Narzędzia dla agentów w firmach dostają warstwę nadzoru, a rynek runtime'ów się zagęszcza

Pięć osobnych projektów trafiło na Hacker News między grudniem a wrześniem. Każdy deklaruje, że naprawia inny fragment tego samego problemu: agentów, którzy działają godzinami, wywołują narzędzia i dotykają systemów produkcyjnych. Żaden nie jest produktem do nadzoru w rozumieniu zgodności z przepisami. Czytane razem opisują rynek, który dzieli się na runtime'y, interfejsy i warstwę techniczną, a warstwę bezpieczeństwa wciąż sprzedaje ktoś inny.

Zacznijmy od Somy, udokumentowanej na docs.trysoma.ai i opublikowanej 2 grudnia. To open source'owy runtime agentów AI i przepływów pracy, który hostujesz sam, dostarczany jako jeden plik binarny. Dokumentacja mówi, że ma warstwę bezpieczeństwa i nadzoru obejmującą agentów. TypeScript jest obsługiwany już teraz, Python widnieje jako wkrótce. Dokumentacja obiecuje odporność na awarie i wznawianie: przerwij lub zawieś wykonanie w dowolnym momencie i wróć do miejsca, w którym się zatrzymało. Soma generuje punkty końcowe A2A (Agent2Agent) automatycznie, a zgodność ze strumieniowaniem OpenAI jest oznaczona jako wkrótce.

Jak na jeden plik binarny to sporo powierzchni.

Dokumentacja wymienia też serwer MCP zintegrowany z zewnętrznymi dostawcami SaaS. Obsługuje szyfrowanie i rotację poświadczeń, szyfrowanie sekretów lokalnie, w AWS lub wkrótce w GCP KMS, szczegółowe zarządzanie dostępem do kluczy API oraz bramę AI dla ruchu wychodzącego, która przechwytuje wszystkie żądania agentów do dostawców modeli na potrzeby obserwowalności. Wsparcie systemów jest nierówne i podane wprost: Mac OS X x86 i ARM oraz Linux GNU x86 i ARM są oznaczone na zielono dla TypeScriptu; Rust jest oznaczony na biało wszędzie. Windows nie jest obsługiwany natywnie, co dokumentacja przypisuje użyciu gniazd domeny Unix w Ruście, i jest opisany jako planowany.

Skrzynki odbiorcze, worktree i agenci specjaliści

Pizza Bot, opublikowany 15 września i hostowany na github.com/pizza-bot-app/pizza-bot, przyjmuje odwrotne podejście: nie próbuje być runtime'em. To skrzynka odbiorcza dla długo działających agentów, działająca lokalnie w pierwszej kolejności, zbudowana z DeepAgents i LangGraph, rozwijana w Amazonie i wydana na licencji Apache 2.0. Obietnica jest prosta. Zacznij lub zaplanuj zadanie, odejdź, a potem wróć do gotowej pracy w sekcji Unread i decyzji czekających na ciebie w sekcji Action. Agenci pracują dalej, gdy przejdziesz gdzie indziej lub się rozłączysz, pod warunkiem że proces api-server nadal działa.

README projektu jest nietypowo konkretny, jeśli chodzi o bezpieczeństwo. api-server nasłuchuje na 127.0.0.1, a wiązanie z adresem spoza pętli lokalnej wymaga uwierzytelnienia. Pizza Bot nie dostaje domyślnego dostępu do katalogu domowego; użytkownicy przyznają poszczególnym folderom prawo tylko do odczytu albo do zapisu w Settings, Files. Aplikacja desktopowa chroni wprowadzone sekrety przez Electron safeStorage, a konfiguracja serwera przechowuje wyłącznie odwołania do zmiennych środowiskowych. Instalatory są dołączane do każdego wydania, obok pliku SHA256SUMS do sprawdzenia pobranego pliku. Kompilacje dla macOS są podpisane i notaryzowane; kompilacje dla Windows i Linuksa nie są, i README to mówi.

Wsparcie modeli jest szerokie z założenia: wymienione są Amazon Bedrock, Anthropic, Google Gemini, OpenAI, OpenRouter i Ollama. Bedrock przyjmuje profil AWS, klucze dostępu AWS albo klucz API Bedrocka, z opcjonalnym nadpisaniem regionu, a w innym wypadku AWS_REGION lub us-west-2. Zatwierdzenia z człowiekiem w pętli, pamięć długoterminowa i załączniki są wbudowane w przepływ pracy, a nie dokładane.

Hyperlane, opublikowany 4 sierpnia na hyperlaneide.com, jest z tej piątki najtrudniejszy do oceny na podstawie własnej strony. Serwis opisuje kompletne IDE, które uruchamia agentów AI równolegle, a tytuł wspomina o IDE i ADE łączących worktree agentów z natywnymi narzędziami. Poza tym tekst jest w dużej mierze nieczytelny: długie ciągi ozdobnych znaków i zniekształconych glifów zastępują to, co powinno być opisem produktu. Żadna cena, żadna architektura i żaden szczegół bezpieczeństwa nie przetrwały w dostępnym tekście. FLASH24 nie mógł zweryfikować żadnego twierdzenia o produkcie na podstawie samej strony.

