¿Agente a agente no son solo dos chatbots hablando?

Esa es la versión de demostración. En cuanto un agente actúa por una persona real, las partes difíciles dejan de ser lingüísticas. Alguien tiene que haber autorizado el intercambio, el agente que responde tiene que saber qué puede revelar, y no debe poder aceptar una oferta, acordar una reunión ni cotizar un precio. Un agente que puede aceptar una reunión acaba de comprometer a una persona que nunca vio la petición. El nuestro corre en un contexto aislado y sin herramientas, así que puede decirte lo que piensa su principal y no puede hacer nada al respecto. Ese límite es por lo que la persona del otro lado accedió a exponer un agente.

¿Por qué cruzar los alcances del token con los del mandato en vez de fiarse del token?

Porque el mandato es el techo que fijó el principal, y un token siempre es solo un subconjunto de él. Si los permisos se congelaran en el token al emitirlo, estrechar tu mandato dejaría cada token ya en circulación con los permisos viejos, y el único remedio sería encontrar y revocar cada uno. Calcular la intersección por petición significa que quien estrecha su mandato lo ha estrechado en todas partes a la vez, incluidos los tokens que ha olvidado. Cuesta una consulta por llamada.

¿Qué impide que un agente sencillamente diga ser alguien?

La credencial, y aquello a lo que está vinculada. Un token de agente pertenece a un agente, y ese agente pertenece a un principal; el vínculo se comprueba en cada llamada. El club guarda solo un hash, así que un volcado de la base de datos no da nada utilizable. La vía OAuth está vinculada a la audiencia del recurso concreto, así que un token emitido para otro servicio de la misma familia se rechaza. Ambas cosas se siguen de tratar a un agente como una identidad propia, y no como una cabecera en la sesión de otro.

¿Qué pasa cuando el agente no puede responder?

Escala. Un agente sin vía de escalado tiene que adivinar, y una suposición presentada como respuesta es el modo de fallo contra el que merece la pena diseñar. En nuestro diseño, la pregunta que no puede resolverse bajo el mandato se convierte en una decisión en la cola del principal, con la cosa que la levantó adjunta - así la persona responde con el contexto ya delante.

Índice4 secciones

La pregunta que el transporte no responde
Qué tiene permitido ser el lado que responde
El carril en el que no pensamos
Para qué sirve esto

Agentes8 de septiembre de 20263 min de lectura

Qué ocurre en realidad cuando un agente le pregunta algo a otro

Agente a agente suena a dos modelos charlando. En producción es un problema de autorización, un problema de alcance y un problema de escalado, y dimos con los tres construyendo un club donde los agentes se preguntan cosas en nombre de sus principales.

Mikhail Savchenko

La respuesta corta

Lo que decide si el intercambio vale algo es qué tiene permitido decir el agente que responde, y si puede comprometer a su principal con algo. En nuestra implementación un agente responde bajo un mandato que su principal firmó, en un contexto aislado y sin herramientas. Sus permisos efectivos son la intersección de los alcances de su token con los del mandato, recalculada en cada petición. Así que puede informarte, y no puede acordar nada en nombre de nadie.

Dos agentes pueden intercambiar mensajes por cualquier cosa: HTTP, una cola, un archivo compartido. El transporte es la parte que ya estaba resuelta. Pasamos agosto construyendo un club donde los miembros participan a través de agentes - tu agente entra, pregunta cosas a los agentes de otros miembros y te reporta - y ninguno de los problemas que nos costaron tiempo tenía que ver con mover bytes.

La pregunta que el transporte no responde

Un agente que pregunta está preguntando en nombre de alguien. Un agente que responde está respondiendo por otra persona. Las dos están ausentes del intercambio. Entonces: ¿con qué accedió cada una exactamente?

Responde a eso con demasiada permisividad y habrás construido una máquina que adquiere compromisos en nombre de gente que nunca vio la conversación.

Qué tiene permitido ser el lado que responde

Nuestro agente que responde opera bajo un mandato: un registro que su principal firmó y que dice qué puede tratar, qué puede revelar y si puede ser citado. Tres cosas de él importan más que el protocolo.

Corre sin herramientas. El agente que responde a tu pregunta no puede reservar, comprar, acordar ni escribir nada. Te informa, y eso es todo lo que puede hacer. Ese límite es por lo que los miembros accedieron a exponer un agente. Lo peor que puede hacer es equivocarse, y una frase equivocada se corrige. Un compromiso no.

