Заметки о построении агентных систем
Стенды для оценки, паттерны оркестрации, проектирование памяти и стоящие за ними неудачи — описано, пока детали ещё свежи.
Намерение — не область действия: почему контроль доступа для агентов нельзя выводить из промптов
Контроль доступа на основе намерений перспективен, но только если намерение компилируется в ограниченный, поддающийся аудиту набор возможностей до запуска, а не оценивается во время вызова по описанию самого агента.
Область чтения агента: почему полный доступ к диску — неверный примитив для раскрытия данных
Права доступа к файловой системе не могут выразить, что агент намеревается делать с данными. Область чтения следует выдавать по классу данных и цели запроса, а не по корню файловой системы.
Сохранение доступа после завершения запуска: почему учётные данные агента живут дольше своей задачи
Учётные данные агента часто остаются действительными после завершения задачи. Реальный разрыв — между завершением запуска и истечением срока действия учётных данных, а не между наймом и увольнением.
Запросам доступа от агентов нужен заголовок происхождения, а не строка User-Agent
Строки User-Agent не могут подтвердить, кто несёт ответственность. Трафику агентов нужны подписанные метаданные происхождения, содержащие идентификатор оператора, заявленную цель и отзываемую область действия.
Контракты песочницы: что агент должен доказать, прежде чем коснётся продакшн-эндпоинта
Изоляция агента — это контракт разрешений и верификации, а не guardrail-промпт. Каждая граница инструмента требует предварительного условия, которое агент не может обойти во время выполнения.