Un agente di coding può rispettare quasi sempre le istruzioni del repository e avere comunque più autorità del necessario. Mozilla AI evidenzia questa lacuna: intento scritto e permesso tecnicamente imposto sono cose diverse. Un modello più capace migliora le decisioni, ma non crea il confine che rimane quando sbaglia.
La tesi infrastrutturale riguarda agenti che esaminano repository, modificano file, eseguono comandi e test e preparano pull request. La delega comprime i singoli controlli umani in un ciclo osservare–agire–correggere. Conta quindi non solo il lavoro concluso, ma cosa il sistema impedisce, registra e sa recuperare.
Le istruzioni hanno una funzione, ma non sono il confine esecutivo
Occorre separare tre responsabilità: le istruzioni descrivono il comportamento, il modello interpreta, l'infrastruttura decide le azioni possibili. Concedere prima ampio accesso e poi chiedere moderazione capovolge la gerarchia: l'esecutore diventa il proprio principale controllore.
AGENTS.md risolve coordinamento tenendo comandi di build, test, convenzioni e sicurezza accanto al codice. Il sito dichiarava nel resoconto oltre 60.000 progetti open source. Istruzioni condivise e versionate sono trasferibili tra prodotti; file annidati descrivono requisiti di servizi nei grandi repository.
L'agente deve ancora trovare il file, risolvere sovrapposizioni, applicarlo e ricordarlo a lungo. Contenuti incompleti, contesto troncato, conflitti annidati o eccezioni generalizzate indeboliscono la catena. Markdown non limita da solo shell, rete, account cloud, registro pacchetti o database di produzione.
“Non pubblicare dal feature branch”, “approvare prima le modifiche di autenticazione” e “leggere soltanto questa directory” esprimono intenzioni. Confini dei file, rete e servizi di approvazione applicano i limiti. Non sminuisce le istruzioni: molte decisioni richiedono un contesto che una semplice regola del filesystem non esprime. Le due funzioni restano diverse.
L'autonomia utile aumenta le conseguenze degli errori comuni
Riparare un test integrativo può portare a file di ambiente, servizi, dipendenze e snapshot. Un compito vago supera il proprio scopo. Non serve malizia: pulizia distruttiva scambiata per manutenzione, credenziali considerate sacrificabili o testo di issue e dipendenze preso come guida affidabile.
Il prompt injection accentua il problema inserendo ordini ostili nei dati da trattare. Gli avvisi aiutano, ma lo stesso modello giudica l'affidabilità dell'altro linguaggio. Un confine esterno restringe le conseguenze dell'errore.
L'architettura sandbox richiamata dalla fonte separa l'harness fidato dall'ambiente dei comandi diretti dal modello. Approvazioni, tracce, recupero e stato possono restare fuori dal contenitore. L'esecutore non eredita automaticamente tutte le credenziali e risorse dell'organizzazione.
Documentare non richiede chiavi di pubblicazione, riparare un servizio non richiede repository estranei e scrivere test non richiede database produttivi. Sono capacità del runtime e risorse raggiungibili, non solo scelte di prompt. Anche il portatile locale può contenere codice, sessioni browser, credenziali cloud, documenti personali e chiavi di firma. Una credenziale eccessiva conta anche senza privilegi amministrativi.
La qualità dei controlli diventa parte del prodotto, non un dettaglio nascosto. Piattaforma e sicurezza devono permettere la delega senza autorità illimitata. Fornitori e singoli sviluppatori affrontano identità, credenziali, approvazioni, log e recupero cui i benchmark non rispondono.
Policy e autorizzazione fuori dalla narrazione del modello
Il control plane fidato gestisce accessi, routing, budget, policy e stato. Il modello propone, un altro livello decide se e come eseguire. Identità per esecuzione separano agenti da persone e altre automazioni. Accessi a file, comandi, servizi e destinazioni nominati devono scadere con l'attività, non accumularsi.
Le indicazioni sandbox della fonte descrivono isolamento, uscita limitata, credenziali separate e intermediazione. Un proxy fidato fornisce credenziali solo alle destinazioni consentite senza mostrare all'esecutore segreti riutilizzabili. Stampare l'ambiente non deve esporre chiavi produttive durature; la revoca può avvenire al broker anziché in ogni workspace.