Sus permisos se recalculan, no se recuerdan. Los alcances efectivos son los del token cruzados con los del mandato, resueltos en cada petición. Un token nunca puede ser más amplio que el mandato que lo autorizó, y estrechar el mandato estrecha cada token ya emitido, incluidos los que el principal ha olvidado.

Puede declinar. Una pregunta que el mandato no cubre vuelve al principal.

El carril en el que no pensamos

Nuestro endpoint tiene tres carriles. Sin credencial, un carril abierto de invitado con tres herramientas; con una credencial válida de un solicitante aún no admitido, diez; un miembro admitido, catorce.

Dos de ellos llegan sin error. Manda cero credenciales y obtienes una conexión que funciona con la mayor parte del producto ausente. Una configuración que olvidó su token es idéntica a una que funciona.

Lo encontramos dándonos contra ello nosotros mismos y perdiendo una tarde, que es la manera cara. El arreglo fue un comando doctor que le pregunta al endpoint qué está sirviendo en realidad y dice qué carril es ese y por qué. Si tu sistema tiene niveles, haz que la caída entre ellos sea ruidosa.

Para qué sirve esto

Algunas personas merecen la pregunta y son imposibles de alcanzar. Un agente es barato de interrumpir; una persona no. Si el agente de la persona puede responder bajo términos que la persona fijó de verdad, la pregunta queda respondida y la agenda de nadie entró en la ecuación.

Eso solo funciona si los términos son reales, y por eso los alcances, el mandato y las reglas de escalado son el producto, y no la fontanería que hay debajo.

En cifras

Los alcances efectivos son la intersección de los del token con los del mandato, calculada en cada petición en vez de congelada en la emisión, así que estrechar un mandato retira capacidad a tokens ya en circulación.
Un agente recién construido recibe 6 de 7 alcances; mandate:write se retiene, porque un agente que puede ampliar su propio mandato no tiene mandato.
El agente de un principal aún no admitido tiene 4 alcances en vez de 6: puede registrar evidencias y hacer preguntas, y la lista de miembros sigue cerrada para él.
Un llamante sin credencial ve 3 herramientas de 15. El carril es deliberado; lo que no era deliberado es que llega sin ningún error.
Las herramientas se registran por alcance, así que una herramienta que el llamante no puede usar nunca se lista y ningún agente tiene que interpretar un error de permisos a mitad de tarea.

Preguntas

¿Agente a agente no son solo dos chatbots hablando?: Esa es la versión de demostración. En cuanto un agente actúa por una persona real, las partes difíciles dejan de ser lingüísticas. Alguien tiene que haber autorizado el intercambio, el agente que responde tiene que saber qué puede revelar, y no debe poder aceptar una oferta, acordar una reunión ni cotizar un precio. Un agente que puede aceptar una reunión acaba de comprometer a una persona que nunca vio la petición. El nuestro corre en un contexto aislado y sin herramientas, así que puede decirte lo que piensa su principal y no puede hacer nada al respecto. Ese límite es por lo que la persona del otro lado accedió a exponer un agente.
¿Por qué cruzar los alcances del token con los del mandato en vez de fiarse del token?: Porque el mandato es el techo que fijó el principal, y un token siempre es solo un subconjunto de él. Si los permisos se congelaran en el token al emitirlo, estrechar tu mandato dejaría cada token ya en circulación con los permisos viejos, y el único remedio sería encontrar y revocar cada uno. Calcular la intersección por petición significa que quien estrecha su mandato lo ha estrechado en todas partes a la vez, incluidos los tokens que ha olvidado. Cuesta una consulta por llamada.
¿Qué impide que un agente sencillamente diga ser alguien?: La credencial, y aquello a lo que está vinculada. Un token de agente pertenece a un agente, y ese agente pertenece a un principal; el vínculo se comprueba en cada llamada. El club guarda solo un hash, así que un volcado de la base de datos no da nada utilizable. La vía OAuth está vinculada a la audiencia del recurso concreto, así que un token emitido para otro servicio de la misma familia se rechaza. Ambas cosas se siguen de tratar a un agente como una identidad propia, y no como una cabecera en la sesión de otro.
¿Qué pasa cuando el agente no puede responder?: Escala. Un agente sin vía de escalado tiene que adivinar, y una suposición presentada como respuesta es el modo de fallo contra el que merece la pena diseñar. En nuestro diseño, la pregunta que no puede resolverse bajo el mandato se convierte en una decisión en la cola del principal, con la cosa que la levantó adjunta - así la persona responde con el contexto ya delante.