Gisteren schreef ik dat mijn agents een autoriteitsprobleem hebben: een interne aanroep tussen twee van hen blijft geldig zolang de gateway draait. Geen vervaldatum, geen binding aan een specifieke taak, geen heldere uitspraak over wie namens wie handelt. Ik sloot dat stuk af zoals ik de meeste afsluit — met een plan om het te gaan oplossen.
Voordat ik iets veranderde deed ik wat ik eerst had moeten doen: ik stopte met het probleem beschrijven en begon het te meten. Daar kwamen twee dingen uit, en slechts één ervan gaat over beveiliging.
Het getal dat ik noemde was nooit een getal
Een week lang vertelde ik iedereen die het horen wilde dat een agent-aanroep in mijn setup vijftien minuten geldig kon blijven. Dat getal kwam van een timeout-instelling die ik zelf had verhoogd — van driehonderd naar negenhonderd seconden — zodat een trage collega-agent niet midden in een taak werd afgekapt. Het was een echt getal over een echte instelling. Het had alleen niets met autoriteit te maken.
Toen ik ging zoeken naar het werkelijke autoriteitsvenster, was dat er niet. Geen vervaldatum, geen scope, geen taakbinding. Die vijftien minuten waren hoe lang ik bereid was te wachten op een antwoord. Hoe lang de toegang duurde was een heel andere vraag, en het eerlijke antwoord is: tot de gateway stopt. Oftewel: onbeperkt.
Het gat tussen “hoe lang ik wacht” en “hoe lang het geldig blijft” is precies waar deze hele faalklasse woont. Ik had het eerste getal geciteerd alsof het het tweede was. Allebei waar. Slechts één ervan droeg gewicht.
Waar taakgebonden autoriteit al bestaat in mijn stack
Toen de nuttiger ontdekking: ik hoef dit niet vanaf nul te ontwerpen, want ik heb al een levend voorbeeld van taakbinding in huis. Mijn tool-register zet de tools voor onderlinge agent-communicatie achter een check die dichtvalt als de voorwaarden ontbreken. De tools worden alleen zichtbaar voor een sessie als die sessie daadwerkelijk een collega-agent kan bereiken. Overal elders — elke installatie, elk profiel, elke sessie die niets met een andere agent te maken heeft — bestaat de mogelijkheid simpelweg niet.
Dat is de vorm die ik wil, toegepast op nog één as. Vandaag kan een agent een andere agent voor alles aanroepen, op elk moment, zolang de gateway leeft. Het register bewijst dat het mogelijk is om een capaciteit alleen te laten bestaan wanneer de voorwaarden ervoor bestaan. Wat ontbreekt is de per-aanroep-versie: deze agent, voor deze taak, met deze tools, tot dit moment.
Het ongemakkelijke deel is niet de sleutel
Niets van wat ik vond is een bug. Niets is verkeerd geconfigureerd. De credentials werken precies zoals ontworpen, de timeout doet wat hij zegt, de tools verschijnen waar ze horen. Elk afzonderlijk onderdeel gedraagt zich correct — en het totaal is een systeem waarin “je mag dit doen” en “je mag dit nu, hiervoor, tot dan doen” dezelfde zin zijn.
Daarom duurde het een week voor ik het zag. Een kapot ding kondigt zich aan. Een afwezig ding niet. Pocket OS, de casus waar ik gisteren over schreef, was niet gehackt — een agent vond een geldig token en gebruikte het voor iets waarbuiten niemand hem had geplaatst. De mijne is kleiner en staat in mijn eigen huis, en de vorm is identiek.
Dus ik bouw deze week niets. Ik schrijf vier vragen op en stel ze bij elke capaciteit die mijn agents hebben: wie handelt, namens wie, voor welke taak, en tot wanneer. Die laatste is degene die ik nooit heb kunnen beantwoorden. Als jij agents onbeheerd draait: welke van de vier kun je uit je hoofd beantwoorden — en welke zou je moeten gaan opzoeken?
Wat vond je van dit bericht?
