Nessuna condivisione per impostazione predefinita significa che nulla riguardo a un agente, alla sua macchina o alle sue stanze è visibile o utilizzabile da chiunque finché il proprietario dell'agente non prende una decisione esplicita di condividerlo, e che ogni decisione di questo tipo è limitata nello scopo, registrata e revocabile. È l'unico principio alla base di muti. Tutto ciò che sembra una regola di sicurezza a sé stante ne è solo una conseguenza.
Mette per iscritto le conseguenze è utile perché ciascuna di esse proibisce una scorciatoia che altrimenti sarebbe allettante.
Il principio in alto; cinque regole sotto, ciascuna una conseguenza.
Conseguenza 1: la stanza è il confine
Nulla passa da una stanza all'altra. Un agente presente in due stanze non porta memoria, messaggi o artefatti dall'una all'altra. Una persona in una stanza non può vedere se esiste un'altra stanza. Non esiste un livello di "workspace" al di sopra delle stanze da cui le informazioni possano trapelare lateralmente.
Proibisce: elenchi globali di agenti, ricerca tra stanze diverse, elenchi di stanze "attive di recente" che rivelano altre stanze.
Conseguenza 2: una menzione non concede nulla
Un @agent recapita un messaggio nell'inbox dell'agente. L'effettiva esecuzione dipende da un'autorizzazione permanente o da un'approvazione del proprietario. Essere nella stanza, essere menzionati o essere la persona più attiva nel thread non conferisce alcun permesso.
Proibisce: modelli di permessi basati sull'appartenenza al canale; impostazioni predefinite del tipo "chiunque nella stanza può eseguire comandi". Vedi Claude Code Dispatch rispetto a una stanza.
Conseguenza 3: le credenziali non lasciano mai la macchina
Il daemon carica eventi della timeline, non file o l'ambiente di sistema. Accessi, codici di autenticazione a due fattori e chiavi di accesso vengono instradati al proprietario e mai a chi ha inviato la richiesta, nemmeno a chi ha provocato il prompt. Non esiste alcuna funzionalità che copi un segreto altrove, compreso il cloud di muti.
Proibisce: runtime ospitati su cloud, vault di credenziali nella stanza, flussi del tipo "incolla qui il tuo token". Vedi cosa carica il daemon.
Conseguenza 4: quattro azioni vanno sempre in pausa
Inviare push su un branch condiviso, eliminare elementi, spendere denaro e toccare le credenziali si interrompono sempre in attesa del proprietario per ogni richiesta proveniente da altri, con qualsiasi modello di permessi, compresa la massima fiducia. Nessun modello può disattivare questo comportamento, perché un modello è una decisione di condivisione e il principio impone che le decisioni di condivisione per le azioni irreversibili debbano essere esplicite azione per azione.
Proibisce: una modalità "massima fiducia"; push invisibili da parte di chi prende in prestito l'agente. Vedi quattro azioni per cui un agente dovrebbe sempre chiedere prima di procedere.
Conseguenza 5: l'input della chat non è attendibile
Un messaggio proveniente da Feishu, Slack o da qualsiasi connettore è un dato. Può creare una richiesta; non può creare un permesso. L'identità è vincolata a un account muti, non a un nome visualizzato: in Slack tramite l'email verificata dal workspace, con un codice di collegamento monouso come fallback, in modo che i permessi siano legati all'account.
Proibisce: l'esecuzione per utenti non collegati; fidarsi del concetto di amministratore proprio di una piattaforma di chat.
Conseguenza 6: la revoca è immediata e completa
Revocare un'autorizzazione, rimuovere un membro, revocare una macchina o arrestare il daemon ha effetto immediato. Le richieste in coda della persona interessata vengono annullate; il lavoro già in esecuzione viene completato e rimane nella cronologia affinché il registro non presenti lacune.
Proibisce: periodi di grazia; stati di "rimozione in sospeso"; eliminazione della cronologia alla revoca.
Conseguenza 7: il registro è di solo accodamento e gestito dal proprietario
Ogni richiesta e ogni approvazione produce una riga che il proprietario può esportare e che nessuno può modificare. Anche le azioni del proprietario stesso vengono registrate, perché un registro dei soli utenti esterni sarebbe un registro a metà.
Proibisce: log modificabili; log conservati da chi richiede l'azione; disattivazione del logging. Vedi cosa deve registrare un audit log.
Quanto costa questo principio
Comporta una rinuncia alla comodità in tre aspetti, e li accettiamo tutti e tre.
- Nessuna casella globale per "chiedere a qualsiasi agente". Devi trovarti nella stanza.
- Prompt occasionali per le persone fidate. Le quattro azioni chiedono conferma anche quando avresti risposto di sì.
- Nessun runtime ospitato su cloud, anche se farebbe scomparire il problema della macchina in standby. La risposta è invece l'inbox. Vedi l'inbox dell'agente.
Domande frequenti
"Nessuna condivisione per impostazione predefinita" non è semplicemente un'impostazione? È l'assenza di impostazioni che potrebbero condividere più di quanto il proprietario abbia scelto. Ogni atto di condivisione è un'autorizzazione esplicita, un'approvazione o un invito, ciascuno debitamente registrato.
Il proprietario deve approvare tutto all'infinito? No. Le autorizzazioni permanenti eliminano le approvazioni richiesta per richiesta per le persone di cui ti fidi. Le quattro azioni vanno comunque in pausa; questa è l'unica parte che non si delega.
E per quanto riguarda l'uso dell'agente da parte del proprietario stesso? I proprietari non hanno blocchi sui propri agenti, ma le loro azioni vengono registrate nello stesso modo. Il principio riguarda la condivisione, non l'accesso del proprietario alla propria macchina.
Una sola regola, sette conseguenze, un prodotto. Assegna una stanza al tuo agente.
Pubblicato il