فجوة الرصد
بُنيت منظومات الأمن المؤسسية لرصد الأفعال. تُصدر منصة الوكلاء النموذجية سجلات طلبات HTTP، وأشجار العمليات، وأعداد الرموز، واستدعاءات الأدوات، واستخدام بيانات الاعتماد. تجيب هذه الآثار عن سؤال ما الذي حدث بدرجة معقولة من الدقة. لكنها لا تجيب عن سؤال ما الذي كان يُفترض أن يحدث، وهذا التمييز يكتسب أهمية أكبر مع الوكلاء المستقلين مما كانت عليه مع الخدمات الحتمية.
تأمّل تشغيلين ينتجان قياساً متطابقاً. في الأول، يستدعي وكيل واجهة CRM لأن ربطاً تكاملياً مُهيّأً خطأً وجّه مهمة تحديث عميل إلى نقطة النهاية الخاطئة. وفي الثاني، يستدعي وكيل نقطة النهاية ذاتها لأنه قرّر من تلقاء نفسه أن إثراء سجلات العملاء يخدم هدفاً لم يُوكَل به. سجلات HTTP متطابقة. أشجار العمليات متطابقة. أعداد الرموز متطابقة. قد يتمكن مهندس كشف يفحص المسار بعد وقوعه من إعادة بناء أيّهما كان أيّ، لكن فقط باستنتاج الغرض من السلوك. هذا الاستنتاج بطيء واحتمالي وغير متاح في اللحظة التي يُجرى فيها الاستدعاء.
تتقارب الشركات على النية كعامل التمييز في أمن الوكلاء، لكن أحدث ما بلغته التقنية يعامل النية كتصنيف تحليلي لاحق. تُجمَّع السلوكيات، وتُقارَن التسلسلات، ويُقال للمحلل إن تشغيلاً يبدو كأنه كان يسعى وراء شيء خارج التكليف. هذا تحقيق جنائي مفيد. لكنه ليس إنفاذاً. فبحلول لحظة الاستنتاج، يكون المورد قد مُسّ.
الفجوة تشغيلية أيضاً، لا تحليلية فحسب. تكشف التقارير عن الوكلاء غير المُدارين باطراد أن حصة معتبرة من الوكلاء المنشورين تعمل دون أي مراقبة. والوكيل غير المرصود لا يمكن الاستنتاج منه، والوكيل المرصود عبر سجلات الأفعال فقط لا يمكن تقييده بالنية. كلا الإخفاقين يشتركان في سبب جذري واحد: النية غير ممثَّلة في أي مكان في المنظومة ككائن من الدرجة الأولى.
النية كأثر
الخطوة العملية التالية هي التوقف عن معاملة النية كشيء يستنتجه النموذج، والبدء بمعاملتها كشيء يعلنه مُوكِّل. ينبغي أن يُفتتح كل تشغيل وكيل بتكليف منظَّم. التكليف مستند صغير قابل للقراءة آلياً ينصّ على:
- الهدف، بصيغة قابلة للتحقق لا وصفية فحسب؛
- أصناف الموارد المسموح للتشغيل بمسّها؛
- سقوف الإنفاق والمعدل؛
- انتهاء صلاحية، يصبح بعده التكليف لاغياً ويلزم التشغيل إعادة التخويل.
التكليف ليس أمراً توجيهياً (prompt). إنه أثر سياساتي، أقرب إلى رمز محدَّد النطاق منه إلى رسالة نظام. يوقّعه المُوكِّل الطالب، سواء كان مشغّلاً بشرياً أو خدمة أعلى أو وكيلاً آخر يعمل بموجب تكليف مفوَّض. تربط التوقيعة التشغيل بأصل مسؤول.
مراجع الغرض على كل خطوة
التكليف وحده خامل. يصبح حاملاً للثقل عندما تحمل كل خطوة في المسار مرجع غرض يعود إليه. عملياً، ينبغي أن يتضمن استدعاء الأداة حقلاً يسمّي بند التكليف الذي يخدمه:
{
"mandate_id": "mnd_7f3a",
"purpose_ref": "clause:customer_lookup",
"resource": "crm.contacts.read",
"step": 4
}
عندئذٍ يقيّم محرّك السياسات الاستدعاء مقابل النية المعلَنة بدلاً من تخمينها من شكله. قراءة على crm.contacts تحت clause:customer_lookup متوقعة. أما القراءة ذاتها تحت clause:invoice_reconciliation فهي انحراف، بصرف النظر عن صلاحية بيانات الاعتماد. الفحص رخيص ومحلي ومتاح قبل مسّ المورد.
يُخزَّن التكليف والمسار معاً. هذا التجاور هو ما يجعل الأثر قابلاً للاستعلام: يستطيع المحقق أن يسأل لا ما الذي فعله هذا التشغيل فحسب، بل ما الذي أعلن أنه سيفعله، ويقارن الاثنين على أي نافذة زمنية.
ما الذي تكسبه الكشفية
بمجرد أن تصبح النية أثراً، تتاح عدة أصناف من الإشارات هي اليوم إما استكشافية أو غائبة.
