段。
二、七层总表
| 层 | 这一层回答什么问题 | 工具数 | 缺失时你在哪一刻付出代价 |
|---|---|---|---|
| L1 发现与上下文 | 客户到底要什么、现状是什么 | 4 | 上线后才发现做错了对象 |
| L2 数据与检索 | 模型能拿到哪些数据、拿得准不准 | 8 | 演示很好，真实数据一进就崩 |
| L3 编排与协议 | 多步任务和多个工具怎么串起来 | 8 | 单点跑通，串起来失控 |
| L4 交付与运行 | 怎么进客户环境并稳定跑住 | 8 | 交付延期、环境不可复现 |
| L5 评测（新增） | 怎么证明它是对的、改动没有变差 | 9 | 客户不续约，你说不清为什么 |
| L6 可观测（新增） | 出错时能不能定位到哪一步 | 6 | 客户先于你发现故障 |
| L7 治理（新增） | 谁批准的、谁负责、能不能撤回 | 9 | 审计、合规、安全事件同时到 |
L1–L4 是能不能上线，L5–L7 是能不能留下来。v1 只覆盖前者，这是它最大的问题。
三、L1 发现与上下文（4 个）
| 工具 | 用途 |
|---|---|
| Perspective AI 类对话式需求捕获 | 把客户访谈变成结构化输入，而不是会议纪要 |
| 流程挖掘（Celonis 类） | 从日志还原真实流程，而非客户口述的流程 |
| 知识底座（Confluence / Notion） | 存放现状文档、决策记录、口径定义 |
| 客户环境勘察表（自建） | 网络、权限、数据出境、审批链、值班责任 |
这一层通过的判据：能用一页纸写清楚"这个 agent 被允许自动做到哪一步，越过这一步谁批准"。写不出来，后面六层都是空转。
有调研称 FDE 大约四成时间花在 discovery 上（Perspective AI，2026 年 5 月；厂商自述数据，仅作参考）。这个比例是否准确不重要，重要的是它排第一层——上下文是唯一无法从产品文档里预先获得的东西。
四、L2 数据与检索（8 个）
| 工具 | 用途 |
|---|---|
| Databricks（Unity Catalog） | 数据资产与权限的统一目录 |
| Snowflake | 数据仓库 |
| dbt | 数据转换与口径版本管理 |
| Unstructured | 非结构化文档解析 |
| pgvector（PostgreSQL） | 轻量向量检索，多数项目的默认起点 |
| Pinecone | 托管向量库 |
| Qdrant / Weaviate | 可自托管向量库 |
| Elasticsearch / OpenSearch | 关键词与混合检索 |
判据：检索结果能被人工抽检，且抽检结果可以回流成测试集。做不到这点，L5 就没有原料。
买方视角的常见漏项：向量库选型几乎不影响项目成败，数据口径和权限边界才影响。评估供应商时问"你们怎么处理字段级权限"，比问"你们用哪个向量库"有效得多。
五、L3 编排与协议（8 个）
| 工具 | 用途 |
|---|---|
| 模型厂商原生 SDK | 生产环境的主流选择，可控性优先于抽象 |
| LangGraph | 有状态图式编排，配套生态最完整 |
| CrewAI | 多角色协作式编排 |
| Temporal | 长时任务、重试、人工审批等待的持久化编排 |
| MCP | agent 接工具与数据的事实标准 |
| A2A | agent 之间的委派与协作 |
| Amazon Bedrock AgentCore | 托管 agent 运行时 |
| Microsoft Copilot Studio | 微软生态内的编排入口 |
MCP 于 2025 年 12 月由 Anthropic 捐给 Linux 基金会的 Agentic AI Foundation，主要厂商已完成对接：Salesforce 在 2026 年 4 月对企业版以上组织全面开放托管 MCP 服务，且每次调用按登录用户身份执行、自动继承字段级安全与共享规则；AWS 提供 AgentCore Gateway 把 OpenAPI 规范转成 MCP 工具，并支持代表用户的令牌交换与工具级授权策略；Databricks 的托管 MCP 服务通过 Unity Catalog 治理（colrows 汇编，2026 年 7 月）。
这段技术事实的组织含义：工具接入协议已经把"谁的身份在调用"写进了标准。 这意味着权限设计不再是上线后的补丁，而是编排阶段的架构决策。
判据：任何一次工具调用，都能回答"这是以谁的身份、在谁的授权下执行的"。
六、L4 交付与运行（8 个）
| 工具 | 用途 |
|---|---|
| Docker | 环境可复现 |
| Kubernetes | 客户自有集群交付的默认形态 |
| Terraform | 基础设施即代码，交接的关键 |
| Modal | 快速拉起推理与批处理 |
| Vercel | 前端与轻服务 |
| GitHub Actions | CI/CD |
| 编码代理（Claude Code / Cursor 类） | 压缩集成与改写的时间成本 |
| 密钥管理（Vault / Secrets Manager） | 凭证不落代码 |
