GitHub i Microsoft vraćaju AI agente na dozvole, sandbox i dokaziv trag

GitHubov novi Open Source Friday video dobro pogađa trenutak u kojem se priča o AI agentima seli iz demo okruženja u produkcijsku odgovornost. Tema razgovora s Imranom Siddiqueom nije kako napisati bolji prompt, nego kako nadzirati sustav koji samostalno poziva alate, šalje upite bazama i donosi operativne odluke. To je bitna razlika: prompt može usmjeriti ponašanje, ali ne može zamijeniti politiku pristupa, identitet procesa ili pouzdan audit trag.

U središtu je Microsoftov agent-governance-toolkit, predstavljen kroz kratku adresu gh.io/agt. Prema opisu epizode, toolkit pokriva četiri praktične kontrole: policy, identity, sandboxing i tamper-evident audit. Drugim riječima, ne pokušava magično “popraviti” agente, nego ih stavlja u okvir u kojem je jasno što smiju raditi, pod čijim identitetom rade, gdje su izolirani i kako se poslije provjerava njihov trag.

To je važan pomak jer agenti nisu obični chatbotovi. Ako sustav samo generira tekst, rizik se većinom vidi u sadržaju odgovora. Ako agent dobije pristup alatima, rizik se seli u izvršenje: pogrešan API poziv, preširoka dozvola, neočekivani upit nad bazom ili automatizirana odluka koju nitko nije pregledao na vrijeme. U takvom okruženju sigurnost ne može živjeti samo u rečenici “ne radi opasne stvari”.

Najzanimljiviji dio ove teme je hladna operativna poruka: governance mora biti izvan modela. Model može obrazložiti namjeru, ali kontrolni sustav mora moći odbiti akciju. Policy sloj zato treba tretirati agentov zahtjev kao nešto što se autorizira, a ne kao nešto čemu se vjeruje zato što zvuči razumno. Identitet je jednako važan, jer se u produkciji mora znati djeluje li agent kao korisnik, servisni račun, workflow ili ograničeni izvršni kontekst.

Sandboxing je treći stup. Agent koji testira kod, otvara datoteke ili poziva vanjske alate ne bi smio raditi u prostoru gdje jedan krivi korak ima pristup cijelom sustavu. Tu se governance približava već poznatim praksama iz sigurnog izvršavanja koda i CI/CD okruženja, ali s dodatnim problemom: agenti mogu kombinirati alate na načine koje dizajner workflowa nije unaprijed jasno predvidio.

Tamper-evident audit zatvara krug. Ako se naknadno ne može pouzdano vidjeti što je agent pokušao, što mu je odobreno i što je odbijeno, governance ostaje samo deklaracija. Zato je korisno što se u opisu epizode izričito spominje audit koji otežava tiho mijenjanje tragova. Za timove koji uvode agente u osjetljive tokove rada, to može biti razlika između demonstracije i sustava koji se može braniti pred sigurnosnim, pravnim ili internim pregledom.

GitHubov format ovdje služi kao praktičan ulaz u temu, a ne kao velika industrijska najava. Nema podataka o širokoj adopciji ni mjerenog učinka u produkciji, pa ne treba pretjerivati s zaključcima. Ali sama lista kontrola pokazuje kamo se razgovor mora pomaknuti: od pitanja “može li agent to napraviti” prema pitanju “smije li, pod kojim identitetom, u kojem sandboxu i s kakvim dokazivim tragom”.