ポリシーを作成する

ポリシーを作成する方法は2つあります。Failproof AI に監査の発見からポリシーの下書きを作成させるか、自分でソースを記述するかです。いずれの場合も、明示的に選択するまで公開・デプロイは行われません。

監査からポリシーを作成する

監査は失敗を検出し、ポリシーはその再発を防ぎます。Failproof AI は発見の証拠をもとにポリシーの下書きを作成します。

1. 監査を実行する

失敗が発生しているセッションに対して監査を実行します。各発見には証拠となるセッション、根本原因、推奨される予防策が含まれています。繰り返し可能なアクションパターンを持つ発見をもとに作業してください。ポリシーはフックイベントで認識できるものしか防ぐことができません。

2. 下書きを生成する

Dashboard
CLI

Analyze → issues で発見の Issue を開き、引用されているセッション、根本原因、推奨事項を確認します。
generate policy を選択します。Failproof AI はまず、問題をポリシーで表現できるかどうかを判断します。no policy という結果が返った場合、修正策はアラート、ワークフローの変更、または人的対応であり、ポリシーではありません。
write this policy を選択します。Issue のタイトル、発見内容、根本原因、推奨事項、提案された強制意図が Admin → policy editor の下書きになります。候補チェックの結果に同意しない場合は open the editor anyway を使用してください。

証拠を確認してから、アシスタントで下書きを作成します。compose はレビュー用のソースを出力するだけで、何も公開しません。

fp issues show <issue-id>
fp audits finding <finding-id>
fp policies compose "Block git push --force on release branches"

compose を使用するには、policies:write ロールを持つセッションでサインインしている必要があります（fp login）。API キーは使用できません。

3. 下書きをレビューする

下書きはあくまで出発点であり、最終的な判断ではありません。公開前に以下を確認してください。

運用上の言葉で失敗モードが明確に示されていること。
判断に十分な証拠を持つフックイベントとツールのみに一致すること。
安全でないアクションを捉える最も狭い条件を使用していること。
エージェントが次に何をすべきかを伝える理由を返すこと。
エージェントが安全に修正できる場合は instruct を使用し、アクションの許可が受け入れられないか取り消せない場合にのみ deny を使用していること。

エディタでソースを検証し、報告されたすべてのエラーを修正してください。

4. テストしてから公開する

公開前にソースの下の backtest を実行してください。これにより、フリートがすでに実行した呼び出しに対して下書きを再生し、中断されたであろう有効な呼び出しをカウントします。ポリシーのテストでは、この確認とその他のチェックについて説明しています。動作が確認できたら、ポリシーの識別情報を入力して publish version を選択します。公開すると不変のバージョンが作成されますが、何もデプロイされません。デプロイするまでは未使用のまま待機します。ターミナルから実行する場合:

fp policies publish checkout-guard ./checkout.policy.mjs --description "Block force-push"

publish はソースを送信前に構文チェックを行うため、構文エラーはここで検出され、強制適用時にマシン上で発生することはありません。

自分で記述する

ポリシーは failproofai API に対する JavaScript または TypeScript で記述します。

import { customPolicies, allow, deny } from "failproofai";

customPolicies.add({
  name: "protect-production-paths",
  description: "Block writes to production configuration",
  match: { events: ["PreToolUse"] },
  fn: async (ctx) => {
    if (ctx.toolName !== "Write" && ctx.toolName !== "Edit") return allow();
    const path = String(ctx.toolInput?.file_path ?? "").replaceAll("\\", "/");
    if (path.split("/").includes("production")) {
      return deny("Writes to production configuration require approval.");
    }
    return allow();
  },
});

これは production/config.yml、/srv/production/config.yml、/srv/production、C:\\production\\config.yml に対して Write と Edit の両方でマッチしますが、production-backup にはマッチしません。production はパスセグメント全体である必要があります。コンテキストにはイベントタイプ、正規化されたペイロード、セッションメタデータ、パラメータ、利用可能な場合はソース CLI も含まれます。詳細は policy SDK を参照してください。バージョンとして公開するには、Admin → policy editor の compose にソースを貼り付けて上記の手順3と4に従うか、ターミナルから fp policies publish でファイルを公開してください。 Cloud なしでマシン上で実行するには、名前の末尾が policies.js、policies.mjs、または policies.ts のファイルとして .failproofai/policies/ に保存してください。これらはプロジェクトとユーザースコープで自動的に読み込まれます。パスを指定してインストールすることもできます。

failproofai policies --install --custom ./security.policies.ts --scope project

すべてのポリシーに、コンベンション・カスタム・パック・Cloud 管理ポリシーの全体で一意の名前を付けてください。

Prevent repeat failures

Get a policy

Ship a policy

ポリシーを作成する

監査からポリシーを作成する

1. 監査を実行する

2. 下書きを生成する

3. 下書きをレビューする

4. テストしてから公開する

自分で記述する

​監査からポリシーを作成する

​1. 監査を実行する

​2. 下書きを生成する

​3. 下書きをレビューする

​4. テストしてから公開する

​自分で記述する

監査からポリシーを作成する

1. 監査を実行する

2. 下書きを生成する

3. 下書きをレビューする

4. テストしてから公開する

自分で記述する