ИИ-агент для склада в Джеймикс получил доступ на запись: безопасность и аудит

Разработчики платформы Джеймикс опубликовали вторую часть статьи об ИИ-агенте для склада на базе Spring AI: в этот раз агенту дали право не только читать, но и изменять данные, и разобрали вопросы безопасности, аудита и работы с бизнес-моделью, сообщает Хабр.

Что было в первой части

В первой части команда собрала read-only агента внутри Джеймикс-приложения. Пользователь задаёт вопрос на естественном языке, а ChatClient из Spring AI крутит agent loop — вызывает @Tool-методы, пока не наберёт достаточно данных для ответа.

• Read-only агент из первой части отвечает на вопросы пользователя на естественном языке
• Каждый tool читает данные через DataManager с явным fetch-планом
• Такой подход почти полностью остаётся внутри системы безопасности Джеймикс и возвращает только нужные поля модели
• UI агента — обычная Джеймикс-вьюха, без REST-прослойки
• Авторы отдельно отмечают: модель без надёжного native tool calling ломает всю схему работы агента

Какие вопросы возникли при переходе на запись

Когда агенту дали право менять данные, а не только читать их, всплыли вопросы, которые обычно не поднимают ни документация Spring AI, ни большинство туториалов по агентам. Под каким пользователем на самом деле выполняется вызванный моделью tool? Как обрабатывать транзакции, если модель вызывает несколько tools подряд? Как аудировать действия, инициированные ИИ, а не человеком напрямую? И как заставить агента работать с доменной моделью приложения, не перечисляя вручную все сущности в системном промпте?

По словам авторов, это не косметические доработки, а именно те решения, которые отделяют демо-прототип от приложения, которое можно показать заказчику — то есть от системы, готовой к реальной эксплуатации на складе.

Что это значит

Переход от read-only к write-агенту показывает, что самая сложная часть построения ИИ-агентов для бизнес-приложений — не вызов моделью инструментов, а вопросы идентичности, транзакционной целостности и аудита, без которых давать модели право менять данные попросту небезопасно.

Частые вопросы

Что умел ИИ-агент из первой части статьи?

Он был read-only: отвечал на вопросы пользователя о складе на естественном языке, вызывая @Tool-методы через ChatClient из Spring AI и оставаясь в рамках системы безопасности Джеймикс.

Какие вопросы разбирает вторая часть статьи?

Под каким пользователем выполняется tool, как обрабатывать транзакции при цепочке вызовов, как аудировать действия, инициированные моделью, и как работать с доменной моделью без ручного перечисления сущностей в промпте.