AI-агент на боевом сервере: что я ему разрешаю, а что делаю сам

За одну неделю октября шесть компаний написали, как пустить AI-агента к боевым системам и не получить сюрпризов. Vercel показал схему планов и прав для своего агента, Docker запер агента в песочницу, Supabase дал ему боевую базу только на чтение, GitLab завёл журнал агентов, Auth0 разобрал токены, а Workato рассказал, почему юридическая компания не даёт модели полный доступ к Salesforce. Если у вас свой сервер, CRM и телефония, рано или поздно кто-то предложит «пусть агент сам починит».

Что вышло и у кого

Vercel 23 октября описал, как его агент работает с production. Запрос «почини деплой» не говорит заранее, какие действия понадобятся, поэтому агент сначала расследует проблему с правами только на чтение, а потом предлагает план: какие задачи выполнит и какие права (scopes) ему нужны. План одобряют целиком, и под него выпускается короткоживущий токен: базовые права чтения плюс одобренные. Агент работает как приложение Vercel от имени пользователя и прав больше, чем у самого пользователя, получить не может. Операцию вне токена API отклонит, даже если модель считает её необходимой.

Docker 21 октября показал связку Docker Sandboxes с платформой BAND. Агент работает в изолированной микро-ВМ со своим ядром, файловой системой и сетью, наружу выходит только исходящими соединениями. Ключи остаются на хосте: песочница подставляет их в исходящие запросы, агент видит заглушки.

Supabase 20 октября выпустил набор для проверки боевого проекта агентом: подсказки Health, Security, Performance и Resources, инструмент query_logs для SQL только на чтение по логам. Два совета оттуда я бы повторил всем: подключать MCP-сервер с флагом read_only=true и для запуска по расписанию заранее разрешать только инструменты чтения, потому что запланированный запуск не может остановиться и спросить. Подсказки велят агенту игнорировать инструкции, найденные в логах.

GitLab 20 октября открыл бета-версию панели AI Governance для Premium и Ultimate: какие агенты запускались, кто их запускал, какие проекты они трогали. Хранение событий по умолчанию выключено, внешние агенты подключаются через glab govern setup.

Auth0 20 октября разобрал, почему привычная регистрация клиентов ломается на агентах: права назначали вручную при регистрации, а агенту они нужны на лету и по цепочке вызовов. Ответ Auth0: строгий режим API с явным грантом для каждого клиента, регистрация по метаданным (CIMD) и обмен токенов по RFC 8693, чтобы в токене было видно, какой пользователь разрешил действие и какой агент действует от его имени.

Workato 21 октября опубликовал историю Relativity, юридической компании почти на 2000 человек. Её архитектор приложений говорит, что управление доступом у MCP-серверов от вендоров появляется через несколько месяцев после выпуска, поэтому компания собрала свои MCP-серверы с ролевым доступом и сервисными учётными записями; первый, для Jira Data Center, работает в production.

Пример: «почини телефонию» в сервисной компании

Возьмём сервисную компанию с собственной PBX, CRM и сайтом. В пятницу вечером из звонков перестали создаваться лиды, и сотрудник пишет агенту «почини». С полным доступом агент может перезапустить телефонию, поправить маршрутизацию и заодно «почистить» в CRM дубли, которые дублями не были. С доступом на чтение он посмотрит логи, сравнит конфигурацию с последней рабочей и скажет, что изменилось. Решение принимает человек.

Права агента должны следовать за задачей. Чтение разрешать можно чаще, хотя и оно показывает агенту данные клиентов. Запись только после того, как видно, что именно он собирается записать.

Как это устроено у меня

С 2021 года я технический партнёр компании в сфере PDR в США: за мной сервер, сеть, собственная PBX с AI-анализом звонков, парсеры документов и внутренний API. Вопросы безопасности в компании идут ко мне. С 2022 года, когда появился свой сервер, серьёзных сбоев с восстановлением не было.

AI помогает мне с рутинной работой, тестированием и отладкой и ускорил мою разработку в несколько раз. Граница у меня проходит там же, где у Vercel: агент готовит изменение, а применяю его на боевом сервере я, после проверок. Архитектуру и принципиальные решения определяю сам. Агента, который сам выкатывает правку в PBX с клиентскими звонками, у меня нет. Продукты из этих новостей на своих серверах я не проверял, поэтому говорю о схемах.

Что я бы сделал

Завёл бы отдельную учётную запись для агента с правами только на чтение: логи, конфигурация, база в режиме read-only. Так советует Supabase.

Описал бы, какие действия агент предлагает, а какие выполняет сам. Перезапуск сервиса, миграция базы, изменение маршрутизации звонков, рассылка клиентам у меня в списке «предлагает, выполняет человек».

Держал бы ключи вне агента, на хосте или в менеджере секретов, как делает песочница Docker.

Вёл бы журнал: кто запустил агента, что он прочитал, что предложил, что применили. В маленькой компании хватит обычной таблицы.

Проверял бы логи и письма на внедрённые инструкции: агент, который читает чужой текст, однажды прочитает там «удали всё».

Связанные материалы

Про правила, статусы и права для людей и AI: статья Бизнес-логика: правила, статусы и права. Направления: AI в процессе, где результат можно проверить и инфраструктура, которую можно выпускать и восстанавливать. Вся работа с PDR-компанией в кейсе Технический партнёр PDR-компании в США с 2021 года. Рядом мои обзоры о ключах на один запуск вместо вечных и о песочницах для агентов, а раньше я разбирал, как проверять AI-код. Если у вас есть сервер, к которому хочется подпустить агента, расскажите, что на нём работает и что должно остаться за человеком. Обсудить задачу.