Gotowe konektory to łańcuch dostaw Waszego agenta

Ręczne pisanie każdego narzędzia, z którego korzysta agent, jest powolne i coraz rzadziej potrzebne. Do większości systemów, których agent mógłby dotknąć — kalendarza, systemu zgłoszeń, udziału plikowego, bazy danych — istnieje już gotowy konektor, często mówiący otwartym protokołem w rodzaju MCP. Instalacja, wklejenie tokenu i jeszcze przed obiadem agent potrafi znacznie więcej niż rano.

Ta wygoda wnosi naraz trzy rzeczy: kod uruchamiany w Waszym środowisku, poświadczenia, które konektor trzyma w Waszym imieniu, i tekst, który Wasz model czyta i któremu wierzy. Większość zespołów przegląda pierwsze pobieżnie, drugie ledwo, a trzeciego wcale.

Co naprawdę instalujecie

Kod, który trzyma Wasze klucze. Konektor to program z tokenem do jednego z Waszych systemów. Jeśli jest złośliwy albo ktoś przejął konto jego opiekuna, nie musi oszukiwać modelu — klucz już ma. To zwykłe ryzyko łańcucha dostaw oprogramowania i z tego właśnie powodu OWASP Top 10 for LLM Applications wymienia łańcuch dostaw wśród swoich ryzyk.

Instrukcje napisane przez obcego. Każde narzędzie ma nazwę i opis, które model czyta, żeby zdecydować, kiedy i jak go użyć. Ten opis jest tekstem promptu napisanym przez kogoś z zewnątrz. Może kazać modelowi dołączać do każdego wywołania dotychczasową rozmowę albo przedkładać to narzędzie nad to, które zbudowaliście sami — a prawie nikt, kto przegląda integrację, go nie czyta.

Zachowanie, które zmienia się po zatwierdzeniu. Konektor przejrzany wiosną może latem dostać aktualizację z nowymi narzędziami, nowymi opisami i nowymi adresami docelowymi. Jeśli wersje nie są przypięte, to, co zatwierdziliście, nie jest tym, co działa.

Zakres wybrany przez autora. Konektory zwykle proszą o najszersze uprawnienie, przy którym działa każda funkcja. Wasz agent potrzebuje, powiedzmy, dwóch z dwunastu operacji konektora; token pozwala na wszystkie dwanaście.

Wspólny pokój. Każdy konektor załadowany do agenta wkłada swoje opisy do tego samego kontekstu. Tekst dołączony do niewinnego narzędzia pogodowego leży obok narzędzia wysyłającego maile, a model nie trzyma ich w osobnych pokojach.

Dyscyplina zależności plus jeden dodatek

Kontrole są te same, które stosujecie do zależności oprogramowania. Dodatek polega na tym, że opisy konektora przegląda się jak prompt, bo tym właśnie są.

Infografika

Zanim konektor trafi na produkcję

• Wskazany właścicielKtoś odpowiada za to, po co konektor jest i co może robić.
• Przypięta wersjaAktualizacje przychodzą jako przejrzane zmiany, nigdy automatycznie.
• Przejrzane opisyNazwy i opisy narzędzi czytane jak prompt, porównywane przy każdej aktualizacji.
• Minimalny zakresTylko operacje, których używa zadanie; reszta odfiltrowana.
• Własne poświadczenieOsobny token, który da się odwołać bez ruszania czegokolwiek innego.
• Izolowane środowiskoZ dala od innych konektorów, z ruchem wychodzącym tylko do swojego celu.
• Testy po zmianieZachowanie agenta oceniane ponownie przy każdej zmianie wersji konektora.

Inwentarz z właścicielami. Które konektory ładuje każdy agent, kto o nie poprosił i po co. Konektor, którego nikt nie potrafi uzasadnić, jest usuwany, a nie tolerowany. To trudniejsze, niż brzmi, bo konektor łatwo dodać z własnego komputera programisty, a rzadko przechodzi on przez dział zakupów. Agent na produkcji ładuje wyłącznie konektory z zatwierdzonej listy, a pilnuje tego konfiguracja, nie uprzejma prośba.

Przypinajcie, przeglądajcie, dopiero potem aktualizujcie. Wersje są stałe, a aktualizacja jest zmianą jak każda inna: diff kodu, diff opisów i przebieg zestawu ewaluacyjnego, zanim trafi na produkcję. Zmieniony opis narzędzia to zmieniony agent.

Zawężajcie przed konektorem, a nie w nim. Gdy konektor wystawia więcej, niż potrzebuje zadanie, postawcie przed nim cienką warstwę oferującą tylko wymagane operacje, zamiast liczyć, że model zostawi resztę w spokoju.

Uruchamiajcie konektor jak niezaufany kod. Osobny proces albo kontener, własne poświadczenie i ruch wychodzący ograniczony do systemu, z którym się łączy. Konektor kalendarza nie ma powodu sięgać gdziekolwiek poza kalendarz.

Zbudować, opakować czy przyjąć

Nic z tego nie jest argumentem przeciw konektorom. Przy źródłach tylko do odczytu i niewielkiej stawce przyjęty konektor z przypiętą wersją i wąskim tokenem to rozsądny kompromis. Im bliżej konektor stoi czegoś nieodwracalnego — wysyłki, płatności, usunięcia, zmiany rekordu klienta — tym większa część tej ścieżki powinna być kodem, który należy do Was i który ktoś przeczytał.

Opakowanie bywa drogą środka. Przyjęty konektor dalej obsługuje protokół, a przed nim stoją Wasze własne otypowane operacje, limity i kontrole. Dostajecie szybkość ekosystemu, nie oddając cudzemu kodowi decyzji o tym, co wolno agentowi.

Ten sam standard niezależnie od autora

Bezpieczeństwo agenta nie zależy od tego, kto napisał narzędzie. Przy inżynierii agentów AI konektor od strony trzeciej podlega temu samemu standardowi co narzędzie, które piszemy sami: jawna lista operacji, własne uprawnienia i powód obecności, pod którym ktoś się podpisał.