AI-агент безпечний рівно настільки, наскільки безпечні правила, які застосунок застосовує навколо нього. Lavenity тримає чотири такі правила поза моделлю: коли робочий простір відкритий, куди він виїжджає, що робить аварія і що закриває завершену кваліфікацію. Це policy-документи, які сервер читає на кожному повідомленні, а не інструкції в промпті, які переконливий клієнт може обійти.
Чому порожня політика не є нейтральною
Сервер застосовує всі чотири від моменту, коли з’явився Qualify. Але екрана для них не було, тому на практиці вони зазвичай лишалися порожніми — а порожнє не є нейтральним. Простір без зон виїзду не вважає жодну адресу віддаленою. Простір без safety reply зустрічає аварію з газом чи водою тишею. Редактор політик існує саме для того, щоб власник задав ці значення свідомо, а не успадкував те, що випадково означає порожній рядок у базі.
Робочі години починаються з таймзони IANA, і поруч одразу показано локальний час зараз — щоб помилку в назві зони було видно до збереження, а не після того, як клієнт опівдні отримає відповідь «поза робочими годинами». Невідому зону підсвічують окремо, бо сервер у такому разі відкочується до типової замість того, щоб кинути виняток усередині транзакції воркера. Далі тиждень — це набір інтервалів на день: порожній день означає «зачинено», цілком порожній тиждень — «не налаштовано», а до чотирьох інтервалів на день вистачає навіть для розділеної зміни.
Робочі години: таймзона, яку видно, та інтервали, що переживають збереження
Інтервали перевіряються там, де їх вводять, а не мовчки відкидаються на збереженні. Парсер лишає тільки коректний час у зростальному порядку — правильна поведінка для напівмігрованого рядка й неправильна для людини, яка вводить 18:00–09:00 і має на увазі нічну зміну. Редактор пояснює, чому інтервал не буде збережено, замість того щоб дати йому зникнути між формою і наступним завантаженням сторінки.
Зони виїзду вводяться списком і показуються назад розібраними мітками з лічильником, тому видно саме те, з чим порівнюватиме сервер. Порожній список позначено як попередження, а не лишено без реакції: коли зон немає, жодна адреса не є поза межами обслуговування, і календар втрачає одну з небагатьох перевірок, здатних сказати диспетчеру, що до цього індексу дві години дороги.
Зони виїзду й перевірка, яку тихо прибирає порожній список
В emergency policy типове значення навмисно суворе. Аварії виходять з автоматичного шляху, доки власник не вирішить інакше: у роботі з опаленням, газом і водою впевнено помилкова автономна відповідь — це питання безпеки, а не якості підтримки. Поруч із перемикачем — дві відповіді: негайна safety reply у робочі години й окремий варіант для неробочого часу. Порожня safety reply означає мовчання, і редактор говорить про це прямо.
Аварії за замовчуванням ідуть до людини, а решта зберігається одним документом
Completion message закриває цикл: повідомляє клієнту, що деталей достатньо і що буде далі. Усе це зберігається одним запитом разом із режимом автономії, а кожне значення читається назад через тотальні парсери — невідомий або частково мігрований ввід деградує до найбезпечнішого дефолту замість того, щоб розширити дозволене для Ven. У цьому й сенс детермінованих правил: політику, яка здатна агента лише звузити, можна впевнено осмислити.
Налаштуйте чотири політики до того, як підвищувати режим автономії
Спершу задайте таймзону й прочитайте показаний локальний час, перш ніж зберігати щось інше. Кожне рішення про робочі години, кожна відповідь для неробочого часу й кожен слот, який пропонує календар, обчислюються в цій зоні. Тому помилка тут одночасно збиває всі три інші політики — і робить це мовчки.
Заповніть зони виїзду, навіть якщо зараз ви їдете всюди, куди просять. Порожній список не означає «без обмежень» у корисному сенсі: він означає, що система ніколи не зможе сказати диспетчеру, що адреса далеко за звичними межами. А саме це попередження й варте того на єдиному бронюванні, яке коштувало б пів дня дороги.
Пишіть аварійні відповіді так, ніби за клавіатурою нікого немає, — бо саме для цього випадку вони існують. Тримайте примусовий handoff увімкненим для всього, що стосується газу, води й тепла; дайте в safety reply конкретну інструкцію замість заспокоєння; а варіант для неробочого часу нехай каже, коли людина справді відповість, а не натякає, що хтось уже виїхав.
Поширене запитання
Що буде, якщо політики Front Office лишити порожніми?
Сервер усе одно їх застосує, але порожній документ є дозвільним. Без зон виїзду жодна адреса ніколи не буде поза межами; без safety reply аварія отримає тишу; а цілком порожній тиждень означає, що робочі години не налаштовано. Парсери зводять невідомі значення до найбезпечнішого дефолту замість того, щоб упасти, тому нічого не ламається помітно — і саме тому політики варто задати свідомо до підвищення автономії.