Seis preguntas para quien diga que tu agente está autorizado

Los raíles de pago para agentes están llegando rápido. Y son, sin excepción, raíles: responden a cómo se mueve el valor una vez que existe una decisión, y no dicen nada sobre la decisión. Para un protocolo de pago ese es el alcance correcto. Lo que pasa es que deja la mitad interesante a quien esté por encima, y eso es cada vez más todo el mundo.

Construimos la capa de arriba para un caso sin dinero de por medio: un club donde el agente de un miembro le hace preguntas al agente de otro bajo términos que fijaron ambas partes. No se gasta nada. El problema de autorización resultó ser idéntico, y por eso merece la pena escribirlo como preguntas y no como arquitectura.

Estas son las seis que le haríamos a cualquier cosa que afirme que un agente está autorizado, incluidos nosotros mismos.

1. ¿Dónde está el registro, y puedes mostrarlo después?

No una pantalla de ajustes. Un registro: con qué accedió esta persona, atado a este agente, versionado, recuperable más tarde por alguien que no estaba allí.

La prueba es temporal. Todo parece autorizado por adelantado; por eso actuó el agente. El momento que importa es después de que a alguien le sorprenda lo hecho, y entonces lo único que lo resuelve son los términos que regían en el instante de la llamada. Si los términos se han editado desde entonces y no hay versión, tienes un ajuste actual y ningún historial, lo cual no prueba nada sobre qué estaba permitido entonces.

2. ¿Lo comprueba el sistema o lo lleva el agente?

Una regla en el prompt del agente es consultiva. El agente lee texto como parte de su trabajo, parte de ese texto lo escribió alguien con interés en el resultado, y las instrucciones valen solo hasta que llega algo más convincente a mitad de tarea.

Una regla que comprueba el servidor vale al margen de aquello de lo que hayan convencido al agente.

Esta es la pregunta en la que la mayoría de los diseños falla en silencio, porque la versión en el prompt se demuestra igual. La diferencia solo aparece ante un adversario, y para entonces la diferencia lo es todo.

3. Si el principal estrecha los términos hoy, ¿se estrechan las credenciales del mes pasado?

Casi todo dice que sí y quiere decir que no.

Si los permisos se estampan en la credencial al emitirla, estrechar tus términos no cambia nada de lo que ya está en circulación. El remedio que se ofrece es la enumeración: encontrar cada credencial que has entregado y revocarlas una a una, incluidas las olvidadas, que son justamente las que importan.

La alternativa cuesta una consulta. Calcula los permisos efectivos como la intersección de los alcances de la credencial con los términos actuales del principal, en cada petición. Entonces el estrechamiento alcanza todo por construcción, y "puedes revocarla" deja de significar "puedes revocar las que consigas encontrar".

4. ¿Puede el agente cambiar sus propios términos?

Si puede, no hay términos. Suena demasiado obvio para preguntarlo, y merece la pena preguntarlo por el sitio del que suele venir la respuesta: quien hace las llamadas es el agente, y el sitio cómodo para la herramienta que actualiza los ajustes está junto a todas las demás.

Tenemos un alcance para cambiar un mandato. Existe porque los principales necesitan cambiar de opinión. Nunca se le concede a un agente.

5. ¿Qué ocurre con una petición que queda algo fuera?

La respuesta "falla" es un diseño que aún no ha conocido a sus usuarios. La petición marginal - algo fuera de los términos, plausiblemente aceptable - es el único caso que una persona más quería ver, y un sistema que solo tiene permitir y denegar lo convierte en una suposición que ejecuta un modelo.

Lo que debería ocurrir es que se encamine. La petición se convierte en una decisión para el principal, llevando consigo la cosa que la levantó, así que la persona responde con el contexto ya delante en vez de reconstruirlo desde una notificación. El rechazo no es el producto. El traspaso sí.

6. ¿Queda cada llamada registrada contra el agente, el principal y la credencial?

Los tres, porque cada uno responde después a una pregunta distinta: qué hizo este agente, qué se hizo en nombre de esta persona, y qué credencial - posiblemente una que había olvidado, posiblemente una que debería haberse revocado - se usó para hacerlo.

Este es el punto más barato de la lista y el que más se aplaza, con el argumento de que es observabilidad y no control. Es control. "Quién permitió esto" no es una pregunta que solo se pueda hacer por adelantado.

Qué significa aprobar

No que el agente sea seguro. Un agente que opera estrictamente dentro de unos términos que alguien eligió todavía puede hacer algo de lo que se arrepientan, y ninguna lista impide que un modelo se equivoque.

Significa algo más estrecho y más útil: el peor caso queda acotado por algo que decidió una persona, y no por algo que concluyó un modelo mientras leía una página escrita por un desconocido. Esa es la propiedad que merece la pena exigir antes de que los agentes empiecen a gastar, porque es mucho más difícil añadirla a un sistema después que incorporarla ahora, y porque los raíles no van a esperar.