Architektura agentowa, która przejdzie audyt: HITL, guardrails, MCP, ślad audytowy

Co znaczy „przejdzie audyt”

Architektura agentowa przechodzi audyt wtedy, gdy ktoś z zewnątrz — dział zakupów, audytor, regulator — może prześledzić każdą decyzję bez zaglądania do wnętrza modelu. To znaczy, że każde wywołanie narzędzia, każdy dostęp do danych i każde zatwierdzenie człowieka zostawiają zapis. Model jest jednym z elementów. Audyt dotyczy całej ścieżki wokół niego.

Dlatego architektury pod audyt nie projektuje się przez wybór „lepszego” modelu. Projektuje się ją przez nazwanie punktów kontroli — miejsc, w których system jest sprawdzany, ograniczany albo zatrzymywany. Poniżej cztery, które dział zakupów zwykle chce zobaczyć.

Cztery punkty kontroli

Punkt kontroli	Co kontroluje	Dowód w audycie
Human-in-the-loop	Decyzje o skutkach	Zapis, kto i kiedy zatwierdził
Guardrails	Wejście i wyjście modelu	Reguły i odrzucone żądania
MCP	Dostęp do danych i narzędzi	Uprawnienia i log wywołań
Ślad audytowy	Cała ścieżka decyzji	Pełny, niepodważalny zapis

Człowiek w pętli na decyzjach o skutkach

Human-in-the-loop to wbudowany punkt, w którym wynik agenta wraca do człowieka, zanim wywoła skutek. Nie chodzi o to, by człowiek sprawdzał wszystko — to by zabiło sens automatyzacji. Chodzi o to, by sprawdzał decyzje o skutkach: wysłanie pisma, zmianę w systemie, zatwierdzenie płatności. W audycie ten punkt jest dowodem, że odpowiedzialność za skutek spoczywa na człowieku, nie wyłącznie na modelu.

Guardrails na wejściu i wyjściu

Guardrails to reguły, które sprawdzają, co wchodzi do modelu i co z niego wychodzi. Na wejściu blokują żądania spoza zakresu i próby manipulacji promptem. Na wyjściu zatrzymują odpowiedzi, które naruszają zasady — ujawniają dane, przekraczają uprawnienia, mają niedozwolony format. Każde odrzucone żądanie zostaje zapisane, więc audyt widzi nie tylko to, co system zrobił, ale i to, czego nie pozwolił zrobić.

MCP jako jeden punkt dostępu

Gdy agent sięga po narzędzia — bazę, system zgłoszeń, API — robi to przez tool-use. Bez standardu każda integracja jest osobna, a kontrola rozproszona. MCP standaryzuje ten dostęp: agent rozmawia z narzędziami przez jeden interfejs, z jawnymi uprawnieniami i logowaniem każdego wywołania. Dla audytu to różnica między dziesięcioma furtkami a jedną bramą z rejestrem wejść.

Ślad audytowy całej ścieżki

Ślad audytowy spina pozostałe trzy. Zapisuje, kto pytał, co model zwrócił, które reguły zadziałały, które narzędzia zostały wywołane i kto zatwierdził skutek. Bez tego pozostałe punkty kontroli istnieją, ale nie da się ich udowodnić. To zapis ma przekonać dział zakupów — nie deklaracja, że „mamy kontrolę”.

Jak punkty kontroli składają się w system

Te cztery punkty nie są osobnymi dodatkami. Spina je orkiestracja agentów — mechanizm, który decyduje, który agent dostaje które zadanie i przez które punkty kontroli musi przejść jego wynik. Ścieżka jednego żądania wygląda tak:

1. Wejście przechodzi przez guardrails — żądania spoza zakresu są odrzucane i zapisywane.
2. Agent sięga po dane i narzędzia przez MCP, z uprawnieniami sprawdzanymi przy każdym wywołaniu.
3. Wyjście przechodzi przez guardrails — odpowiedź jest sprawdzana, zanim ruszy dalej.
4. Decyzja o skutku trafia do człowieka w pętli, jeśli skutek jest nieodwracalny albo wrażliwy.
5. Każdy krok dopisuje wpis do śladu audytowego.

Zasada operatora: jeśli któregoś z tych kroków nie da się pokazać jako zapisu, w audycie on nie istnieje. Projektujcie pod to, co da się udowodnić, nie pod to, co da się opowiedzieć.

Co to daje w zakupach

Dział zakupów nie kupuje modelu. Kupuje pewność, że system da się kontrolować, ograniczać i prześledzić. Architektura z nazwanymi punktami kontroli odpowiada na to wprost: oto miejsce, w którym człowiek zatwierdza skutki; oto reguły, które blokują nadużycia; oto brama, przez którą idzie cały dostęp do danych; oto zapis, który pozwala odtworzyć każdą decyzję.

To jest architektura, która przechodzi audyt — nie dlatego, że jest skomplikowana, lecz dlatego, że każdy punkt kontroli zostawia dowód. Model można wymienić bez naruszania żadnego z tych punktów. To one, a nie model, decydują, czy system wejdzie na produkcję w regulowanym środowisku.