Agente de IA para armazém no Jmix ganha permissão de escrita: segurança e auditoria

Os desenvolvedores da plataforma Jmix publicaram a segunda parte do artigo sobre um agente de IA para armazém baseado em Spring AI. Desta vez, o agente recebeu permissão para alterar dados, e não apenas lê-los, e a equipe discutiu questões de segurança, auditoria e trabalho com o modelo de negócio, informa o Habr.

O que foi feito na primeira parte

Na primeira parte, a equipe montou um agente read-only dentro de uma aplicação Jmix. O usuário faz uma pergunta em linguagem natural, e o ChatClient do Spring AI executa o agent loop: ele chama métodos @Tool até reunir dados suficientes para responder.

• O agente read-only da primeira parte responde às perguntas do usuário em linguagem natural
• Cada tool lê os dados por meio do DataManager com um fetch plan explícito
• Essa abordagem permanece quase totalmente dentro do sistema de segurança do Jmix e devolve ao modelo apenas os campos necessários
• A UI do agente é uma view comum do Jmix, sem camada REST intermediária
• Os autores destacam: um modelo sem native tool calling confiável quebra todo o esquema de funcionamento do agente

Que questões surgiram na transição para a escrita

Quando o agente ganhou permissão para alterar dados, e não apenas lê-los, surgiram questões que normalmente não são abordadas nem pela documentação do Spring AI nem pela maioria dos tutoriais sobre agentes. Com qual usuário o tool chamado pelo modelo é de fato executado? Como lidar com transações se o modelo chama vários tools em sequência? Como auditar ações iniciadas pela IA, e não diretamente por uma pessoa? E como fazer o agente trabalhar com o modelo de domínio da aplicação sem listar manualmente todas as entidades no system prompt?

Segundo os autores, longe de serem ajustes cosméticos, são justamente essas decisões que separam um protótipo de demonstração de uma aplicação que pode ser mostrada ao cliente — ou seja, de um sistema pronto para operação real no armazém.

O que isso significa

A passagem de um agente read-only para um agente com escrita mostra que a parte mais difícil de construir agentes de IA para aplicações de negócio não está na chamada de ferramentas pelo modelo, e sim nas questões de identidade, integridade transacional e auditoria. Sem resolvê-las, dar ao modelo permissão para alterar dados simplesmente não é seguro.

Perguntas frequentes

O que o agente de IA da primeira parte do artigo sabia fazer?

Ele era read-only: respondia às perguntas do usuário sobre o armazém em linguagem natural, chamando métodos @Tool pelo ChatClient do Spring AI e permanecendo dentro do sistema de segurança do Jmix.

Quais questões a segunda parte do artigo aborda?

Com qual usuário o tool é executado, como lidar com transações em uma cadeia de chamadas, como auditar ações iniciadas pelo modelo e como trabalhar com o modelo de domínio sem listar manualmente as entidades no prompt.