自托管 AI 应用平台：为什么运行时属于你

先给结论：该优先自托管的不一定是模型，而是承载对象、权限、工具、审批和审计的运行时——模型可以来自外部，但决定“谁能读什么、谁能做什么、留什么证据”的那一层，应该在你自己的基础设施里。

企业引入 AI 时，最容易被模型能力吸引：上下文窗口多大、推理多强、生成速度多快。

但当 AI 不再只是聊天，而是开始读取客户、订单、合同、工单、审批和内部文件时，更重要的问题会变成：

这些数据在哪里运行？谁能访问？日志在哪里？密钥谁管？出了问题谁能停下来？

这就是自托管 AI 应用平台变得重要的原因：真正应该优先掌握的，不一定是模型，而是 AI 应用运行时。

模型可以来自外部，也可以部署在本地；但承载业务对象、权限、流程、Agent 工具和审计证据的运行时，应该尽可能部署在企业自己控制的基础设施中。因为模型负责推理，运行时负责决定哪些数据能被读取、哪些动作能被执行、哪些步骤需要审批、哪些证据必须留下。

自托管不是“把软件装到服务器上”这么简单

很多人把自托管理解成安装包或私有化部署。那只是第一层。

真正重要的是责任边界：

• 业务记录留在你的数据库里；
• 文件留在你的对象存储或文件系统里；
• 身份和权限来自你的 SSO、组织结构和角色体系；
• 审计日志留在你的日志和合规系统里；
• 密钥、网络、备份和访问策略由你控制；
• 是否连接外部模型服务，由你配置和批准。

如果一个平台号称“企业 AI”，但所有业务上下文都必须先上传到供应商云端，IT 团队就很难回答合规、数据驻留、审计和退出成本这些问题。

自托管的价值，不是让企业拒绝云或拒绝外部模型，而是让企业保留最后的控制权。

不要把自托管运行时、本地模型和私有云 SaaS 混为一谈

很多讨论会把三件事混在一起：

自托管运行时：业务对象、权限、流程、Agent 工具、审批和审计运行在企业控制的基础设施中。

本地模型：模型权重或推理服务运行在企业内部，用于满足隔离、成本、延迟或合规要求。

私有云 SaaS：供应商为客户开一个独立环境，但平台运行、日志、升级和数据处理仍由供应商主导。

这三者可以组合，但不是一回事。企业最应该优先确认的是运行时边界：业务数据是否先进入自己的对象层，Agent 是否继承自己的权限系统，审计证据是否落在自己的日志体系中。

如果运行时不在企业控制内，即使接了本地模型，Agent 仍可能绕过业务权限；如果运行时在企业控制内，即使某些场景使用外部模型 API，也可以只发送授权后的最小上下文。

为什么 AI 应用比普通 SaaS 更需要部署边界

普通 SaaS 通常处理的是一个应用自己的数据。AI 应用平台不一样，它天然会连接多个系统：

• CRM 里的客户和商机；
• ERP 里的订单和库存；
• 工单系统里的服务记录；
• 合同系统里的金额、条款和审批；
• 文件系统里的附件、报告和内部文档；
• 身份系统里的用户、角色和组织关系。

一旦 Agent 可以跨这些系统查询和行动，它就不再是一个孤立工具，而是一个业务运行层。

这个运行层如果完全在外部，风险会放大：

• 很难解释哪些业务数据被发送到哪里；
• 很难统一继承企业原有权限；
• 很难把 Agent 行为写入内部审计系统；
• 很难在网络隔离、行业监管或客户合同要求下落地；
• 很难在供应商切换时保持业务连续性。

所以企业真正要评估的不是“AI 能不能接业务系统”，而是“AI 接入业务系统以后，运行边界是否仍然归企业控制”。

自托管运行时应该承担什么

一个适合企业的自托管 AI 应用平台，至少应该把这些能力放在企业基础设施内。

能力	为什么必须在运行时内
业务对象层	把客户、订单、工单、合同、设备等概念建模成统一对象，而不是让 Agent 直接猜数据库表。
权限层	继承用户身份、角色、记录权限和字段权限，让 Agent 在用户已有权限内工作。
工具层	把查询、动作和流程暴露成受控工具，限制输入输出和可执行范围。
审批层	高风险动作进入人机协作审批队列，而不是由模型直接落库。
审计层	记录 Agent 读取了什么、建议了什么、调用了什么、谁批准了什么、最终改了什么。
连接层	连接现有数据库、ERP、CRM、身份系统和文件存储，同时保留网络与密钥控制。

