Доступ агента к shell: семь развилок, которые пришлось решить

Короткий ответ

Дать агенту доступ к shell — это не одно решение, а семь. Пять из них про машину, а не про модель: что разрешено запускать без вопроса, под какой учётной записью это происходит, кто может прочитать файл с ключами, собирается ли прод из коммита и что вообще разрешено называть словом «готово». Мы проверили все семь на своём продукте и оставили узкий режим доступа, пока не сделана изоляция.

Три независимых разбора одного и того же пакета дали две фактические ошибки. Обе закрыла одна проверка на сервере. Публиковать стоит именно это: судьям надо отдавать результаты проверок, а не пересказ задачи.

Технический разбор продукта, наблюдение 28 октября 2026. Это не бенчмарк, не независимый аудит и не утверждение, что Tvijo лучше другого инструмента. Оценок здесь нет намеренно: все числа наши, с датой и способом перепроверки.

Семь развилок одной таблицей

Ни одна из семи не экзотическая. Каждую дёшево решить неправильно и дорого обнаружить это позже.

Два режима доступа на пяти командах

Политику команд из выпущенного пакета мы прогнали без исполнения и записали решение по каждой команде в обоих режимах.

Читать таблицу надо как поведение, а не как оценку безопасности. Три команды из пяти переходят из «отказ или вопрос» в «без вопроса». Пятая строка — честная: у узкого режима правила для планировщика тоже не было. Короткий список шаблонов защищает от случайной ошибки, но не является границей — и список, который достаточно короток, чтобы его прочитать, достаточно короток, чтобы обойти его другим написанием той же команды.

Где три разбора разошлись и что показала проверка

Один и тот же пакет ушёл трём ревьюерам из разных семейств моделей. В порядке работ они совпали, в вопросе изоляции разошлись. Оба расхождения решила проверка на машине, а не спор.

Ревьюеры пропустили и то, что находится одной командой статуса: супервизор воркера на этой машине падал шесть дней. Ни один разбор об этом не сказал, потому что ни одному не поручали смотреть на живое состояние. Доска с процессами показала бы это сразу.

Что разрешено называть «готово»

Движок возвращает done, когда сама модель написала done. На этом пути нет счётчика реально выполненных инструментов. Для ответа в чате это нормально; для задачи, которая заявляет правку кода, — нет.

Тот же принцип уже применён к ревью: ревьюеру засчитывается завершённое структурное событие, а не код выхода ноль.

Какой чек мы хотим на каждую задачу

1. Что изменено, по путям.
2. Какие проверки запустил сам движок и в каком порядке относительно последней правки.
3. Деньги по метру — из леджера, а не из отчёта агента.
4. Расход подписки в вызовах и токенах отдельной колонкой, без пересчёта в доллары.
5. Кого спросили и что ответили.

Пятый пункт и есть коммерческая причина заводить чек. Один и тот же вопрос стоил $0,0038 на самой дешёвой полосе и $0,0693 на самой дорогой: восемнадцать цен за один и тот же ответ из восьми пунктов. Без чека выбор ревьюера — вкус; с чеком это маршрутизация, которую можно перепроверить позже.

Чего мы намеренно не делаем

• Не строим свою контейнерную платформу, если песочница уже есть.
• Не отправляем сырой журнал чужой сессии платной модели, чтобы узнать, чем занят агент.
• Не выпускаем широкий режим доступа раньше изоляции.
• Не продаём «ключи не наследуются окружением» как границу безопасности. Это утверждение о процессе, а не о файле.

⚠️ Когда это НЕ работает

• Один человек, одна машина, других локальных учёток нет. Большинство из семи развилок схлопывается в «неважно»; изоляция тогда покупает воспроизводимость, а не защиту.
• Грязное начальное состояние. Если рабочая копия уже изменена, «дерево изменилось» ничего не доказывает. Нужен хеш или снимок на старте, иначе проверка — театр.
• Медленные или нестабильные тесты. Если прогон занимает час, «движок запустил проверку после правки» превращается в формальность. Держите короткий список быстрых проверок и говорите, какие были обязательны.
• Агент, который вообще не вызывает инструменты. Наша исходная проблема была именно такой: агент сообщил об отказе, не попробовав. Проверка завершения это не лечит — сначала проверяется сама возможность.
• Жёсткий бюджет. Второе мнение стоит денег. Разница в восемнадцать раз — повод маршрутизировать по классу задачи, а не повод всегда покупать дорогого ревьюера.

Запросить разбор ваших развилок

Если вы выбираете, с чего начать на своей машине, форма ниже спрашивает, какую из семи развилок разобрать первой. Мы отвечаем тем, что изменили бы, в каком порядке и что нужно увидеть на вашей стороне. Оплата здесь не принимается, доступ к системам не выдаётся, ключи и пароли присылать не нужно.

Метод и источники

Наблюдение 28 октября 2026. Проверено: выпущенный пакет расширения, снимок исходников, конфигурация работающего сервиса и политика команд в том виде, в каком она выпущена. Измерено: решение политики по пяти командам в двух режимах, стоимость трёх разборов из леджера транспорта и состояние процесса супервизора.

Не делалось и не заявляется: тест на проникновение, независимый аудит, нагрузочный бенчмарк, платная активация клиента, реальный пилот с заказчиком. Страница описывает решения и их цену, а не сертификат безопасности.

Отдельно: четыре числа на этой странице наши, и каждое пересчитывается по артефактам, сохранённым вместе с задачей. Где утверждение проверить не удалось, оно названо утверждением ревьюера, а не фактом.

Что читать дальше

• Права и данные: что рабочая среда может прочитать, а что остаётся вне доступа.
• Расходы и бюджеты: почему потолок одного вызова не равен потолку задачи.
• Сравнение продукта: три входа в один продукт и что умеет каждый.