Un asistente, con correa

La pregunta que definió la forma entera de esta función: qué se le debe permitir hacer por su cuenta a un asistente con acceso a un negocio. Mi respuesta es nada, hasta que el comprador diga lo contrario, una capacidad a la vez. Un asistente que puede leer el negocio es útil de forma genuina e inmediata. Un asistente que puede cambiar el negocio sin preguntar es un pasivo que otra persona tiene que limpiar, y quien lo limpia es el comprador, en el peor momento posible, con un rastro de auditoría que él no escribió. Canopy trata leer y actuar como dos decisiones distintas, y entrega la segunda apagada. De fábrica el asistente lee. Responde desde los registros reales del comprador, con el alcance exacto de lo que el inicio de sesión de esa persona ya podía ver, que es la restricción que hace seguro encenderlo siquiera. No hay una vista privilegiada. Si un operador no puede abrir un registro en la interfaz, el asistente tampoco se lo va a resumir, y un operador junior que hace una pregunta amplia no recibe una respuesta armada con registros que nunca tuvo permiso de leer. Un control de acceso que solo aplica en la puerta principal no es control de acceso, y un asistente es la entrada lateral más cómoda que jamás se le va a ofrecer a un modelo de permisos. También está instruido para ir a mirar antes de explicar. El comportamiento más dañino disponible para un sistema así es la historia causal segura de sí misma: el comprador pregunta por qué este mes va detrás del anterior, y el asistente produce una explicación fluida, plausible y por completo inventada que el comprador luego le repite a un cliente. Así que la instrucción es recuperar primero los registros relevantes y decir con claridad que algo no es visible en lugar de ofrecer una causa que no comprobó. Un asistente que dice que no puede ver algo es útil. Un asistente que adivina es peor que no tener ninguno, porque su respuesta es indistinguible de la versión que sí comprobó. Consideré el patrón del agente de propósito general, al que se le dan permisos amplios de escritura y un conjunto de herramientas y se confía en su criterio. Lo rechacé, y la razón no es que la tecnología no pueda hacerlo. La razón es que el comprador es un negocio pequeño sin equipo de seguridad, sin entorno de pruebas y sin ganas de hacer arqueología. El modo de falla de un agente amplio no es una caída. Es una acción equivocada, bienintencionada y de aspecto razonable, aplicada sobre cuarenta registros a las dos de la mañana y descubierta una semana después por un cliente. El costo de eso cae entero sobre el comprador, y ninguna cantidad de capacidad en los días buenos lo paga. Así que actuar se enciende carril por carril, y los carriles se separan por cuál es su peor resultado y no por qué tan difíciles son. El carril seguro corre de inmediato, y es seguro por construcción y no por redacción cuidadosa: cada acción en él es reversible, toca exactamente un registro, tiene un tope por mensaje, y queda en el registro de auditoría bajo el nombre del propio comprador. Esas cuatro propiedades son las que le permiten correr sin confirmación, porque el peor caso es un cambio reversible sobre un registro, atribuido, visible y deshacible con un clic. Los carriles que borran algo o que le mandan algo a alguien no actúan jamás, sin importar cómo esté redactada la petición. Construyen una tarjeta a partir de una lectura fresca del registro, muestran exactamente qué va a pasar, y esperan. La lectura fresca importa: una tarjeta construida con datos que el asistente cargó antes en la conversación puede describir un registro que ya cambió, y el comprador estaría confirmando una descripción en lugar de una acción. Las tarjetas son de un solo uso y caducan, así que una confirmación que quedó en una conversación de ayer no se puede pulsar hacia un mundo distinto de aquel para el que se escribió. Nada de mandarle un correo a un cliente es reversible, que es exactamente por lo que está en el carril que siempre se detiene. La regla que está debajo de todo es la que conservaría si tuviera que tirar el resto: el asistente actúa solo sobre lo que el comprador escribe. El contenido dentro de un registro no puede autorizar nunca una acción. Un correo entrante, una nota, un campo importado, un archivo que alguien adjuntó, un nombre que un desconocido tecleó en un formulario web: ninguno de ellos puede instruir al asistente para hacer nada, y los carriles que piden confirmación se sostienen sin importar lo que cualquiera de ellos diga. Esto cierra el ataque que de otro modo llega gratis con cualquier asistente conectado a una bandeja compartida, donde la instrucción entra como contenido desde afuera y el sistema no puede distinguir entre la intención del comprador y una frase que escribió un desconocido. Los datos son datos. Solo quien escribe es la persona. Cada llamada que hace el asistente pasa por las mismas comprobaciones independientes que protegen cualquier otra capacidad que cuesta dinero, incluido un presupuesto mensual en dólares reales que empieza en cero. No se gasta nada hasta que el comprador fija un número, y no se excede el número una vez fijado. Cada llamada se mide hasta lo que costó, así que la línea del asistente es una cifra en el mismo tablero que todas las demás y no una sorpresa en un estado de cuenta. Esta es la misma postura que el resto del producto tiene hacia cualquier cosa facturable, y el asistente no recibe ninguna exención por ser interesante. La exclusión honesta: este no es un agente al que el comprador le entrega su negocio, y no lo voy a vender como tal. Es un lector rápido con una correa corta, y la correa es un ajuste que el comprador controla. No va a operar el negocio de noche. Va a responder en cuatro segundos una pregunta sobre la operación que a un operador le habría costado diez minutos de clics, y lo va a hacer dentro de los permisos, el presupuesto y el rastro de auditoría que ya gobiernan todo lo demás. La consecuencia operativa que el comprador siente es que recibe el noventa por ciento útil desde el primer día sin ninguna exposición, y decide, de forma individual y reversible, si toma algo del resto. El asistente llega sabiendo ya el negocio, porque lee la misma base de datos que lee todo lo demás de la instalación. Lo que no puede hacer es sorprenderlo. Cada cosa irreversible que pudiera llegar a hacer está detrás de un clic que él dio o de un interruptor que él encendió, y cada cosa reversible que hace queda firmada con su nombre en un registro que es suyo.