Um desktop persistente onde agentes autônomos trabalham: ferramentas, sandbox, privilégio, estado durável e observação de kernel. E um laço que sabe parar — inclusive quando entregou sem ter cumprido o pedido.
Trocar de modelo muda pouco. O que decide se um agente funciona é o que ele consegue tocar e o que ele faz até parar. Este repositório é essas duas camadas, construídas e medidas.
O modelo é o menor dos três. O laço decide o que ele faz até parar; o harness decide o que ele consegue tocar.
as duas camadas
Se dá para corrigir mudando um prompt ou uma condição de parada, é o loop. Se é preciso mudar o que o agente consegue fazer, é harness. Quase todo diagnóstico de agente começa errando esta pergunta.
o que ele consegue tocar
Muda recompilando e reinstalando. É o que o agente é capaz de fazer.
o que ele faz até parar
Muda com uma variável de ambiente. É o que o agente faz com o que tem.
loop engineering
O laço concluía a tarefa quando o modelo parava de chamar ferramentas. Isso mede que ele parou, não que fez o que foi pedido — e a diferença é onde mora o defeito silencioso: a tarefa fica “concluída”, ninguém olha, e o pedido não aconteceu.
A verificação exige evidência citada do histórico: um verificador que pudesse aprovar sem apontar onde aprovaria por inércia.
Cinco motivos descrevem o que o site exige — senha, 2FA, CAPTCHA, pagamento, presença humana. O sexto, guardrail, contém quem foi longe demais: laço, custo, turnos, tempo. O sétimo, unverified, marca quem parou cedo demais. Na tela, a pergunta é diferente em cada caso: num vale decidir se continua, no outro é saber o que ficou faltando.
harness engineering
O mesmo teste da seção anterior decide onde uma capacidade nova entra. A cor de cada linha diz a camada.
O erro comum é uma habilidade que ensina a chamar a API com curl: a credencial passa a viver na linha de comando, ao alcance de quem ela deveria conter.
privilégio
A máquina não publica nada: só a porta 22 no firewall, com tela, navegador e API em loopback. A pergunta de segurança não é quem entra de fora — é o que o modelo alcança pela ferramenta de shell, que é a função do produto e não um defeito.
| Usuário | Quem é | Alcança |
|---|---|---|
agentd | o serviço | o cofre cifrado, /etc/agentd |
agent | as ferramentas do modelo | /workspace, sudo por lista fechada |
root | o operador, por chave que só existe no laptop | tudo |
observação
A primeira sabe a intenção e é cega ao que o sistema fez. A segunda sabe o fato e é cega à intenção. Só juntas respondem “o modelo tentou X e a máquina fez Y”.
execve com caminho completo, toda conexão de saída marcada quando o destino é rede privada.harnessA camada de kernel é a única que o modelo não desliga por dentro — e mesmo ela cai para quem tem sudo. Por isso a prova de que ela está viva mora fora da máquina: ausência de dado é o sinal.
contenção
Teto que só muda recompilando é teto desligado. E há um motivo a mais: o teste de contenção precisa forçá-lo, porque pedir ao modelo que falhe produz um teste que passa e reprova alternadamente — medido, com o mesmo prompt em duas rodadas.
| Variável | Padrão | O que detém |
|---|---|---|
AGENTD_MAX_TURNS | 180 | Turnos acumulados, atravessando retomadas |
AGENTD_MAX_TOOL_FAILURES | 3 | Falhas idênticas seguidas — é o detector de laço |
AGENTD_MAX_COST_USD | 3.00 | Inferência por tarefa, em dólar |
AGENTD_MAX_VERIFY_ATTEMPTS | 2 | Devoluções da lacuna antes de chamar uma pessoa |
AGENTD_MAX_CONCURRENT_TASKS | — | Tarefas simultâneas na máquina inteira |
começar
task checkConfere binários, token, chave e latência — antes de gastarAGENT_OS=nixos task upVolume durável e droplet, sistema declarativo, validação ponta a pontatask deploy && task vaultInstala o agente por SSH de root e provisiona o cofre cifradotask obs:upSobe o backend de observação no laptop, com Nixtask probe:deployCompila os objetos BPF e instala o coletor de kerneltask openAbre a tela ao vivo por túnel — nada fica exposto