Onde a política é avaliada, e por que antes

A objeção, que é justa

Toda vez que alguém propõe uma camada de governança para agentes, a primeira reação de quem vai operar é a mesma: isso não é mais uma coisa no caminho?

É uma objeção justa, e merece a resposta técnica e não a comercial.

A resposta curta é que a camada já existe. Ela está distribuída em planilha, em documento de política que ninguém lê, em conhecimento tácito de quem construiu o agente, e em revisão manual de quem aprova. O que muda não é a existência dela. É onde ela roda.

A resposta longa é este artigo.

Dois lugares possíveis

Uma regra organizacional sobre o que um agente pode fazer só pode ser aplicada em dois momentos: antes da ação acontecer, ou depois.

Depois é o que a maior parte das ferramentas oferece, e elas chamam isso de observabilidade. O agente chama a ferramenta, acessa o sistema, gasta o token, e o registro aparece. Se a chamada não deveria ter saído, você descobre que ela saiu.

Isso tem valor, e não é governança. É contabilidade.

Antes significa que a chamada passa por uma avaliação antes de existir. O agente decide que quer chamar uma ferramenta, a intenção é submetida à regra da organização, e só então ela vira uma chamada de verdade, ou não vira.

A diferença prática é a mesma que separa um firewall de um relatório de tráfego. Os dois sabem o que passou. Um decide o que passa.

A sequência, passo a passo

Na Tessera o caminho de uma chamada é este.

O agente, no meio da execução, resolve que precisa de alguma coisa de fora: chamar uma ferramenta, buscar um dado, usar um modelo. Essa decisão é dele, e é a parte que faz o agente ser útil.

A intenção é interceptada antes de virar chamada. Nesse ponto existem o agente, a versão dele, o ambiente, o responsável declarado, e o que exatamente ele está tentando fazer.

As políticas que se aplicam àquele escopo são avaliadas. Não todas as políticas da organização: as que o escopo daquela regra alcança, o que pode ser por agente, por time, por ambiente ou por tipo de recurso.

E aí três desfechos. A regra permite, e a chamada segue, com o registro do que foi avaliado. A regra bloqueia, e a chamada não sai, com o registro de qual regra bloqueou. Ou a regra exige aprovação humana, e a execução para e espera, o que é o caso mais interessante dos três.

A pausa é o caso difícil

Bloquear é simples de implementar e simples de explicar. Parar e esperar não é.

Uma execução que para porque a política exige aprovação precisa de estado: alguém tem de ser notificado, a execução tem de sobreviver ao tempo de espera, e quando a aprovação chega ela tem de continuar do ponto exato onde parou, e não recomeçar.

É por isso que essa capacidade aparece na camada de plataforma e não dentro do agente. Um agente que implementa a própria pausa está implementando persistência de estado de execução, e cada time que fizer isso vai fazer diferente.

O que isso custa

Aqui está a parte que a objeção do começo estava certa em levantar.

Avaliar política antes da chamada acontece no caminho crítico. Toda chamada de ferramenta e toda chamada de modelo passa por ali. Isso tem custo de tempo, e não adianta fingir que não tem.

O que dá para dizer honestamente é o que determina esse custo. A avaliação é local, não sai para a rede, e trabalha sobre um conjunto de regras que já está carregado. Ela não depende do modelo, não depende do sistema de destino, e não cresce com o tamanho da resposta.

E existe uma comparação que a objeção esquece. A alternativa a avaliar antes não é não avaliar: é avaliar depois, manualmente, quando alguém pergunta. Esse custo não aparece na latência da execução. Aparece nas horas de quem vai investigar.

O que a avaliação de política não resolve

Ela não decide qual é a política certa. Um motor de política aplica o que a organização definiu, com a precisão com que foi definido. Se a regra estiver errada, ela será aplicada corretamente e o resultado será errado em escala, o que é pior do que não ter regra nenhuma.

Ela não vê dentro da resposta do modelo. A avaliação acontece sobre a intenção de chamada: qual ferramenta, quais argumentos, qual modelo, quais dados. Ela não julga se o texto que o modelo devolveu é apropriado. Isso é outro problema, com outras ferramentas, e confundir os dois é o erro mais comum quando se fala de segurança de agentes.

E ela não substitui o registro. A política decide o que acontece; a trilha guarda o que aconteceu. São duas coisas, e quem tiver só uma vai descobrir a falta da outra no pior momento possível.

Governança aplica a regra antes da chamada sair. Audit e Replay guardam o que aconteceu depois. Conheça a Governança.