يصبح الانحراف إشارة من الدرجة الأولى. لم تعد المسافة بين الغرض المعلَن والمورد المرصود شذوذاً إحصائياً يحتاج إلى ضبط. إنها مقارنة منطقية مقابل مستند موقّع. الخطوة التي لا يغطي purpose_ref الخاص بها المورد الذي تمسّه هي انحراف بحكم البناء. يستطيع المحللون ترتيب الانحرافا
تظهر الحركة الجانبية بنيوياً. الوكيل الذي ينتقل من صنف موارد مسموح إلى صنف غير مسموح يصبح مرئياً بصرف النظر عن صلاحية بيانات الاعتماد التي استخدمها. وهذا مهم لأن صلاحية بيانات الاعتماد مؤشر رديء على التخويل في أنظمة الوكلاء: فالوكلاء كثيراً ما يُزوَّدون بصلاحيات مفرطة، والرمز الصالح هو بالضبط ما سيقدّمه تشغيل مخترَق أو منحرف. نطاق التكليف يلتقط الحركة التي كانت صلاحية الرمز ستمرّرها.
تصبح العتبات لكل تكليف. على العتبة العامة المضبوطة عالمياً أن تستوعب أكثر الوكلاء ضجيجاً في الأسطول، ما يعني أنها فضفاضة أكثر من اللازم للوكلاء الهادئين. تحمل أنواع التكليف أشكالها المتوقعة الخاصة. تكليف تسوية يقرأ مجموعة ثابتة من السجلات له غلاف ضيق؛ وتكليف بحثي له غلاف أوسع. يمكن ضبط العتبات لكل نوع تكليف، ويدعم القياس ذاته كليهما دون تنازل.
ينتقل الإنفاذ إلى وقت أبكر. لأن الفحص محلي وقبل مسّ المورد، يمكن رفض الانحراف بدلاً من تسجيله. والفرق بين الكشف والمنع هو الفرق بين تقرير حادث وحادث تم تجنّبه.
التكاليف والحدود
على التكاليف أن تقع بين قيدين يتجاذبان في اتجاهين متعاكسين. يجب أن تكون خشنة بما يكفي ليكتبها إنسان دون تدريب على لغة سياسات خاصة، ومحدَّدة بما يكفي لتفحص آلة خطوة مقابلها دون غموض. تكليف يقول قم بعمل مفيد ببيانات العملاء قابل للكتابة وغير قابل للفحص. وتكليف يعدّد كل نقطة نهاية قابل للفحص وغير قابل للكتابة. الوسط العملي هو أصناف الموارد بأسماء بنود صريحة، وهو انضباط تصميمي لا تقني.
الحد الأصعب هو الوكلاء الاستكشافيون. بعض التشغيلات تحتاج بحق إلى اكتشاف مسارها بنفسها: وكيل تصحيح أخطاء عليه فحص خدمة غير مألوفة، ووكيل بحثي عليه تتبّع المراجع. تكليف يحظر كل الموارد غير المدرَجة سيكسر هذه التشغيلات؛ وتكليف يسمح بكل شيء يبطل الغرض. الجواب الصادق هو نطاق استكشاف محدود، يُعلَن في التكليف ويُنفَّذ كأي بند آخر. هذه مشكلة تصميم سياسات، لا مشكلة قياس، ولن يُحلّها تسجيل أفضل.
هناك أيضاً كلفة على الأثر نفسه. يجب إصدار التكاليف وتوقيعها وتدويرها وإبطالها. تضيف خطوة إلى بداية كل تشغيل وحقلاً إلى حمولة كل خطوة. الحمل زهيد لكل استدعاء لكنه غير صفري على نطاق الأسطول، وهو يُدخل نمط فشل جديداً: تشغيل لا يستطيع الحصول على تكليف لا يستطيع المضي. هذا هو الافتراضي الصحيح لأصناف الموارد عالية العواقب والافتراضي الخاطئ للأصناف منخفضة العواقب، ما يعني أن إصدار التكاليف يحتاج إلى تصنيفه الخاص.
لا شيء من هذا يستبدل القياس القائم. تبقى سجلات الأفعال ضرورية للتحقيق الجنائي والسعة وتصحيح الأخطاء. والحجة أضيق: سجلات الأفعال وحدها لا تستطيع التمييز بين ربط تكاملي مُهيّأ خطأً وهدف خارج التكليف، ولا مقدار من الاستنتاج اللاحق يسدّ تلك الفجوة في الوقت المناسب. أما النية المعلَنة الموقّعة القابلة للاستعلام فتفعل.
الخطوة التالية لمعظم الفرق ليست منصة جديدة. إنها تغيير في المخطط: أضف تكليفاً إلى التشغيل، وأضف مرجع غرض إلى الخطوة، وخزّن الاثنين معاً. مكاسب الكشف تتبع هذا التمثيل، لا نموذجاً أفضل لما كان يفكر فيه الوكيل.