DevSecOps Digest
Щоденний DevSecOps дайджест

AI-апдейт: agentic execution, verification debt і знання в legacy-коді

ai · 2026-07-15

Що мало значення

  • Agentic AI переходить у фазу execution controls. Devenex запустив Execution Control Plane: шар між наміром агента й реальною дією, де кожна дія має policy check, authorization, identity binding і audit evidence (PRNewswire). Це сильніший кут, ніж “ще один agent platform”: питання вже не в генерації, а в праві агента виконувати дію.
  • OpenAI змістила фокус із token price на outcome ROI. У матеріалі про AI investments компанія радить рахувати cost per accepted outcome: спроби, tool usage, latency, completion rate і human review, а не лише ціну токенів (OpenAI). Для enterprise це здоровіший KPI.
  • ChatGPT Work робить desktop/app execution масовішим. Продукт збирає контекст із team tools, файлів і desktop apps, щоб робити documents, spreadsheets і slides під контролем користувача (OpenAI ChatGPT Work). Ризик: офісний агент стає privileged UI до корпоративних даних.
  • ADLC стає окремою security-моделлю. На Agentic Development Security Summit акцент був на Agentic Development Life Cycle: агенти вже генерують, ревʼюють і виконують код, а команди накопичують verification debt через швидкість змін (Cycode).
  • Legacy-code knowledge layer — нова практична категорія. Concho AI позиціонує semantic fact layer для великих старих codebase: архітектура, business behavior, sourced evidence і MCP-доступ для агентів (SiliconANGLE). Це корисніше за сліпе “дати агенту весь repo”.
  • AI для вчителів стає ecosystem play. Claude for Teachers дає verified K-12 teachers доступ до Claude, стандартів Learning Commons і навчальних інтеграцій на кшталт ASSISTments, Canva Education, Eedi й MagicSchool (Anthropic). Головний сигнал: освітній AI рухається до task-specific workflows, не generic chatbot.

На що звернути увагу

  • Execution без policy gate — це прихований privilege escalation. Якщо агент може змінити CRM, finance, repo або desktop files, “користувач попросив” не є достатнім контролем.
  • Verification debt стане bottleneck. Coding-agent throughput росте швидше, ніж здатність людей читати diffs; потрібні автоматичні checks, ownership і review budgets.
  • Outcome ROI важливіший за model leaderboard. Дешева модель із retry loops і ручним виправленням може бути дорожчою за сильнішу модель із нижчим failure rate.
  • Codebase context має бути evidence-backed. Для legacy систем агенту потрібен не просто RAG, а source-linked architecture facts, dependency map і business semantics.
  • Education AI потребує boundaries. Для дітей і шкіл критичні provenance, curriculum alignment, privacy, teacher control і заборона “автопілота” над оцінюванням.

Практичні best practices

  • Для agent actions вводьте intent → policy → approval → execution → evidence як стандартний контракт.
  • Рахуйте AI-витрати як cost per accepted outcome: успішна задача, кількість спроб, tool calls, latency, review time, rollback/fix cost.
  • Для coding agents блокуйте merge без незалежних gates: tests, static checks, dependency diff, secret scan, architecture-impact note.
  • Для desktop/office agents розділяйте draft і act: створити документ можна автоматично, надіслати, змінити record або перемістити файл — тільки через confirm.
  • Перед RAG по legacy-code зробіть fact extraction: owners, services, APIs, data flows, invariants, dangerous modules, known dead code.
  • Для освітніх workflows тримайте teacher-in-the-loop: AI готує матеріал, учитель затверджує; student data мінімізується й не йде в broad context.

Ідеї для ефективного використання

  • Побудувати agent action ledger: короткий журнал усіх дій агентів із intent, approver, target system, diff і rollback.
  • Завести AI ROI dashboard: не token spend, а accepted outcomes, retries, human-review minutes і prevented manual work.
  • Використати OpenClaw як verification router: агент пише код, але OpenClaw запускає checks і повертає тільки actionable failures.
  • Для legacy repo створити architecture factbook: sourced Markdown-сторінки з реальними flows, а не згенеровану документацію без доказів.
  • Для навчального контенту зробити teacher pack generator: план, вправи, критерії перевірки, але з явним human approval перед публікацією.

10 практичних OpenClaw use-cases

  1. Action escrow для агентів — OpenClaw приймає agent intent, показує короткий risk card і виконує дію лише після policy/approval match.
  2. Accepted-outcome ledger — для кожного AI workflow фіксуються результат, кількість спроб, tool calls, час ревʼю й причина відхилення.
  3. Desktop-safe mode — агент може створювати файли в staging-папці, але не переміщує, не надсилає й не перезаписує без явного approve.
  4. Verification debt counter — OpenClaw рахує співвідношення AI-generated diff до реально переглянутих рядків, тестів і owners.
  5. Legacy fact extractor — нічний job проходить старий repo й оновлює Markdown-карту сервісів, API, data flows і небезпечних зон.
  6. Evidence-backed RAG — відповідь про код приймається лише якщо містить посилання на файл, рядок, commit або зафіксований architecture note.
  7. Agent spend governor — перед довгим run OpenClaw ставить budget: max model calls, max wall time, max retries, stop condition.
  8. Teacher approval queue — AI генерує вправи або урок, але OpenClaw публікує тільки після короткої перевірки людиною.
  9. Business-semantics index — OpenClaw зберігає не тільки “де функція”, а “яке бізнес-правило вона реалізує” з доказом у коді.
  10. Outcome-based model switcher — модель змінюється не за benchmark, а за локальною статистикою: acceptance rate, latency, review cost і failure class.