Агент, который собирает агентов, в одном YAML

В CNCF вышел пошаговый лаб по kagent, это Sandbox-проект, где агент — custom resource в Kubernetes. Авторы собирают на kind агента-конструктор: описываешь задачу словами, он пишет манифест Agent и применяет его. Модель локальная через Ollama.

Мне тут интересны три слоя защиты, которые не зависят от промпта:
- toolNames как allowlist: из 22 инструментов модель видит три;
- requireApproval на k8s_apply_manifest, без клика человека ничего не применится;
- RBAC: только read-only плюс запись agents.kagent.dev.

Деталь, которую я бы забрал себе: по умолчанию чарт даёт ServiceAccount инструментов cluster-admin. Это первое, что стоит выключить. И проверить:
kubectl auth can-i create deployments \
--as=system:serviceaccount:kagent:kagent-tools -n kagent
Про модели: qwen2.5 на 7B и 14B ошибались с вызовом инструментов, стабильно справилась qwen3-coder:30b-a3b. И авторы честно предупреждают, что лаб без аутентификации и только для ноутбука.

Источник: https://www.cncf.io/blog/2026/10/12/from-zero-to-agent-builder-running-kagent-on-your-laptop/

#kagent #Kubernetes #AIagents