La mediazione valida argomenti, rifiuta percorsi pericolosi, limita frequenze e richiede approvazione. I plugin di policy mcpd mettono autenticazione, validazione, limiti e log tra agente e server. Poiché Model Context Protocol espone file, database e applicazioni esterne, l'intermediario può applicare regole uniformi senza fidarsi della loro riproduzione da parte di ogni agente.
L'approvazione richiede identità autorizzata e stato esterno che il modello non possa inventare. Un messaggio nel contesto può essere imitato da contenuti non affidabili. “Risparmia token” è un consiglio; il budget imposto resta un tetto quando il ciclo si prolunga. I subagenti spendono più velocemente di una persona che osserva una chat, giustificando limiti per compito, team, fornitore o risultato.
Non ogni passaggio richiede consenso. Lettura e modifiche in branch temporanei possono essere normali, mentre pubblicazione, deployment, permessi e contatti clienti richiedere autorizzazione esplicita. Un comando valido nel test isolato può essere vietato in produzione; documentazione di rete ammessa, endpoint ignoti bloccati. Interrompere continuamente il basso rischio danneggia la delega; nessuna barriera lascia decisioni importanti al modello.
Audit e recupero devono gestire il lavoro incompleto
La spiegazione dell'agente non registra automaticamente input, diritti, modifiche, tentativi e rifiuti. L'audit deve collegare indipendentemente ogni azione a esecuzione, versioni di policy e strumento, approvazione, identità, input e risultato. Tre tentativi vietati prima del percorso consentito differiscono dalla scelta corretta immediata.
Dopo un incidente regole e credenziali possono essere cambiate. Le prove dell'epoca permettono ricostruzione, rivelando anche interventi ripetuti, falsi positivi e compiti fuori ambito. Trascrizione o output finale non ricostruiscono da soli l'autorità posseduta.
Anche lo stato conta. Un'azione esterna può terminare prima del fallimento nella registrazione del successo. Ripetere tutto può duplicare pull request, pagamenti o messaggi. L'infrastruttura deve distinguere completamento, tentativi sicuri e riconciliazione. Un effetto esterno non equivale a una lettura locale ripetibile.
Otari collega governance a routing, budget, accesso, deployment e failover tra fornitori. Il routing riguarda privacy, latenza e capacità, non solo costo. Separarlo dal codice sparso aiuta a conservare policy, tracce e stato quando cambiano modello o ambiente.
La conoscenza informa, la policy limita, l'audit registra, il recupero gestisce l'incompleto. L'agente diventa parte sostituibile di un sistema controllato dall'organizzazione, non l'unico deposito delle sue regole.
La proprietà aperta comporta doveri operativi
Uno stack ispezionabile riduce dipendenza, consente integrazioni proprie e componenti sensibili nell'ambiente controllato. Ospedali, banche, enti e team software hanno approvazioni e conservazioni diverse; un'impostazione ospitata non copre ogni obbligo. L'apertura è però proprietà, non sicurezza automatica.
Il self-hosting richiede aggiornamenti, revisioni, backup, monitoraggio e recupero provato. Componenti vecchi, default permissivi, credenziali condivise, log incompleti e rete libera restano vulnerabili anche col codice pubblico. Tracce ricche espongono potenzialmente codice proprietario, dati personali, prompt e risultati. La conservazione deve attribuire responsabilità senza copiare per sempre ogni input sensibile.
Più regole non sempre aiutano. Eccezioni sovrapposte creano buchi, restrizioni eccessive spingono verso strumenti non autorizzati e policy opache creano problemi di potere interno. Controlli piccoli e testabili richiedono responsabili, ragioni e verifica. Le modifiche vanno riviste, provate e versionate; deroghe d'emergenza devono scadere, restare visibili e offrire spiegazioni di rifiuti ed eccezioni.
L'infrastruttura non garantisce codice utile. Un agente nei propri permessi può implementare male o dimenticare un requisito. Test e persone restano necessari, compresi casi privati o indipendenti contro l'ottimizzazione dei soli controlli visibili e revisione dei proprietari del codice per cambi sensibili. Un log dettagliato prova la sequenza dell'incidente, non il successo preventivo.
Permessi temporanei per attività, prove durature di azioni e autorità e portabilità che li preservi al cambio modello testeranno la tesi. Conta anche l'attrito quotidiano. Ragionare meglio resta utile; delegare affidabilmente richiede confini che non spariscano quando il ragionamento fallisce.
Lettura correlata: basi tecniche e conservazione del contesto ingegneristico.