AI डेवलपर टीमों में क्षमताएं (Capabilities), अनुमतियां (Permissions), और अनुमोदन गेट (Approval Gates)

कई AI टूल्स एक शॉर्टकट प्रदान करते हैं।

आप एक टूल या इंटीग्रेशन को कनेक्ट करते हैं। इंटरफ़ेस कहता है कि एजेंट अब फ़ाइलों, कार्यों या कमांड के साथ काम कर सकता है।

गंभीर टीमों के लिए, यह पर्याप्त नहीं है।

तकनीकी क्षमता (Technical ability) और अनुमति (permission) एक समान नहीं हैं। कोई कार्य संभव हो सकता है, लेकिन फिर भी उसके लिए मानवीय निर्णय की आवश्यकता हो सकती है।

NexFlow इन तीन परतों को अलग करता है:

• क्षमता (Capability): एक एक्टर तकनीकी रूप से क्या कर सकता है? • अनुमति (Permission): क्या किसी विशिष्ट विषय (subject) को उस क्षमता का उपयोग करने की अनुमति है? • अनुमोदन गेट (Approval Gate): क्या उस कार्य के लिए पहले किसी इंसान का 'हाँ' कहना ज़रूरी है?

इन शब्दों में भ्रम होने से सुरक्षा जोखिम पैदा हो सकते हैं।

एक कौशल (skill) एक भूमिका का वर्णन करता है, जैसे डॉक्यूमेंटेशन लिखना। एक क्षमता (capability) एक कार्य का वर्णन करती है, जैसे create_pull_request| एक अनुमति (permission) एक नीति (policy) है, जैसे allow या deny। एक अनुमोदन गेट (approval gate) वह व्यक्ति या सिस्टम है जिसे किसी गेटेड कार्य को मंजूरी देनी चाहिए।

एक एजेंट के पास कोड रिव्यू करने का कौशल हो सकता है। एक इंटीग्रेशन पुल रिक्वेस्ट बनाने की क्षमता प्रदान कर सकता है। लेकिन अनुमति (permission) को अभी भी यह तय करना होगा कि क्या वह विशिष्ट एजेंट उस टूल का उपयोग कर सकता है। इसके बाद, एक अनुमोदन गेट (approval gate) यह तय करता है कि क्या किसी इंसान को इसकी समीक्षा करनी चाहिए।

यह अंतर आपके प्रोजेक्ट की रक्षा करता है। यह "कनेक्टेड टूल" की समस्या को रोकता है जहाँ एक एजेंट को आपकी मंशा से अधिक अधिकार मिल जाते हैं।

NexFlow एक रूढ़िवादी (conservative) सुरक्षा मॉडल का उपयोग करता है:

  • जाँचें कि क्या एक्टर के पास घोषित क्षमता (capability) है।
  • अनुमति के नियमों (permission rules) को खोजें।
  • एक स्पष्ट 'deny' सबसे मजबूत नियम है।
  • approval_required स्टेटस तब तक कार्य को रोकता है जब तक कोई इंसान उसे मंजूरी न दे दे।
  • 'allow' केवल परिभाषित दायरे (scope) के भीतर ही काम करता है।
  • यदि कोई अनुमति मौजूद नहीं है, तो कार्य को अस्वीकार कर दें।

यह नौकरशाही (bureaucracy) नहीं है। यह जोखिम को दृश्यमान बनाता है। आप एक भी एजेंट चलाने से पहले अपनी नीतियों की समीक्षा कर सकते हैं।

आप देख सकते हैं:

  • कौन सी जोखिम भरी क्षमताएं मौजूद हैं।
  • आपकी रिपॉजिटरी कौन पढ़ सकता है।
  • फ़ाइलें कौन लिख सकता है।
  • कहाँ एक इंसान को कार्य रोकना चाहिए।

एक एजेंट क्या कर सकता है, यह पर्याप्त नहीं है। जो मायने रखता है वह यह है कि आपका प्रोजेक्ट उन्हें क्या करने की अनुमति देता है।

Source: https://dev.to/alexander_iwizard/capabilities-permissions-and-approval-gates-in-ai-developer-teams-2cc4

Optional learning community: https://t.me/GyaanSetuAi