Заметки о построении агентных систем
Стенды для оценки, паттерны оркестрации, проектирование памяти и стоящие за ними неудачи — описано, пока детали ещё свежи.
Полный доступ к диску — это грубое разрешение: ограничение прав чтения агента по классам данных
Полный доступ к диску в macOS — это один булев флаг на все пользовательские файлы. Устойчивое решение — права чтения по классам данных с провенансом при каждом чтении.
Полный доступ к диску — неверная единица доверия для агентов
macOS рассматривает полный доступ к диску как бинарное, долговременное разрешение для каждого бинарника. Рабочие нагрузки агентов эпизодичны и определяются во время выполнения, поэтому доверие должно ограничиваться рамками задачи.
Отчёты о rogue-агентах — это проблема атрибуции, а не безопасности
В отчётах об инцидентах указывается модель, но практически значимый артефакт — это цепочка делегирования, санкционировавшая запуск. Большинство стеков не могут её восстановить.
Идентичность без задачи: почему учётные данные для каждого агента всё ещё дают избыточные права
Учётные данные с областью действия на уровне задачи решают проблему времени жизни токена, но не его области действия. Область действия определяется тем, как планировщик декомпозирует работу, что делает декомпозицию элементом управления безопасностью.
Кодирующим агентам нужен контракт песочницы, а не предупреждающая наклейка
Радиус поражения автономного кодирующего агента определяется его песочницей и правилами сетевого egress. Определите этот контракт до того, как определите агента.