Kontrolü bırakmadan bir yapay zeka ajanına nasıl erişim verilir

Hızlı yol — ajana yönetici erişimi verip ayrıntıları sonra çözmek — ekiplerin yandığı tam o etki yarıçapını yaratır. İşte bunu önleyen katmanlı model, gerçekten yayınlanmış olanla satır satır karşılaştırılarak.

Bir yapay zeka ajanını gerçek bir sisteme bağlamanın en hızlı yolu, ona yeni bir çalışana ilk gün vereceğiniz erişimin aynısını vermektir: tam yönetici, her araç, ayrıntılar sonra. Erişimi düzgün kapsamlandırmak zaman alır — birinin, ajanın hangi araçlara dokunabileceğine, hangi veriyi okuyabileceğine ve önce sormadan ne yapmasına izin verildiğine karar vermesi gerekir. Zaten zorlanan küçük bir ekipte kimse bunu yavaşlatan kişi olmak istemez. Varsayılan bu yüzden «sadece erişim ver» olur ve herkes bir sonraki işe geçer.

Bu içgüdü yanlıştır ve nedeni, ajanın bugün güvenilir görünüp görünmemesiyle ilgili değildir. Güvenilir olmadığı gün ne olacağıyla ilgilidir. Yönetici düzeyinde erişimi olan bir ajan rutin bir hata yaptığında, okuması istenen bir belgenin içine gömülü zehirli bir talimat aldığında ya da bir araç çağrısının ne yapacağı konusunda yalnızca kendinden emin ve yanlış olduğunda, artık bir yöneticinin erişim alanına sahiptir. Başarısızlık, omuz silkilebilecek kötü bir sohbet yanıtı değildir — ele geçirilmiş bir yönetici hesabının etki yarıçapıdır; tek fark, makine hızında, dokunduğu her sistemde hareket edebilmesi ve hasar birikmeden önce bunu gerçek zamanlı yakalayacak kimsenin olmamasıdır.

Etki yarıçapını gerçekten sınırlayan yığın

Bir yapay zeka ajanı için iyi erişim tasarımı, çevrilecek tek bir anahtar değildir. Üst üste dizilmiş altı ayrı karardır; her katman, ilk hatanın belirli bir yoldan çok daha büyüğüne dönüşmesini durdurmak için vardır. Bir katmanı atlarsanız hiçbir şeyi sadeleştirmemiş olursunuz — arıza noktasını yalnızca daha az görünür bir yere taşımış olursunuz.

Bu altı katmanın hiçbiri egzotik değildir. Her biri, üstündeki katmanın açık bıraktığı bir deliği kapatır — kimlik tek başına aşırı geniş araç erişimini durdurmaz, araç izin listesi tek başına sessiz ve geri alınamaz bir eylemi durdurmaz. Yalnızca üst üste konduğunda işe yararlar.

Kimlik: bir oturum, gölge bir oturum değil

Kimlikle başlayın, çünkü üstündeki her şey ondan türer. Bir ajanın erişimi BT’nin varlığını bilmediği bir oturuma bağlıysa sonraki katmanların hiçbiri önemli değildir — varlığını hiç bilmediğiniz bir yetkiyi iptal edemezsiniz. FabricLoop’un Enterprise planı, çalışma alanını kuruluşun kimlik sağlayıcısına SSO ve SAML ile bağlar; e-posta ve şirketin geri kalan yazılımı için oturumu zaten denetleyen mekanizmanın aynısıdır. Bu, ajan erişimi için özellikle önemlidir, çünkü yapay zeka bağlantıları ile sıradan işbirliği erişiminin iki ayrı kimlik hikâyesi yerine tek bir kimlik hikâyesinden geçmesi anlamına gelir. BT birini kimlik sağlayıcıda devre dışı bıraktığında, bu tek eylem FabricLoop erişimini ve onunla birlikte oturumuna bağlı MCP bağlantılarını da kaldırır — kimsenin temizlemeyi hatırlamadığı yetim bir ajan kimlik bilgisi bırakmak yerine.

Her iki yönde de kişi başına bir yetki

FabricLoop’un yapay zeka bağlantıları iki yönde çalışır ve aynı ilke — ekip genelinde paylaşılan kimlik bilgisi yok — ikisine de uygulanır.

Gelen, Cursor, Claude veya ChatGPT gibi dış bir aracın FabricLoop’a MCP istemcisi olarak bağlanmasıdır; böylece birinin gerçek izinleriyle görevleri, notları ve mesajları okuyabilir veya yazabilir. FabricLoop’un kendi kurulum yönergeleri bunun kişi başına bir süreç olduğunu açıkça söyler: her kişi app.fabricloop.com/oauth/consent adresindeki onay ekranını açar, çalışma alanını seçer ve o istemcinin alacağı belirli araç kapsamlarını onaylar — bir yöneticinin herkes için bir kez çevirdiği çalışma alanı geneli bir anahtar değil. Ekiplere verilen rehberlik, bunun önlemek için tasarlandığı arıza biçimini doğrudan adlandırır: bir kişinin erişim belirtecini ekipte paylaşmayın, çünkü her kişinin kendi onayını tamamlaması gerekir. Sonuç, kişi başına görünen ve kişi başına iptal edilebilen bağlı istemciler listesidir; oluşturulma nedeninden daha uzun yaşayan, bir yapılandırma dosyasına gömülü bir erişim belirteci değil.

