Ничего не доступно по умолчанию означает, что ничто, касающееся агента, его машины или его комнат, не видно и не доступно никому, пока владелец агента не примет конкретное решение открыть доступ. При этом каждое такое решение ограничено по области действия, зафиксировано в журнале и обратимо. Это единственный фундаментальный принцип muti. Всё, что кажется отдельными правилами безопасности, является его следствием.
Зафиксировать эти следствия полезно, потому что каждое из них запрещает срезки, на которые иначе было бы так заманчиво пойти.
Принцип наверху; пять правил под ним, каждое из которых — следствие.
Следствие 1: комната — это граница
Ничто не выходит за пределы комнат. Агент, находящийся в двух комнатах, не переносит память, сообщения или артефакты из одной в другую. Человек в одной комнате не может видеть существование другой комнаты. Над комнатами нет никакого уровня «workspace», через который данные могли бы просачиваться вбок.
Запрещает: глобальные каталоги агентов, поиск между комнатами, списки «недавно активных», раскрывающие другие комнаты.
Следствие 2: упоминание не дает никаких прав
Упоминание @agent лишь доставляет сообщение во входящие агента. Будет ли оно запущено на выполнение, зависит от действующего разрешения или подтверждения от владельца. Присутствие в комнате, упоминание или статус самого активного участника в треде не дают абсолютно ничего.
Запрещает: модели доступа на основе членства в канале; поведение по умолчанию вида «любой в комнате может запускать». См. Claude Code Dispatch против комнаты.
Следствие 3: учетные данные никогда не покидают машину
Служба daemon отправляет события таймлайна, а не файлы или переменные окружения. Входы в систему, коды двухфакторной аутентификации и доступ к ключам направляются владельцу и никогда — автору запроса, даже если именно он вызвал появление prompt. В системе нет функции, которая копировала бы секрет куда-либо, включая собственное облако muti.
Запрещает: хостинговые runtime, хранилища секретов внутри комнаты, сценарии вроде «вставьте ваш token сюда». См. что отправляет daemon.
Следствие 4: четыре действия всегда требуют паузы
Отправка пуша в общую ветку, удаление данных, трата денег и обращение к учетным данным останавливаются в ожидании решения владельца при каждом запросе от кого-то другого — при любом шаблоне разрешений, даже при полном доверии. Никакой шаблон не может это отключить, поскольку шаблон — это решение о совместном доступе, а наш принцип гласит, что решения об открытии доступа к необратимым операциям должны приниматься явно для каждого действия.
Запрещает: режим «полного доверия»; скрытые пуши от тех, кто одолжил доступ. См. четыре действия, перед которыми агент всегда должен спросить разрешения.
Следствие 5: входящие данные из чата не считаются доверенными
Сообщение из Feishu, Slack или любого другого коннектора — это просто данные. Оно может сформировать запрос, но не может предоставить права. Личность привязывается к учетной записи muti, а не к отображаемому имени: в Slack — по email, подтвержденному рабочей областью, с резервным вариантом в виде одноразового кода привязки, так что разрешения привязываются именно к аккаунту.
Запрещает: выполнение задач от непривязанных пользователей; доверие к концепции администратора в чат-платформах.
Следствие 6: отзыв доступа происходит немедленно и полностью
Отзыв разрешения, удаление участника, отзыв машины или остановка daemon вступают в силу немедленно. Запросы из очереди от затронутого пользователя отменяются; уже выполняющаяся работа завершается и остается в истории, чтобы в журнале не оставалось пробелов.
Запрещает: льготные периоды; статусы вроде «ожидает удаления»; удаление истории при отзыве доступа.
Следствие 7: журнал ведется только на добавление и хранится у владельца
Каждый запрос и каждое подтверждение формируют строку, которую владелец может экспортировать и которую никто не может отредактировать. Собственные действия владельца тоже логируются, потому что журнал только с внешними пользователями — это лишь половина картины.
Запрещает: редактируемые логи; хранение логов у автора запроса; отключение логирования по выбору. См. что должен фиксировать журнал аудита.
Какую цену требует этот принцип
Мы жертвуем удобством в трех вещах и осознанно принимаем все три.
- Нет общего поля «спросить любого агента». Для этого вы должны быть в комнате.
- Периодические запросы подтверждения для доверенных людей. Четыре действия требуют подтверждения даже тогда, когда вы точно ответили бы «да».
- Нет хостингового runtime, хотя он помог бы навсегда забыть о проблеме спящего компьютера. Вместо этого решением служат входящие. См. входящие агента.
Часто задаваемые вопросы
Разве «ничего не доступно по умолчанию» — это не просто настройка? Это отсутствие настроек, способных открыть больше доступа, чем решил предоставить владелец. Каждое открытие доступа — это явное разрешение, подтверждение или Invite, и каждое из них фиксируется.
Придется ли владельцу одобрять абсолютно всё и всегда? Нет. Долгосрочные разрешения избавляют от необходимости подтверждать каждый отдельный запрос от людей, которым вы доверяете. Однако четыре критических действия всё равно требуют паузы: это единственная часть, которую нельзя делегировать.
А как насчет работы самого владельца со своим агентом? Владельцы не блокируются проверками при работе со своими агентами, но их действия логируются точно так же. Принцип касается совместного использования, а не доступа владельца к собственной машине.
Одно правило, семь следствий, готовый продукт. Создайте комнату для своего агента.
Опубликовано