这些能力放在自托管运行时里，AI 才能接近业务系统而不绕过治理。

外部模型服务仍然可以使用，但不能越过运行时

自托管并不等于只能使用本地模型。

企业可以选择：

• 使用外部模型 API；
• 使用私有云模型服务；
• 使用本地部署模型；
• 针对不同场景混合使用不同模型。

关键是模型不应该直接连接数据库，也不应该直接拥有业务系统账号。它应该通过开源的 ObjectStack Runtime 拿到“完成当前任务所需的最小上下文”。ObjectOS 是同一 ObjectStack 应用可选的商业生产平台与运营体验，并不取代这条运行时边界。

例如用户问：

总结这个客户过去 90 天的未关闭工单，并建议下一步处理动作。

运行时应该先检查用户是否能访问这个客户，再按对象权限和字段权限查询相关工单，隐藏敏感字段，只把必要上下文交给模型。模型返回建议后，真正执行动作仍然要回到运行时，由权限、审批和审计决定能不能落地。

这样外部模型可以提供智能能力，但不会成为业务数据的任意入口。

自托管也意味着企业要承担运行责任

自托管不是没有代价。

企业需要负责：

• 部署和升级；
• 网络隔离和访问控制；
• 数据库、文件和日志备份；
• 身份系统集成；
• 密钥管理；
• 可用性和容量规划；
• 安全基线和漏洞响应；
• 合规配置和内部审计。

这也是为什么自托管平台必须足够清晰：它不能只是把复杂度转嫁给客户，而应该把对象、权限、流程、日志和集成边界讲清楚，让 IT 团队知道自己要控制什么、运维什么、审计什么。

企业选择自托管，换来的不是“省心”，而是“可控”。

什么时候自托管尤其重要

以下场景里，自托管通常不是加分项，而是必要条件：

• 数据不能离开指定地区、VPC 或本地网络；
• 客户合同要求业务数据不得进入第三方训练或托管环境；
• 系统要连接内部 ERP、数据库或文件服务；
• 行业监管要求完整审计链路；
• 需要接入内部身份系统和权限模型；
• 希望使用本地模型或隔离网络；
• AI 会触发真实业务动作，而不仅是生成文本。

越接近真实业务，越需要清楚的部署边界。

评估供应商时可以直接问这 8 个问题

如果你正在评估 AI 应用平台，可以先问供应商：

1. 业务数据默认存在哪里，是否必须上传到供应商云端？
2. Agent 是否继承企业已有用户身份和权限？
3. 是否支持对象级、记录级、字段级和动作级权限？
4. 模型能否直接访问数据库，还是只能通过受控工具访问？
5. 外部模型 API 会收到哪些上下文，是否可以配置最小化发送？
6. 高风险动作是否支持审批、回滚和自动刹车？
7. Agent 的读取、建议、工具调用和写入是否都能进入企业审计系统？
8. 在断网、隔离网络或供应商服务不可用时，核心业务应用是否还能运行？

如果这些问题回答不清，说明平台可能还停留在 AI 演示层，而不是企业生产层。

ObjectStack Runtime 与可选的 ObjectOS 运营层

开源的 ObjectStack Runtime 不是把企业数据搬到一个新的云端系统里，再让 AI 在上面工作。

它是部署在企业基础设施中的自托管业务运行层：连接现有数据和系统，把它们建模成对象，统一权限、流程、API、审计和 Agent 工具。

ObjectOS 是同一 ObjectStack 应用可选的商业生产平台与运营体验，增加浏览器 AI 构建、部署、支持和运营能力，但不改变底层开放定义或 ObjectStack Runtime。

数据、身份、文件和审计证据仍然由企业控制。AI 可以通过受控工具查询和行动，但不能绕过运行时边界。

这让企业可以用比较稳的方式推进 AI：

1. 先连接一个现有系统；
2. 建模关键业务对象；
3. 开放只读查询；
4. 增加建议和审批；
5. 最后把成熟、低风险的动作交给 Agent 自动执行。

真正的企业 AI，不只是模型能力更强，而是它能进入业务系统，同时仍然被企业治理。