判据：客户的运维团队能在你不在场的情况下重建整套环境。做不到，你交付的不是系统，是你自己。
这条判据同时是《FDE 交付验收清单》里"运维与交接"层的核心项。
七、L5 评测层（新增，9 个）
这是 v2 最重要的一层。
| 工具 | 定位 |
|---|---|
| Braintrust | 评测优先，把数据集、实验、评分器与 CI 串成一条发布流水线 |
| LangSmith | LangChain / LangGraph 生态内的默认后端，含人工审核与运行时 |
| Arize AX | 面向企业，把线上可观测与在线评测连起来 |
| Arize Phoenix | 开源自托管，OpenTelemetry 原生 |
| Langfuse | 开源，追踪与评测一体 |
| Promptfoo | 开源、命令行优先，适合塞进 CI |
| DeepEval（Confident AI） | 评分库，faithfulness、幻觉、任务完成度 |
| W&B Weave | 已用 Weights & Biases 的团队顺延 |
| Comet Opik | Apache 2.0，面向 agent 的自托管评测 |
为什么评测不能省：agent 的失败是语义性失败——每个 HTTP 状态码都是 200，检索返回了错误文档，agent 循环调用十几次工具、烧掉几千 token，然后给出一个措辞自信的错误答案（MarkTechPost，2026 年 8 月 9 日）。传统监控在这类失败面前是全绿的。
评测的最小闭环（比工具选型重要得多）：
- 1. 从真实失败中挑出代表性样本，固化成数据集
- 2. 每次改动在 CI 里跑一次回归，比较分数差值
- 3. 分数不达标就不发布
判据：能拿出一份"上周改了什么、评测分怎么变的"记录。拿不出来，你和客户对质量的讨论就只能靠印象。
买方视角：验收时应该要求交付方给出评测集和回归记录，而不是给出一次演示。这一项写进合同的成本很低，事后追责的价值很高。
八、L6 可观测层（新增，6 个）
| 工具 | 定位 |
|---|---|
| OpenTelemetry GenAI 语义约定 | 标准而非产品，决定 trace 的形状 |
| Datadog LLM Observability | 与既有基础设施监控关联 |
| Honeycomb | 高基数排查 |
| Helicone | 网关式接入，改动最小 |
| PromptLayer | 提示词版本与回放 |
| Grafana / 自建 OTLP 后端 | 数据自持 |
这一层今年的关键变化：OpenTelemetry 于 2026 年 5 月从 CNCF 毕业（Kovrr，2026 年 8 月 16 日）。其 GenAI 语义约定已覆盖六层——模型调用、agent 编排、MCP 工具调用、工作流组合、内容捕获、质量评分，其中质量评分层是新加入的，允许把评测分数直接挂到 span 上（Twistag，2026 年 7 月）。截至 2026 年 5 月，该约定仍处于 Development 状态，属性名仍可能变化（Greptime，2026 年 5 月）。
含义：追踪的标准形状已经确定，标准的稳定性还没有。 现在做接入的正确姿势是加一层抽象隔离属性变更，而不是等它稳定。
判据：可观测的最小单位是"步"，不是"回答"。每一次模型调用、工具调用、检索、推理跳转都要独立成 span，串成可回放的层级 trace。做不到这点，出错时只能靠重跑碰运气。
注意内容捕获层默认关闭：一旦打开，trace 里会包含完整提示词、响应和工具参数，它同时也就变成了一个受监管的数据源。开不开，是治理决策，不是技术决策。
九、L7 治理层（新增，9 个）
| 工具 | 定位 |
|---|---|
| Microsoft Entra Agent ID | 2026 年 4 月 GA，把 agent 作为一类身份纳入零信任栈 |
| Okta for AI Agents | 2026 年 4 月 30 日上线，agent 注册、归属人、生命周期、停用 |
| Auth0 Auth for MCP | 2026 年 5 月 6 日 GA，MCP 场景的认证 |
| Amazon Bedrock AgentCore Identity | 双腿/三腿 OAuth、令牌保管库、自动续期 |
| MCP Gateway | 工具级授权的运行时执行点 |
| Cedar / OPA | 策略引擎，把"允许做什么"写成代码 |
| NeMo Guardrails | 运行时行为约束 |
| 合规框架映射（欧盟 AI 法案 / NIST AI RMF / ISO 42001） | 把技术证据翻译成审计能接受的形式 |
| CSA Agentic Trust Framework | 2026 年 2 月发布，agent 零信任成熟度模型 |
这一层为什么现在才成层：几组数字放在一起看就清楚了。
- • 88% 的组织报告了疑似或确认的 AI agent 安全事件，但只有 22% 把 agent 当作独立的、有身份的实体来管（Gravitee《2026 AI Agent 安全现状》，2026 年 2 月 3 日）
