Tavsiyeden eyleme geçiş
Son on yılın büyük bölümünde tüketici yapay zekâsı metin üretti. Özetledi, önerdi ve taslak hazırladı. Aktör kullanıcı olarak kaldı: çıktıyı okudu, karar verdi ve tıkladı. Bu sınır artık yok. Tüketici ajanları artık kimlik bilgilerini tutuyor, kullanıcı adına üçüncü taraflarla konuşuyor ve kullanıcıyı sonuçlara bağlıyor. Abonelikleri iptal ediyor, hatta bekliyor, elde tutma tekliflerini müzakere ediyor, mesajları okuyup tasnif ediyor ve sipariş veriyor.
Bu, başarısızlığın doğasını değiştiriyor. Bir model yanlış cevap verdiğinde, maliyet kullanıcının düzeltebileceği yanlış bir inançtır. Bir ajan eylemde bulunduğunda, maliyet dünyada geri döndürülemez olabilecek bir durum değişikliğidir. Başarısızlık modu yanlış bir cevap değil; kullanıcının amaçlamadığı yetkilendirilmiş bir eylemdir. Yanlış hesapta iptal edilen bir abonelik, daha kötü bir ücretle yeniden rezerve edilen bir uçuş, yanlış alıcıya gönderilen bir mesaj — her biri, kullanıcının devrettiği bir kimlik bilgisi altında yapılmış gerçek bir taahhüttür.
Anlaşmazlıklar rıza kanıtıyla çözülecektir. Bir kullanıcı "bunu yapmasını hiç söylemedim" dediğinde ve karşı taraf "ajanınız bizi aradı ve istedi" dediğinde, soru kullanıcının gerçekte neyi, hangi kapsamda, ne kadar süreyle ve kime yetkilendirdiğidir. Bugün çoğu dağıtım, buna cevap veren neredeyse hiçbir şey saklamıyor. Mühendislik artefaktları olan logları saklıyorlar, rıza kayıtlarını değil.
Ayar sayfaları neden kanıt olarak başarısız olur
Bir ayar sayfası bir durum makinesidir. T anında bir anahtarın açık olduğunu kaydeder. T+n anında alınan eylemin kapsamını, ilgili karşı tarafı veya bu yetkinin geçerli olduğu süreyi kaydetmez.
Yaygın kalıbı düşünün. Bir kullanıcı bir ajanın ayarlarında "aboneliklerimi yönet" seçeneğini etkinleştirir. Bu tek boolean artık sınırsız bir satıcı kümesini, sınırsız bir eylem kümesini (iptal, düşürme, duraklatma, yeniden müzakere) ve sınırsız bir zaman ufkunu kapsar. Ajan, kullanıcının saklamak istediği bir aboneliği iptal ettiğinde, ayar sayfası bu iptalin verilen yetki kapsamında olup olmadığını yeniden oluşturmanın hiçbir yolunu sunmaz. Anahtar, kullanıcının abonelik yönetimine rıza gösterdiğini söyler. Kullanıcının bu satıcıyla bu aboneliği bu anda iptal etmeye rıza gösterdiğini söylemez.
Bir satıcı için verilen rıza bir başkasına geçmez. Bir ajana mobil operatörüyle müzakere yetkisi veren kullanıcı, ona sigortacısıyla müzakere yetkisi vermemiştir. Genel anahtarlar bu ayrımı tasarım gereği gizler: bir dizi belirli, sınırlı izni tek bir soyut anahtara indirger. Anahtar, ilk kullanım için kullanışlıdır ve karar verme için işe yaramaz.
Üçüncü tarafların doğrulanabilir bir artefakta ihtiyacı vardır, bir tercih ekranının ekran görüntüsüne değil. Bir satıcının destek ekibi, bir bankanın itiraz süreci veya bir düzenleyici bir ekran görüntüsünü doğrulayamaz. Bir eylemi bir yetkiye bağlayan bir şeye ihtiyaçları vardır: kimin hareket ettiği, kimin adına, hangi yetkiyle ve ne zaman. Mevcut varsayılan — bir destek talebi ve bir söz — ölçeklenmez ve düzenlemeyle temas ettiğinde ayakta kalamaz.
Rıza defterinin tasarımı
Bir rıza defteri, verilen yetkilerin ve iptallerin yalnızca ekleme yapılabilen bir kaydıdır. Her giriş, niyeti sonradan yeniden oluşturmak için gereken minimum kümeyi yakalar:
- Aktör: ajan kimliği, sürümü ve kullandığı kimlik bilgisi dahil.
- Karşı taraf: yetkinin uygulandığı belirli satıcı, hizmet veya uç nokta.
- Eylem sınıfı: fiil — iptal, satın alma, gönderme, okuma, müzakere — kapalı bir sözcük dağarcığından alınır.
- Kapsam: sınırlı parametreler. Bir satın alma için maksimum tutar ve bir satıcı kategorisi. Bir mesaj için alıcı kümesi. Bir iptal için belirli abonelik tanımlayıcısı.
- Bitiş: yetkinin geçersiz hale geldiği an veya onu geçersiz kılan olay.
- Yetki ifadesi: onu veren tam kullanıcı ifadesi, kelimesi kelimesine, kanal ve zaman damgasıyla. Bu çapadır. Anlaşmazlık geldiğinde bir insanın okuduğu şeydir.
