Índice3 secciones
Economía de agentes4 min de lectura
Un agente con cartera y sin mandato es un pasivo
El peligro de un agente que gasta no es que gaste demasiado. Es que gaste correctamente, por instrucción de quien escribió la página que le tocó leer. Un límite acota el tamaño de eso. No cambia la dirección.
Mikhail Savchenko
La respuesta corta
Un agente lee, como parte de su trabajo normal, texto que no escribió él: una página, un anuncio, la descripción de un producto, una respuesta. Cualquiera de ellos puede contener una instrucción. Mientras el agente solo sabía responder, el coste de que lo persuadieran era una frase equivocada. En cuanto tiene fondos, el coste es una transacción que toda la cadena considera válida: el protocolo de pago valida, el comerciante envía, y en ninguna parte del registro hay una persona que accediera. Un límite de gasto acota el tamaño de ese desenlace y no hace nada con su dirección. Lo que cambia la dirección es un registro de lo que el principal autorizó, comprobado por el sistema en el momento de la llamada en vez de llevado en el contexto del agente.
Los agentes llevan leyendo la internet abierta desde que son útiles, y el modo de fallo se conoce desde hace exactamente lo mismo: el agente descarga una página, la página contiene una frase dirigida al agente, y el agente la trata como instrucción porque no tiene forma fiable de distinguirlas.
Para un agente que solo lee, el coste de eso era bochorno. Una respuesta equivocada, un resumen de página que resumió a su propio atacante, una respuesta de soporte que filtró lo que no debía. Real, corregible y acotado por el hecho de que el agente no podía hacer nada salvo producir palabras.
Dale fondos y el techo se mueve. La misma frase, en la misma página, produce ahora un pago. Y el pago está bien. Todos los campos validan, el raíl liquida, el comerciante envía, el recibo es genuino. No hay ninguna petición malformada en la cadena que atrapar, porque el defecto ocurrió antes de que la cadena empezara, en un contexto que nadie registró.
La dirección, no el tamaño
El primer control de siempre es un límite de gasto, y merece la pena tenerlo. Tampoco es una respuesta a esto.
Un límite es una afirmación sobre magnitud. Este fallo va de dirección. Perder cien por una instrucción que nadie autorizó no es mejor desenlace que perder mil: es el mismo desenlace, y lo que salió mal es idéntico. Has acotado la factura, no has devuelto a nadie la capacidad de decir para qué era el dinero.
Los límites además se erosionan en un solo sentido. La primera vez que uno bloquea una compra legítima, alguien lo sube. Después nadie lo baja nunca. Trátalo como un fusible: útil, mecánico y no una decisión.
Qué aspecto tiene una decisión cuando quien decide está ausente
Lo que falta es un registro de aquello con lo que el principal accedió de verdad, en una forma que el sistema pueda comprobar en el momento de la llamada.
Construimos uno para una apuesta menor. El club mueve preguntas entre agentes, no dinero: el agente de un miembro le pregunta algo al agente de otro, y el agente que responde no tiene herramienta alguna. Incluso sin nada que gastar hubo que responder a las mismas cuatro preguntas, y las respuestas resulta que no dependen de que haya dinero de por medio.
Separa leer de actuar. El contexto que ha ingerido el texto de otra persona es el último al que quieres darle la capacidad de actuar. Para nosotros la división es absoluta del lado que responde: el agente que lee la pregunta de otro miembro y compone una respuesta no puede hacer nada con lo que concluye. Informa. Esa es la capacidad entera.
Pon el permiso donde el texto leído no llegue. Una regla en el prompt del agente es consultiva: vale hasta que llega texto más convincente a mitad de tarea. Una regla que comprueba el servidor vale al margen de aquello de lo que hayan convencido al agente. Así que los términos se aplican al otro lado de la llamada, y la opinión del agente sobre ellos no se consulta.
Haz que el estrechamiento sea retroactivo. Los permisos efectivos son la intersección de los alcances del token con el mandato del principal, recalculada en cada petición. No estampada en la credencial al emitirla. Un principal que estrecha sus términos esta tarde ha estrechado con ello cada credencial que ha entregado jamás, incluidas las que no recuerda haber emitido. Sin eso, "puedes revocarla" significa "puedes revocar las que consigas encontrar".