- • 只有 23.7% 的组织把现有 IAM/身份提供商用作 agentic MCP 基础设施的授权服务器，其余在跑互相脱节的认证（Iden 汇编，2026 年 7 月）
- • 0.01% 的非人类身份控制着 80% 的云资源（Veza《2026 身份与访问现状》）
结构性判断：能力已经部署，授权还没有跟上。这是当前企业 AI 里最大的一段空账。
判据（四问）：
- 1. 这个 agent 属于谁？（有没有具名的人类负责人）
- 2. 它能碰什么？（权限是最小化的、短期的，还是长期令牌）
- 3. 它做过什么？（审计链是否完整、能否回放）
- 4. 出问题怎么停？（能不能在几分钟内撤销并全局登出）
四问答不上任何一问，这一层就没通过。
买方视角：这四问适合直接写进 RFP。它不要求你懂模型，只要求供应商证明他们的系统可被问责。
十、最小可用栈：第一次交付只需要这九件
七层五十二个工具是参照表，不是采购清单。一个团队真要从零开始，第一次交付只需要每层一件：
| 层 | 起步选择 | 理由 |
|---|---|---|
| L1 | 一页环境与授权勘察表 | 零成本，决定后面六层做不做得成 |
| L2 | PostgreSQL + pgvector | 多数项目的数据量远没到需要专用向量库 |
| L3 | 模型厂商原生 SDK + MCP | 抽象越薄，排错越快 |
| L4 | Docker + Terraform | 可复现、可交接 |
| L5 | Promptfoo 或 Braintrust | 命令行起步，先有回归再谈精度 |
| L6 | OpenTelemetry + 任一后端 | 先按标准形状埋点，后换后端成本低 |
| L7 | 现有 IdP + 最小权限 + 审计日志 | 不必先买 agent 身份产品，但必须有归属人 |
判断一个团队成熟度的最快方法，不是看它用了多少工具，而是看它在 L5 到 L7 这三层上有没有任何东西。 只有 L1–L4 的团队做的是项目；七层都有的团队做的才是可复制的交付能力。
十一、这份清单和其他几份资产怎么配合
参考层的四份资产分工如下，建议一起收藏：
- • [《FDE 术语表 v2：50 个词看懂这个行业在说什么》](https://mp.weixin.qq.com/s?__biz=MzE5ODk0NDA5NA==&mid=2247484034&idx=1&sn=add28ef50d3e8b48f7af2cd302d08d22&scene=21#wechat_redirect)——不认识词的时候查它
- • 《FDE 技术栈清单 v2》（本文）——选工具、评估团队成熟度时查它
- • [《FDE 交付验收清单：企业 AI 项目上线前必须过的 24 个检查项》](https://mp.weixin.qq.com/s?__biz=MzE5ODk0NDA5NA==&mid=2247484004&idx=1&sn=20750b5d9f19974db508ce1d90a87598&scene=21#wechat_redirect)——项目上线前逐条过
- • [《FDE 交付定价基准表：5 种计费模式，各自适合什么客户》](https://mp.weixin.qq.com/s?__biz=MzE5ODk0NDA5NA==&mid=2247484009&idx=1&sn=6df7a0ef3484aa7ab41cbd18b4aa90d4&scene=21#wechat_redirect)——报价和砍价时查它
本文的七层判据，与验收清单的五层检查项一一对应：L2 对应数据就绪、L3–L4 对应模型与工具链、L5–L6 对应评测与回归、L7 对应权限与审计。
十二、这份清单变厚，说明了什么
最后说一句判断，
过去几个月的行业动作，看起来是分散的：Salesforce 8 月 24 日在新加坡新增 FDE 岗位，并把 Deployment Strategist 与 FDE 拆成两个角色；ServiceNow 8 月 20 日公开招聘中确认已建立专门的 Applied AI FDE 团队；Blend 计划把资深 FDE 从约 500 人扩到 750 人；Rung 8 月 24 日的报告统计到 370 个公开 FDE 岗位，美国披露薪酬中位区间为 19.7 万至 29.4 万美元。
这些动作真正共同的部分，不是"AI 很热"，而是：企业 AI 的瓶颈已经从模型能力转移到授权边界。
模型能力可以规模化——一个模型训练一次，全球调用。但"这家公司的审批链为什么长这样""这个团队愿意让 AI 自动做到第几步""出了异常谁拥有最终决定权"，这些东西无法预先写进产品文档，必须在现场重新获得，而且每换一个客户就要重新获得一次。
这就是评测层和治理层为什么在同一个季度成为必需品：它们是把现场获得的授权边界，固化成机器可执行、审计可验证的形式的唯一手段。
也是为什么 agent 越强，FDE 没有消失。智能可以规模化，授权不能标准化。这两句话之间的落差有多大，FDE 这个角色的存在空间就有多大——它是企业 AI 落地过程中那个正在被固化下来的交付标准层。
如果这篇对你有用，转给正在给 AI 项目做技术选型的同事，或者正在评估供应商的业务方。 让他们直接跳到第七、第九、第十节。