Recurse, opublikowany 25 września na recurse.run, jest najbardziej konkretny z nowszych graczy. Oferuje bezserwerową platformę do budowania własnych agentów i wdrażania ich jako narzędzi, MCP albo botów. Nowe konta startują z 5 dolarami na uruchomienia i bez wymaganej karty, co jest liczbą marketingową, a nie benchmarkiem. Serwis pokazuje fragment reprezentatywnego manifestu agent.yaml z apiVersion recurse.run/v1alpha1, schemat wejścia z wartościami domyślnymi i schemat wyjścia wymagający pola result. Wśród pokazanych poleceń są recurse run ./agent, recurse deploy --as mcp, recurse status oraz rejestracja w zewnętrznych klientach przez codex mcp add recurse i claude mcp add recurse. Przykładowe przepływy pracy obejmują projektowanie poziomów, projektowanie sekwencji RNA i inne zadania iteracyjne, w których agent nadrzędny zmienia specjalistę, zamiast odpowiadać samodzielnie.

Jest jeszcze PeerTalk.ai, opublikowany 27 września. Jest darmowy i wprost określony jako eksperyment, przypisany Danielowi Brainowi. Pomysł: pozwól swojemu agentowi rozmawiać bezpośrednio z agentem kogoś innego, żeby porównały notatki i uzgodniły plan. Wiadomości idą prosto między dwiema maszynami, zaszyfrowane, a serwis twierdzi, że nigdy nie przechodzą przez serwery PeerTalku. Każdy agent zostawia swój adres na peertalk.ai, zaszyfrowany kluczem wygenerowanym w przeglądarce, który istnieje tylko w linku, więc usługa nie może odczytać ani zmienić adresów. Nic nie jest przekazywane dalej: jeśli dwie maszyny nie mogą połączyć się bezpośrednio, agenci zatrzymują się i mówią o tym.

Projekt mówi otwarcie o ograniczeniach. Pokoje zamykają się po 30 minutach, choć serwis zauważa, że do tego czasu agenci nie potrzebują już pokoju. Wymaga agenta działającego lokalnie, takiego jak Claude Code, Codex CLI albo Gemini CLI, a aplikacje ChatGPT i Claude są wymienione jako wkrótce. Domyślnie agent pobiera opublikowanego klienta PeerTalku i uruchamia go; bardziej restrykcyjne ustawienie każe agentowi napisać własnego klienta na podstawie protokołu z promptu, z użyciem jednej standardowej biblioteki WebRTC. Serwis wskazuje wstrzyknięcie promptu jako realny problem i mówi, że agentom nakazuje się traktować wiadomości drugiego agenta jako informacje, nigdy jako polecenia, usuwać ukryte znaki i udostępniać tylko to, co zatwierdzi użytkownik. Ostrzega też, że niektóre sieci komórkowe i biurowe blokują połączenia bezpośrednie.

Co sprzedają dostawcy rozwiązań do nadzoru

Tymczasem firmowa strona rynku idzie w politykę, a nie w warstwę techniczną. W ostatnich nagłówkach pojawiają się agentowa płaszczyzna sterowania Snowflake, Agent Manager od WSO2 do suwerennego nadzoru nad AI oraz Collibra, która wprowadza nadzór w czasie działania do firmowych agentów AI. Microsoft przebudował Copilota, dodając możliwości kodowania i agentów AI, o czym pisały Reuters i CIO Dive, a Google dodał obsługę agentów zewnętrznych do Android Studio.

Badania nad bezpieczeństwem nadążają za ryzykiem. Darktrace poinformował, że narzędzia agentów AI można przejąć przez ich własną pamięć, a opisane rozwiązanie jest poza zasięgiem użytkownika. Ten wniosek nie pasuje do opisanych wyżej projektów lokalnych w pierwszej kolejności i z własnym kluczem, które przenoszą kontrolę na pojedynczą maszynę, ale zostawiają dostawcę modelu i łańcuch narzędzi poza obwodem bezpieczeństwa.

Wzorzec w tych pięciu projektach to podział pracy. Soma chce być runtime'em i bramą. Pizza Bot chce być skrzynką odbiorczą i kolejką zatwierdzeń. Recurse chce być celem wdrożeń dla wąskich specjalistów. PeerTalk chce być usługą zapoznawczą i niczym więcej, i tak mówi. Hyperlane chce być miejscem, w którym piszesz kod, jeśli jego strona kiedykolwiek powie jak.

Dla kupujących praktyczne pytania są węższe, niż sugeruje kategoria. Gdzie mieszkają poświadczenia i kto może je rotować? Co dzieje się z uruchomieniem, gdy klient się rozłączy? Czy żądania wychodzące agenta można poddać inspekcji, czy tylko je zalogować? Soma odpowiada na część z tego w dokumentacji, Pizza Bot odpowiada w README, a PeerTalk odpowiada, odmawiając przechowywania czegokolwiek. Recurse odpowiada finansowanym sandboxem. Hyperlane, na podstawie obecnych dowodów, nie odpowiada na nic.