Giden, bunun ayna görüntüsüdür: FabricLoop’un kendi MCP kataloğundaki üçüncü taraf bir uygulamaya, örneğin bir proje izleyiciye veya takvim aracına bağlanması. Buradaki ayrım kasıtlıdır. Bir yönetici uygulamayı tüm çalışma alanı için etkinleştirir — aracın kuruluşta var olmasına izin verilip verilmeyeceğine dair bir karar — sonra kullanmak isteyen her kişi kendi bireysel hesabını bağlar. Bir yöneticinin bu anahtarı çevirmesi, her çalışanın kimliğini uygulamaya teslim etmez; yalnızca seçeneği kullanılabilir kılar ve bağlantı bir şey yapmadan önce her kişinin hâlâ kendisi olarak kimlik doğrulaması gerekir.

Kapsam: salt okunur ya da izin listesi — ya hep ya hiç değil

Kimlik kimin olduğunu yanıtlar. Kişi başına yetkiler kimin hesabı olduğunu yanıtlar. İkisi de bir hatanın büyüklüğünü gerçekten belirleyen soruyu yanıtlamaz: bağlantı canlı olduğunda ne yapabilir. Bu, üçüncü katmanın işidir.

Bağlı herhangi bir uygulamanın ayrıntı ekranında bir yönetici görünen bir ad belirleyebilir, Salt okunur modunu açabilir ve bir araç politikası seçebilir — ya mevcut her araç ya da belirli bir izin listesi. Bu, «bu ajan görev panomuzu okuyabilir» ile «bu ajan görev panomuzu okuyabilir ve ayrıca kayıt silebilir, sahipleri yeniden atayabilir ve her kanala yazabilir» arasındaki farktır. Çoğu bağlantının ikinci sürüme ihtiyacı yoktur ve bir ajanın erişiminin insanların korktuğu biçimde ters gitmesine dair çoğu hikâye, kimse sınırlayan kutuyu işaretlemeyi düşünmediği için varsayılan olarak her aracın verildiği bir bağlantıyla başlar.

FabricLoop’un güvenlik sayfası ortaya çıkan yetkileri «kapsamlı» ve açıkça «kalıcı, görünmez erişim değil» diye tanımlar — denetlenir ve iptal edilebilir; şirketin Legibility sayfasında kullandığı dille aynıdır. Legibility, yapay zeka erişiminin, hangi eski bot belirtecinin hâlâ çalıştığına dair kabile bilgisi olmak yerine adlandırıp inceleyebileceğiniz bir şey olması gerektiği fikridir.

Çalışma zamanı davranışı: ajan taslak hazırlar, bir kişi gönderir

Bu katmanın üstündeki her şey bir ajanın nereye ulaşabileceğini denetler. Bu katman, oraya vardığında ne yapmasına izin verildiğini denetler — ve ekiplerin çoğu bunu atlar, çünkü en yavaş hissettiren katman budur.

FabricLoop’un yerleşik asistanı Loop, şirketin kendi ürün belgelerinde açıkça belirttiği bir kısıt etrafında kuruludur: «Loop taslak hazırlar; siz gönderirsiniz. Kendi başına bir kanala yazmaz veya kimseyi bilgilendirmez.» Ondan bir ileti dizisini özetlemesini isteyin, özetler. Bir güncelleme yazmasını isteyin, bir taslak yazar — ve başkası görmeden önce bir kişinin hâlâ inceleyip göndermesi gerekir. Aynı örüntü, bir kanalda takım arkadaşı olarak yaşayan ajanlar için de geçerlidir: bu ajanlardan biri bir kişiden karar beklerken tahmin edip ilerlemez. O kanalın Uygulamalar ve ajanlar sekmesinde «Sizi bekliyor» altında görünür — ekibin zaten baktığı yüzeydir, kimsenin varlığını hatırlamadığı ayrı bir konsol değil.

Bu, ajan çerçevesi literatürünün ask_human / resume örüntüsü dediği şeyin pratik biçimidir: ajan, yargının gerektiği noktada durur, sorar ve ancak bir kişi yanıt verdikten sonra devam eder. FabricLoop altta yatan fikri İnsan Müdahale Oranı olarak çerçeveler — «ajan bir insana ne sıklıkta ihtiyaç duyar» ifadesinin mühendislikle ortadan kaldırılacak bir başarısızlık gibi ele alınması değil, ajan çalıştıran her ekibin bir olay sırasında ilk kez keşfetmek yerine gerçekten ölçmesi ve buna göre tasarlaması gereken bir sayıdır.

Devre kesici: çalışmaları gerçekten durduran bir harcama sınırı

Erişim denetimi yalnızca bir ajanın ne okuyabileceği veya değiştirebileceğiyle ilgili değildir. Ne kadara mal olabileceğiyle de ilgilidir — ve kontrolden çıkan bir ajan, kimsenin izlemediği bir döngüde pahalı model çağrıları yapıyorsa hassas bir şeye dokunmadan da gerçek zarar verebilir.

