Не давайте агенту root. Пусть присылает PR

В блоге CNCF дельная колонка мейнтейнера Kairos про то, сколько прав давать ИИ-агенту на проде. Мысль простая. Если агент с root, а от катастрофы его держит только аккуратный AGENTS.md, вы себя обманываете: модель недетерминирована, и гарантий нет.

Что автор предлагает:
- хост иммутабельный (bootc, Flatcar, Kairos), изменения базы идут новым образом, а не пакетами на лету;
- сам агент — обычный короткоживущий workload, изоляция по модели угроз: под, sandboxed-под или VM;
- агент смотрит систему и открывает PR со следующим состоянием, а дальше ревью, тесты, сборка, подпись, релиз.

Важная оговорка, которую я бы распечатал: identity агента может предлагать изменения, но не может их одобрять, мержить, трогать пайплайн и подписывать образ. Иначе это тот же root, только в обход.

Практический шаг на сегодня: проверьте, что у токена вашего агента в Git нет прав на merge и на .github/workflows.

Источник: https://www.cncf.io/blog/2026/10/08/dont-give-ai-agents-root-make-them-propose-the-next-system-state/

#AIagents #GitOps #PlatformEngineering