Кратко

  • 27 сентября объявлена первая версия индивидуального Internet-Draft Andreas Ehstand о действиях человека при надзоре за автоматизированными и агентными системами. Это не одобренный IETF стандарт, не формат журнала и не обязательная процедура.
  • Документ отделяет наблюдение от проверки названного свойства, выбор дальнейшего действия — от разрешения выполнить определённое действие на основании уже существующих полномочий. Разрешение является разновидностью решения, но не подтверждает правильность результата.
  • Неразличимая отметка «одобрено» доказывает лишь факт записанного взаимодействия. Чтобы подтвердить и проверку, и разрешение на исполнение, нужны свидетельства каждого из этих действий.

Когда агент предлагает действие, а человек нажимает кнопку согласия, журнал обычно выглядит убедительно: есть имя, время и результат. Но ключевая неопределённость остаётся. Человек видел только экран? Сверил ли он нужный реквизит? Выбрал ли одну из альтернатив? Мог ли он разрешить исполнение именно в таком объёме? Эти вопросы нельзя заменить одним словом «одобрено» даже в неподдельной записи.

draft-ehstand-oversight-acts-00 посвящён языку для такого разбора. Его автор — Andreas Ehstand, объявление о доступности датировано 27 сентября. Datatracker называет документ действующим индивидуальным Internet-Draft и прямо предупреждает: IETF его не поддержал, формального статуса в процессе стандартизации у него нет. Текст определяет термины, но не задаёт сетевой протокол, структуру данных, рабочую процедуру или метод измерения. Следовательно, пока нельзя говорить о принятом новом требовании к операторам.

Наблюдение в предложенной терминологии означает, что объект был представлен контролирующему человеку. Понял ли он увиденное, из записи не следует. Проверка относится к заранее названному свойству объекта и даёт один из трёх исходов: свойство есть, его нет или определить не удалось. Вывод не распространяется на все остальные свойства. Решение показывает, какой вариант поведения выбран, но может быть принято без проверки. Разрешение на исполнение требует ещё и полномочия, предоставленного человеку до данного действия, с определёнными границами. Сама кнопка такое полномочие не создаёт.

Даже законно выданное разрешение не доказывает, что объект безошибочен.

Представим только как пример, что агент подготовил платёжное поручение. Один вопрос — проверил ли сотрудник соответствие получателя указанному договору. Другой — мог ли он разрешить отправку суммы. Проект поясняет: если последующему пользователю нужны ответы на оба вопроса, ему потребуются запись проверки и запись разрешения. Несколько наблюдений не превращаются в проверку; несколько разрешений не подтверждают правильность платежа. Криптографическая подпись может удостоверить происхождение записи, но не приписать человеку действие, которого запись не описывает.

В модели проверяемых удостоверений W3C также различаются техническая проверка и пригодность для конкретного применения; это сравнение не означает, что W3C принял словарь нового проекта.

Особое внимание уделено этапу, на котором непроведённая проверка выглядит как успешная. Если закрытие окна всегда создаёт метку «проверено», обычный журнал не отличит пропуск от положительного результата. Проект предлагает термины для обнаруживаемости ошибок и тестирования такого этапа, не устанавливая ни способа испытания, ни допустимого порога. В разделе о безопасности обсуждаются механическое подтверждение, завышенное описание действия, подмена объекта после просмотра и разрешение за пределами полномочий.

В разделе о приватности есть встречное предостережение: сбор подробных данных о просмотре экрана может усилить надзор над работником, почти ничего не доказывая о результате агента.

Смысл для управления состоит в проверке точной цепочки: какой версии объекта коснулось действие человека, какое свойство он исследовал, что решил и на какое прежнее полномочие опирался при разрешении. Это редакционный вывод Daniel Kade из индивидуального проекта, а не вывод IETF о нарушении в конкретном продукте. Предупреждение Heng Lu против подмены мандата формальным участием помогает сформулировать вопрос, но не заменяет фактов отдельного дела.

Источники