FabricLoop’un ücretli planlarındaki yöneticiler, Usage & Billing içinde ajan kullanımı için aylık bir harcama sınırı belirler ve harcama bu sayıya ulaştığı anda yeni ajan işini otomatik duraklatan bir sert durdurmayı açabilir. Bu bir izleme panosu değil, gerçek bir devre kesicidir: ay sonunda faturanın yüksek olduğunu fark etmek ile yeni ajan çalışmalarının birinin belirlediği sayıyı geçtiği anda kendiliğinden durması arasındaki farktır. Ücretsiz çalışma alanları dolar sınırı almaz, çünkü sınırlanacak bir üretim harcaması yoktur — bunun yerine dahil test kredileriyle çalışırlar; bu da kendi başına bir kapsam sınırıdır, yalnızca farklı uygulanır. Ücretli bir planda, sert durdurma tetiklendiğinde devam etmenin tek yolu sınırı yükseltmektir; o anda istediğiniz sürtünme tam olarak budur: sistem sessizce sınırsıza dönmek yerine birinin daha fazla harcamaya etkin olarak karar vermesi gerekir.

Denetim ve iptal: bir kişi ya da herkes, aynı anda

Son katman, ilk beşinin bir yerde, biri için sonunda başarısız olacağını varsayar ve sonra ne olacağını sorar.

FabricLoop iki tür iptali ayırır ve ayrım önemlidir. «Bağlantımı iptal et» herhangi bir kişiye açıktır ve yalnızca o kişinin erişimini hemen keser — araç onun için çalışmayı bırakır, ekipte bağlı olan başka kimseye dokunmaz. «Uygulamayı çalışma alanı için devre dışı bırak» yalnızca yöneticilere açıktır ve daha geniş eylemdir: uygulamayı tümüyle arşivler ve ona giden her bağlantıyı bir anda iptal eder; sorun bir kişinin hesabı değil, uygulamanın kendisi olduğunda. Aynı ayrım gelen tarafta da vardır: herhangi bir kişi, bağladığı bir MCP istemcisini Ayarlar → AI / MCP üzerinden anında iptal edebilir.

Birisi fişi çekmeye karar vermeden önce ne olduğuna dair görünürlük olmadan bunların hiçbiri önemli değildir. FabricLoop’un Enterprise denetim günlükleri yalnızca bir oturum geçmişi değildir — şirket bunları yönetici ve ajan etkinliğini kapsıyor diye tanımlar ve Legibility kavramına dair kendi materyalleri «MCP denetim olaylarını» güvenlik ekiplerinin bağlamdan çıkarmak zorunda kalmadan inceleyebileceği bir şey olarak özellikle adlandırır. Bu, bir güvenlik ekibinin «biri buna dokundu mu?» diye sorup gerçek bir yanıt alması ile eski mesajlardan ve birinin o öğleden sonra ajanın ne yapıyor gibi göründüğüne dair anısından bir zaman çizelgesi kurması arasındaki farktır.

FabricLoop’un henüz doğru olmadığını söylediği şey

Yukarıdaki her iddia, FabricLoop’un gerçekten yayınladığı bir şeydir. Yayınlanmamış olan konusunda da aynı ölçüde açık olmak gerekir, çünkü size yalnızca ilk yarıyı anlatan bir şirket, ona inançla güvenmenizi ister — ve inanç, okunabilir bir güvenlik duruşunun anlamı değildir.

FabricLoop’un kendi güvenlik sayfası bugün neyin doğru olduğunu sıralar, sonra düz bir başlıkla «Henüz yerinde değil» adlı ayrı bir bölümde üç belirli boşluğu adlandırır: SOC 2 veya ISO 27001 sertifikası, üçüncü taraf sızma testi ve SCIM ile sağlama. Sayfanın çerçevesi, bir satıcı güvenlik sayfası için alışılmadık ölçüde doğrudandır: diğer satıcıların sahip olduğu her sertifikayı sıralamak yerine, tam olarak şu anda neyin doğru olduğunu söyler — ve henüz yerinde olmayanı da, çünkü şirket bir müşterinin bunu sonra öğrenmesindense açıkça söylemeyi tercih eder.

Bir ajanı gerçek şirket verisine bağlayıp bağlamamayı tartan bir ekip için bunlar belirsiz riskler değildir — bir güvenlik incelemesinde gündeme getirebileceğiniz, izleyebileceğiniz ve yenilemeden önce peşine düşebileceğiniz üç adlandırılmış, denetlenebilir maddedir. Belirtilmiş bir boşluk listesi, her şeyin yolunda olduğuna dair belirsiz bir güvenceden daha değerlidir, tam da denetlenebilir olduğu için. Legibility’nin bir kavram olarak arkasındaki sav da budur: adlandırıp doğrulayabildiğiniz erişim ve duruş, yalnızca güvenmenizin istendiği erişim ve duruştan üstündür.