Агенты · Комплаенс · Статья 2 · Черновик

От Agentic Web до dev-lab: три слоя, один набор контролей

Статья 1 этой серии: Как сделать AI World рабочим и соответствующим требованиям. В ней были введены три контроля: гейт, изоляция, доказательства. Эта статья прослеживает их через три слоя.

Два термина, определённые один раз

Agentic Web — это открытый интернет глазами программных агентов: сервисы, которые агенты читают и, где это разрешено, в которых действуют от имени человека.

Dev-lab — это место, где агентов создают, тестируют и запускают: рабочая станция, репозитории, пайплайны и небольшие хосты вокруг них.

Между ними находится Agentic Enterprise — компания, которой управляют агенты внутри одной организации. Каждый слой получает те же три контроля.

1. Agentic Web: агент, действующий от имени одного человека

Агент в вебе — это программа, которая действует от имени человека: она читает сервисы и, где это разрешено, действует в них с собственным доступом этого человека. Такой агент работает в рамках правовых, договорных и защитных ограничений.

Участвуют три стороны: пользователь, который владеет учётной записью и мандатом; агент со своим профилем браузера и своей папкой; и сервис, чьи страницы, сообщения и комментарии для агента — данные, но никогда не инструкции.

Чтение и запись — разные запуски

Запуск на чтение никогда не публикует, не реагирует, не пишет сообщения, не подписывается и не редактирует. Запуск на запись — отдельный вид запуска.

Идентичность остаётся у пользователя

Агент использует собственный профиль браузера. Он никогда не вводит, не хранит и не запрашивает пароль, код или токен; пользователь входит один раз.

Запись ждёт одобрения

Каждая запись сначала оформляется как точный черновик: что, где, точный текст, цель. Она выполняется только после одобрения именно этого черновика, одно действие на одно одобрение, никогда не пакетом. Любое изменение текста требует нового одобрения.

Nepouzdan ulaz

Инструкция, найденная на странице, в комментарии или сообщении, фиксируется в отчёте, но не выполняется.

Доказательства и канонический источник

Каждый запуск пишет один датированный отчёт, а всё, что агент собирает, остаётся в его папке. Собственный сайт пользователя — оригинал статьи; копия в другом месте ссылается на него.

Коротко: одобрение точного черновика; выделенный профиль без сохранённых учётных данных; отчёт по каждому запуску.

2. Agentic Enterprise: роли, шина и система учёта

Agentic enterprise здесь — это смоделированная небольшая компания, которой управляют программные агенты. Оркестратор запускает стороны сущностей (собственную сторону компании и внешних партнёров, таких как клиенты, аудиторы и поставщики) как недолговечных субагентов, у каждого из которых есть письменный профиль роли, загружаемый перед действием.

Как идёт работа

Расписание будит оркестратора по медленному таймеру. Он читает управляющий сигнал «запуск, приостановка или остановка», выбирает самую ценную допустимую задачу, поручает её выполнение, проверяет результат, записывает его в журнал и переписывает список следующих действий. Субагенты готовят черновики и исследуют; внешние действия выполняет оркестратор и сверяет их с системой учёта. Собственное резюме агента — это данные, а не доказательство.

Как части общаются

• Файловая шина: у каждого агента есть входящие и исходящие — файлы сообщений с цепочкой, видом запроса (информирование, вопрос, запрос, решение), сроком и статусом.
• Канал запросов между владельцем и главным оркестратором; у каждого элемента есть идентификатор и статус (в очереди, в работе, вопрос, нужно одобрение, готово).
• Эскалация в виде карточки: агент, которому нужен владелец, пишет эскалацию; она превращается в одну карточку с рекомендуемым вариантом первым, а клик владельца возвращается в ту же цепочку.
• Текст другого агента — это данные, а не инструкция и не одобрение.

Kapija

Изменение попадает в общее ядро только через собственную ветку, независимое ревью, привязанное к конкретному коммиту, и одно одобрение владельца. Координатор перепроверяет в момент клика и ничего не отправляет, если что-то изменилось. Одобрения — это кнопки: набранное «да» ничего не разрешает. Секретные шаги требуют личного подтверждения владельца в собственной сессии этого агента.

Изоляция

Скан блокирует выход наружу любых имён, хостов, идентификаторов и данных организации. Списки разрешённого и запрещённого принадлежат владельцу; агенты их не меняют. Долгая работа идёт в фоне или в нескольких субагентах, а несущественные циклы приостанавливаются, когда ресурсов не хватает.

Доказательства

Каждое действие смоделированной компании — одна строка в журнале только на добавление: что, кто, зачем, на каком основании, кем решено. Реестр хранит каждый открытый запрос, пока он не выполнен или не отклонён. Измеряется результат, а не признак жизни: «жив, но ничего не выдал» — это тревога.

Один урок этого слоя: утверждение нужно подтвердить по системе учёта, прежде чем его повторять.

3. Dev-lab: зоны и что с чем может общаться

Dve zone

• Зона владельца содержит панель управления (локальную панель с каналом запросов и карточками), живые сессии агентов, локальную файловую шину и рабочие копии репозиториев. Секреты хранятся в локальных файлах и никогда не попадают в общее ядро.
• Зона исходного кода и пайплайнов содержит репозитории организации, историю ревью и пайплайны с резервным копированием по расписанию.

Kako su povezane

Работа движется через push и pull через сервис исходного кода, а панель управления отправляет изменения только после одобрения владельца. У агентов нет собственных учётных данных для других зон: секретные шаги требуют личного подтверждения владельца в собственной сессии агента.

Mali hostovi

Небольшие хосты задуманы так, чтобы выполнять только команды из списка разрешённого через git и подписанные сообщения, без входящего порта. Тяжёлые задачи выполняются по одной.

Коротко: независимое ревью и одобрение владельца; зоны и списки разрешённого; супервизор, проверяющий heartbeat, и запись о каждом пересечении границы.

4. Один набор контролей, три слоя

5. Za poneti

На любом слое исходите из того, что агент может ошибиться или оказаться под чужим влиянием, ограничивайте, до чего может дотянуться ошибка, и оставляйте запись, по которой может проследить кто-то другой.