Líder de DevOps apresenta nib: agente divide implantações na AWS em etapas, verificações e planos de reversão

“Implante um novo serviço web na AWS e configure os jobs de implantação.” Uma linha no gerenciador de tarefas. Por trás dela estão rede, contêineres, banco de dados, segredos, CDN, dois workflows e dezenas de pequenas ações que o engenheiro guarda na cabeça. Enquanto ninguém interrompe, funciona. Mas, depois de uma reunião, você já não lembra se fechou a porta do banco de dados, e a única resposta honesta para “quanto tempo vai levar?” é “um dia ou dois”.

O autor da análise lidera uma equipe de DevOps em um estúdio de jogos e tem 15 anos de experiência. Ele formalizou seu método de planejamento e o entregou a um agente chamado nib (Neuro Infrastructure Builder).

Como um engenheiro experiente planeja

Primeiro vem o contexto: qual é o projeto, como a infraestrutura atual está organizada e o que se sabe sobre os produtos envolvidos na tarefa. Depois, a tarefa é dividida em grandes etapas: código de infraestrutura, workflows de build e implantação, criação de recursos, implantação e verificação. Mais importantes que a própria lista são as dependências entre as etapas, que determinam o que pode ser feito em paralelo.

Cada etapa é decomposta em ações elementares: editar um arquivo, executar um comando, fazer uma chamada de API. Toda ação precisa de uma verificação e de um procedimento de reversão. Por exemplo, depois de terraform plan, o diff não deve conter nenhuma operação destroy e, após apply, o RDS deve estar com o status available. A coluna “Reversão” costuma ficar vazia. O autor pergunta: quando foi a última vez que você escreveu um plano de reversão antes de precisar dele?

O processo falha em três pontos. Algumas tarefas são esquecidas nas mudanças de contexto: certa vez, o autor moveu buckets de assets entre nuvens e esqueceu o CORS. As verificações são cortadas quando o prazo aperta, porque ignorá-las não causa uma falha imediata. E falta uma estimativa do volume de trabalho: enquanto a tarefa não estiver decomposta, “um dia ou dois” é uma impressão, não uma estimativa.

O que o nib faz

A ferramenta funciona em três modos. Decompose faz perguntas de esclarecimento e identifica as etapas e suas dependências. Plan inicia um agente para cada etapa; eles detalham as ações e verificações em paralelo, enquanto um agente separado elabora o plano de reversão. Execute realiza uma ação por meio das ferramentas conectadas ou fornece instruções detalhadas ao operador.

Uma base de conhecimento fornece o contexto que o engenheiro normalmente carrega: descrição da empresa, VCS, CI/CD, topologia de rede e convenções de nomenclatura. Depois de concluir o plano, o nib escreve um relatório e atualiza a base, para que a próxima tarefa comece com o que o agente aprendeu na anterior.

A instalação é local: git clone, make setup, Docker e uma chave de qualquer provedor compatível com OpenAI. As ferramentas se conectam via MCP com transporte HTTP: GitHub, API da AWS e SearXNG para pesquisar documentação. O servidor da AWS expõe apenas duas ferramentas — uma para chamar a CLI e um assistente de comandos —, enquanto o GitHub oferece cerca de duas dúzias. Para evitar que o contexto cresça demais, o nib seleciona apenas as categorias de ferramentas necessárias durante a decomposição.

Onde é fácil se complicar

As configurações de segurança do exemplo são permissivas. READ_OPERATIONS_ONLY: false permite alterações, enquanto REQUIRE_MUTATION_CONSENT: false remove a confirmação no lado do servidor MCP. O botão Execute do próprio nib continua sendo a etapa de confirmação. AUTH_TYPE: no-auth só é aceitável porque a porta não está exposta externamente e o serviço é visível apenas dentro da rede do Docker.

Os segredos ficam em dois lugares. O contêiner aws-mcp precisa das chaves da AWS, por isso elas ficam em .env. O token do GitHub é enviado em um cabeçalho do nib para o servidor MCP e armazenado nos segredos do nib com uma lista de hosts permitidos. O GitHub exige um token clássico com os escopos repo e workflow; sem o segundo, o agente não consegue fazer commits de arquivos em .github/workflows.

A conclusão prática

O principal valor está na disciplina: uma ação, uma verificação e um procedimento de reversão em cada passo. Mesmo sem o nib, vale preparar essa tabela antes de começar, e uma estimativa baseada no número de ações é mais honesta do que “um dia ou dois”. Se for testar a ferramenta, use uma conta separada da AWS para testes e dê ao agente apenas as permissões necessárias. Esta parte cobre somente a base de conhecimento; o autor promete abordar regras e habilidades no próximo artigo.