Girişler yalnızca ekleme yapılabilir ve imzalıdır. İptal, yeni bir giriştir, asla silme değil. Bu bir üslup tercihi değil; defteri kanıt yapan özelliktir. Sonradan düzenlenebilen bir kayıt, eylem anında neyin doğru olduğu hakkında hiçbir şey kanıtlamaz. Her girişi imzalamak ve girişleri zincirlemek, böylece birini kaldırmanın zinciri kırması, deftere bir şeffaflık loguyla aynı kurcalama kanıtı özelliğini verir.
Defter kullanıcı tarafından sorgulanabilir ve ilgili olduğunda bir karşı tarafa veya düzenleyiciye sunulabilir. Kullanıcıya dönük görünüm, sade bir dille yazılmış bir geçmiştir: ajanın ne yaptığı, ne yapmaya yetkili olduğu ve yetkiyi hangi ifadenin verdiği. Karşı tarafa dönük görünüm, kapsamlı bir özettir: belirli bir eylemin belirli bir yetkiyle kapsandığının kanıtı, ilgisiz geçmişi açığa çıkarmadan.
Somut bir mekanizma: ajan eylemde bulunmaya hazırlandığında, önerilen bir giriş oluşturur ve bunu o karşı taraf ve eylem sınıfı için aktif yetkilere karşı kontrol eder. Hiçbir yetki eylemi kapsamıyorsa — yanlış satıcı, süresi dolmuş, tutar kapsam dışı — eylem reddedilir ve ret de bir defter girişi olarak kaydedilir. Ret kaydı önemlidir. Uygulama katmanının çalı
Mevcut kontrollerle etkileşim
Kapsamlı harcama ve kapsamla sınırlı kimlik bilgileri, deftere uygulama olarak bağlanır; defter denetim yarısını sağlar. Satıcı başına limitli bir sanal kart sınırı uygular. Defter, sınırın neden belirlendiğini, hangi yetkiyle ve ne zaman belirlendiğini kaydeder. Denetim olmadan uygulama, "bu politika içinde miydi?" sorusunu yanıtlayamamanıza yol açar. Uygulama olmadan denetim, soruyu ancak hasardan sonra yanıtlayabilmenizi sağlar.
İkisi aynı şemayı paylaşmalıdır. Kimlik bilgisinin kapsamı defterin kapsamından farklı ifade edilirse, denetim izi uygulama kararıyla uzlaşmaz ve uzlaşma boşluğu anlaşmazlıkların yaşadığı yerdir.
Saklama politikası, hukuki sonuçları olan bir ürün kararıdır: unutulan şey kanıtlanamaz. Girişleri otuz gün sonra sona erdiren bir defter, kırk beşinci günde açılan bir ters ibrazı savunamayan bir defterdir. Her şeyi sonsuza kadar saklayan bir defter, farklı türde bir yükümlülüktür. Dürüst ödünleşim, tüm eylem sınıfları için doğru olan bir varsayılan saklama süresi olmamasıdır. İptaller uzun saklama gerektirebilir; okuma erişimi yetkileri kısa saklama gerektirebilir. Saklama süresi, eylem sınıfı başına, şemada yer alır ve bilinçli olarak kararlaştırılır.
Daha zor ödünleşim sürtüşmedir. Her eylem için açık, kapsamlı rıza gerektiren bir defter doğru ve kullanılamaz olacaktır. Tek bir ilk kullanım ifadesinden geniş yetkiler çıkarsayan bir defter kullanılabilir ve kanıt olarak değersiz olacaktır. Uygulanabilir orta yol, dar kapsamlı ve açık bitişli küçük bir dizi kalıcı yetki, artı bunların dışındaki her şey için bir onay adımıdır. Onay adımı bir giriş yazar; kaybolan bir modal değildir.
Şemayı yayımlayın. Aksi takdirde karşı taraflar uyumsuz olanları icat edecektir. Her ajan satıcısı ve her satıcı kendi rıza biçimini tanımlarsa, sonuç karşılaştırılamayan bir defterler kümesi olur ve anlaşmazlık çözümü sorunu bir katman yukarı taşınır. Yayımlanmış bir şema — aktör, karşı taraf, eylem sınıfı, kapsam, bitiş, ifade, imza — her tarafa ortak bir hedef verir. Henüz bir standart olması gerekmez. Kamuya açık, sürümlenmiş ve bir karşı tarafın üzerine inşa edebileceği kadar kararlı olması gerekir.
Önce ne inşa edilmeli
Minimum uygulanabilir rıza defteri küçüktür. Giriş şemasını tanımlayın. Her girişi imzalayın. Yalnızca ekleme yapılabilir hale getirin. Kullanıcı tarafından okunabilir bir geçmiş sunun. Aktif yetkilerin dışındaki eylemleri reddeden ve reddi kaydeden uygulama kontrolünü ekleyin. En geri döndürülemez sonuçları taşıyan eylem sınıflarıyla başlayın — iptaller, ödemeler, giden mesajlar — ve oradan genişleyin.
Ayar sayfası kalabilir. Kalıcı yetkileri yapılandırmanın iyi bir yoludur. Neyin yetkilendirildiğinin kaydı değildir. Bunlar farklı ömürlere sahip farklı artefaktlardır ve onları birbirine karıştırmak, çoğu tüketici ajanı dağıtımının şu anda yaptığı hatadır.