如何让AI代理接触生产数据库而不令人胆战心惊？

我正在将一个AI代理（Claude/Cursor风格）接入我们的生产环境Postgres数据库，然后我有点僵住了。我看到的选项感觉都不好：给它官方的DB MCP/原始连接 → 它可以在生产环境上写任意SQL。一个坏查询或提示注入就能删除东西或泄露整个客户表。绝对不行。为每个查询编写手动的安全工具/视图 → 可行，但需要大量手动工作，而且每次schema变更就会出问题。仅使用只读副本 → 有助于读取，但对代理实际需要的写入操作毫无作用。具体困扰我的是：如何阻止代理在生产环境上运行破坏性或失控的SQL？如何让PII/代理不应看到的列不进入其上下文？如何安全地处理写入（如果完全不允许写入呢）？你们是否有代理实际行为的审计追踪？对于正在真实生产数据库上运行代理的你们——今天你们实际上是如何做的？自己开发的？用某个网关？还是……根本不让代理接近生产？真心好奇哪些方法有效，哪些无效。