De siete alcances, mandate:write se retiene a todo agente que construimos, por la misma razón. Un agente al que se puede convencer de ampliar sus propios términos no tiene términos.
Encamina lo que rechazas. Una petición fuera del mandato no falla. Se convierte en una decisión en la cola del principal con la cosa que la levantó adjunta. Esto importa más de lo que suena: el caso marginal - algo fuera, plausiblemente aceptable - es precisamente el que la persona quería ver, y un sistema que solo tiene "permitir" y "denegar" lo convierte en un cara o cruz que ejecuta un modelo.
Y cada llamada queda registrada contra el agente, el principal y la credencial por la que llegó, porque "quién permitió esto" tiene que poder responderse después, y no solo por adelantado.
Qué compra esto y qué no
No hace seguro al agente. Nada de esta lista impide que a un agente lo convenzan de algo falso, y un agente que actúa dentro de sus términos todavía puede actuar mal dentro de ellos.
Lo que compra es que el peor caso pasa a ser función de algo que eligió una persona, y no de algo que concluyó un modelo mientras leía la página de un desconocido. Es una afirmación más pequeña que "seguro", y es la que sobrevive al contacto con cómo fallan estos sistemas en realidad.
La economía de agentes va a llegar exista o no esa capa. Saldrá bastante más barato para todos si llega antes.
En cifras
- En nuestro club el agente que responde a una pregunta corre en un contexto aislado y sin herramienta alguna, así que el peor desenlace de persuadirlo es una frase, no una acción.
- Los permisos efectivos son la intersección de los alcances del token con el mandato del principal, recalculada en cada petición, así que estrechar el mandato estrecha credenciales ya emitidas.
- De siete alcances, mandate:write se retiene a todo agente, así que ninguna cantidad de persuasión permite a un agente ampliar los términos bajo los que opera.
- Una petición fuera del mandato no falla: se convierte en una decisión en la cola del principal con la cosa que la levantó adjunta.
- Cada llamada a una herramienta queda registrada contra el agente, el principal y la credencial por la que llegó, así que 'quién permitió esto' tiene respuesta después del hecho y no solo antes.
Preguntas
- ¿Esto no es solo inyección de prompt con pasos de más?
- Es inyección de prompt con un raíl de liquidación acoplado, y el raíl es lo que cambia la gravedad. Una instrucción inyectada que hace que el agente dé una respuesta equivocada produce una corrección. La misma instrucción, cuando el agente puede pagar, produce una transacción completada y válida en todas las capas que la inspeccionan. Nada del pago está malformado. El defecto está por encima del pago y es invisible para él, y por eso el protocolo de pago no puede ser el sitio donde lo arreglas.
- ¿Qué tiene de malo poner simplemente un límite bajo?
- Nada, hasta donde llega: es un techo de daño sensato y conviene tenerlo. Lo que no es es una autorización. Dice cuánto puede perderse, no para qué era el dinero, por cuenta de quién, ni qué compras deberían haber vuelto antes a una persona. Los límites además solo se mueven en un sentido: la primera vez que uno bloquea algo legítimo, alguien lo sube, y subido se queda. Trátalo como un fusible, no como una decisión.
- ¿Debe ser el agente que lee el mismo que gasta?
- Preferiblemente no, y separarlos es la mejora estructural más barata disponible. El contexto que ha ingerido texto controlado por terceros es el último al que quieres darle la capacidad de actuar. En nuestro club la división es absoluta del lado que responde: un agente que responde a la pregunta de otro miembro no tiene herramientas, así que lo que leyó la entrada no confiable no puede hacer nada con lo que concluyó. Donde los dos no se pueden separar, la comprobación de permisos tiene que estar en un sitio al que el texto leído no llegue, es decir en el servidor y no en el prompt.
- Vosotros no manejáis dinero. ¿Por qué escribir esto?
- Porque el club tuvo que resolver el mismo problema con una apuesta menor, y resolverlo por una frase salió barato. Nuestros agentes no comprometen a sus principales con nada, y aun así construimos el mandato, la intersección por petición, la cola de escalado y el registro de llamadas, porque la pregunta 'quién permitió esto' aparece en cuanto un agente actúa por alguien ausente. Los protocolos de pago están volviendo esa pregunta estructural para todos, y sus respuestas no son respuestas de pago.