Identifiera ansvarsområden, risker, antimönster och spårningsbehov

  • 5 minuter

När agenter blir mer kapabla kan det vara frestande att föreställa sig att ansvaret flyttas till systemet. Det gör det inte. Agentsystem kan köra arbete, men människor förblir ansvariga för resultat och för de kontroller som styr körningen.

I den här lektionen får du lära dig

  • Vem är ansvarig för agentåtgärder och resultat

  • Vilka vanliga risker och antimönster visas i agentsystem

  • Så här minimerar GitHub kontroller dessa risker

  • Varför spårning och observerbarhet krävs för tillförlitliga system

Ansvaret flyttas inte med utförande

När en agent skapar en pull-begäran, ändrar kod eller svarar på feedback, deltar den i arbetsflödet, men den övertar inte ägarskapet för resultatet. De ansvariga parterna är fortfarande de personer och team som:

  • Definierade uppgiften

  • Ange behörigheter

  • Välj och konfigurera kontroller

  • Godkände den resulterande ändringen

En granskningsmodell för pull-begäran gör detta explicit: systemet kan föreslå, men människor bestämmer vad som accepteras.

Vanliga risker och antimönster

Agentsystem i ett tidigt skede misslyckas ofta på förutsägbara sätt:

  • Planlös körning Agenten börjar ändra kod utan en tydlig, granskbar metod.

  • Överbehöriga agenter Agenten (eller dess arbetsflödestoken eller verktyg för autentiseringsuppgifter) har bredare åtkomst än nödvändigt.

  • Dolt resonemang Arbetsflödet exponerar endast utdata (diffet) utan mellanliggande artefakter (plan, antaganden, beslutspunkter, körningskontext).

  • Blind tillit till automation Att klara CI är viktigt, men kontrollerna validerar bara det som de är utformade för att upptäcka. En godkänd build betyder inte automatiskt att ändringen är färdig, lämplig eller låg risk.

Implementeringsmappning: riskhantering → GitHub

Risk/antimönster Hur ser det ut i GitHub Åtgärder med hjälp av GitHub-kontroller
Planlös utförande PR har en diff men ingen plan eller förklaring Kräv ett planavsnitt via PR-mall; kräver granskning före sammanslagning
Överbehörighetade agenter Arbetsflöden kan skriva till lagringsplats, komma åt hemligheter brett Lägsta behörighet GITHUB_TOKEN; miljöer med nödvändiga granskare; Begränsa vem som kan utlösa arbetsflöden
Dolt resonemang Inga antaganden/omfång/beslutsspår Säkerställ körning av planerings- och länkningsarbetsflöde och registrera beslut i PR-kommentarer
Blind förtroende för automatisering "CI passerade, skicka det" tankesätt Kombinera kontroller med CODEOWNERS, nödvändiga granskningar och riskbaserade godkännanden

Spårbarhet och observerbarhet

För att övervaka en agent effektivt behöver du mer än en slutlig diff – du behöver en logg. I GitHub kan den spåret innehålla:

  • Pull-begäranden och incheckningshistorik

  • Granska kommentarer och godkännanden

  • Arbetsflödesprocesser och uppladdade artefakter (testrapporter, loggar)

  • Uppladdningar och aviseringar för kodgenomsökning

  • Hemliga genomsökningsaviseringar och push-skyddshändelser

  • Händelser för organisationsgranskningsloggar (tillgänglighet och åtkomst beror på organisations-/företagskonfiguration)

Målet är inte bara efterlevnad. Det är operativ förståelse: när något misslyckas måste du veta vad som ändrades, vem som godkände det, vilka bevis som fanns och vad som hände härnäst.

Minsta revisionsspår för agenternas bidrag

  • Ett angivet mål (problemlänk eller PR-beskrivning)

  • En granskbar plan (PR-plandel eller -fil)

  • En begränsad ändringsuppsättning (gren och commit)

  • Automatiserade bevis (arbetsflödeskörning och artefakter)

  • Mänsklig bedömning (granskning och godkännande)

  • Ett tydligt resultat (sammanslagning, återställning eller eskalering)

Anta att agentens sårbarhetskorrigering passerar CI men senare orsakar en regression. Den viktigaste frågan är inte bara om agenten gjorde ett misstag – det är om systemet gjorde misstaget begripligt och kan förhindras:

  • Fanns det en synlig plan och omfattning?

  • Begärdes rätt granskare (och blev de godkända)?

  • Matchade kontrollerna risken för ändringen?

  • Räcker spårningsloggen för att rekonstruera vad som hände?

Agentiska system ändrar vem som utför arbete, men inte vem som äger resultat. Mänskliga team är fortfarande ansvariga, vilket är anledningen till att de måste utforma för att undvika vanliga antimönster och kräva stark spårbarhet genom GitHub-nativa artefakter och loggar.

När du förstår hur ansvaret fungerar är det sista steget att bestämma hur agentarbetet ska bedömas. I nästa lektion använder du deltagarmodellen för agentgenererade utdata.