Четыре темы
Где применяются принципы: агенты без дрейфа, жёсткие контроли, комплаенс как автоматизация и данные в границах.
Агенты без дрейфа
Разделите автономных агентов-программистов на четыре отдельных цикла, у каждого свои измеримые правила прогресса.
- Работа поставляется ветка за веткой: независимое ревью, автоматический скан, блокирующий данные организации, и слияние, одобренное владельцем.
- Ревьюеры привязаны к конкретному коммиту; тяжёлые задачи выполняются по одной.
- Одно общее репозиторное ядро с экземплярами для каждой организации.
Сначала жёсткие контроли
Песочницы, изоляция и ограниченные учётные данные защищают лучше, чем промпты и файлы инструкций.
- Управляйте ИИ-агентами как способными, но ошибающимися исполнителями.
- Проект небольшого агента для хоста без модели: он выполнял бы только команды из списка разрешённых через git, с подписанными сообщениями и без входящего порта.
Комплаенс как автоматизация
Операции СУИБ, реестры рисков и задачи по безопасности могут работать как автоматизация, а не как таблицы.
- Программы ISO 27001 и SOC 2: аудиты и анализ разрывов.
- Иерархический GRC-фреймворк на основе CSA Cloud Controls Matrix с автоматическим сопоставлением контролей и рабочими процессами задач для аудитов СУИБ.
- Готовность к EU Cyber Resilience Act и AI Act.
Данные в границах
Получать через аутентифицированный сеанс браузера данные, которые пользователь и так видит, когда официальных API или выгрузок не хватает, с чётко описанными правовыми, договорными и защитными границами.
- Анализ и визуальная подача на SQL, Python и BI для отчётности по контролям и рискам.
Семантическая паутина и графы знаний
Знания, требования и доказательства лучше всего хранить как граф связанных утверждений, где каждая связь указывает, насколько она надёжна.
- Утверждения — это узлы, а шаги между ними — рёбра; уверенность растёт, когда независимые пути сходятся, а не когда повторяется один и тот же источник.
- Связывание двух моделей без навязывания единого общего словаря: каждая модель описывает себя сама, а каждая заявленная связь с другой моделью — явный объект, который можно проверить.
- Разложение определения на несколько базовых отношений, чтобы было видно, что «президент» и «директор компании» имеют одну и ту же структуру.
Читать: «Комплаенс как граф, а не как таблица» Связанные проекты →
Происхождение данных и доверие
Число на дашборде — это конец цепочки шагов, поэтому оно заслуживает тех же проверок доказательств, что и утверждение о соответствии.
- Каждый производный столбец или показатель рассматривается как утверждение, с оценкой доверия, вычисленной по тому, из чего он получен.
- Определения и переводы между моделями несут указанную дату, поэтому изменённое определение требует пересмотра, а не наследуется молча.
- Способ подключить незнакомую систему, например API или другого агента: начать с общего шаблона, заполнить его запросами и вносить изменения с отслеживанием.
Это спецификации и разобранные примеры, а не проверенные результаты.