Написание политики

Существует два способа написать политику: позволить Failproof AI создать её на основе результатов аудита или написать исходный код самостоятельно. Ничего не публикуется и не развёртывается, пока вы этого не выберете.

Написание политики на основе аудита

Аудит выявляет отказ; политика предотвращает его повторение. Failproof AI создаёт проект политики на основе доказательств из найденных результатов.

1. Запустите аудит

Запустите аудит над сеансами, в которых происходит отказ. Каждый результат содержит свидетельствующие сеансы, основную причину и рекомендуемый путь предотвращения. Работайте с результатом, который имеет повторяющийся паттерн действий — политика может предотвратить только то, что она может распознать в событии хука.

2. Создайте проект

Панель управления
CLI

Откройте проблему результата в разделе Analyze → issues и проверьте цитируемые сеансы, основную причину и рекомендацию.
Выберите generate policy. Failproof AI сначала указывает, может ли политика вообще выразить проблему. Результат no policy означает, что решением является оповещение, изменение рабочего процесса или действие человека — не политика.
Выберите write this policy. Название проблемы, результат, основная причина, рекомендация и предлагаемое намерение принуждения становятся проектом в Admin → policy editor. Используйте open the editor anyway, если вы не согласны с проверкой кандидатуры.

Прочитайте доказательства, затем создайте проект с помощью ассистента. compose выводит исходный код для проверки и ничего не публикует:

fp issues show <issue-id>
fp audits finding <finding-id>
fp policies compose "Block git push --force on release branches"

compose требует аутентифицированного сеанса (fp login), роль которого имеет policies:write; он отклоняет API-ключи.

3. Проверьте проект

Проект — это отправная точка, не вердикт. Перед публикацией убедитесь, что он:

Называет режим отказа на операционном языке.
Соответствует только событиям хука и инструментам, которые содержат достаточно доказательств для принятия решения.
Использует наиболее узкое условие, которое ловит небезопасное действие.
Возвращает причину, которая подсказывает агенту, что делать вместо этого.
Использует instruct, где агент может безопасно скорректировать курс, и deny только там, где разрешение действия неприемлемо или необратимо.

Проверьте исходный код в редакторе и исправьте все ошибки.

4. Протестируйте и опубликуйте

Запустите backtest под исходным кодом перед публикацией: он переиграет проект против вызовов, которые уже сделал ваш парк, и подсчитает рабочие вызовы, которые он прервал бы. Тестирование политики охватывает это и другие проверки. Когда это работает, введите идентификацию политики и выберите publish version. Публикация создаёт неизменяемую версию и ничего не развёртывает: она остаётся неиспользованной, пока вы её не развернёте. Из терминала:

fp policies publish checkout-guard ./checkout.policy.mjs --description "Block force-push"

publish проверяет исходный код перед отправкой, поэтому ошибка синтаксиса проявляется здесь, а не на машине во время выполнения.

Напишите сами

Политика — это JavaScript или TypeScript для API failproofai:

import { customPolicies, allow, deny } from "failproofai";

customPolicies.add({
  name: "protect-production-paths",
  description: "Block writes to production configuration",
  match: { events: ["PreToolUse"] },
  fn: async (ctx) => {
    if (ctx.toolName !== "Write" && ctx.toolName !== "Edit") return allow();
    const path = String(ctx.toolInput?.file_path ?? "").replaceAll("\\", "/");
    if (path.split("/").includes("production")) {
      return deny("Writes to production configuration require approval.");
    }
    return allow();
  },
});

Это соответствует production/config.yml, /srv/production/config.yml, /srv/production и C:\\production\\config.yml для обоих Write и Edit, но не production-backup: production должен быть целым сегментом пути. Контекст также содержит тип события, нормализованный payload, метаданные сеанса, параметры и исходный CLI, если доступен — см. policy SDK. Чтобы опубликовать его как версию, вставьте исходный код в compose в Admin → policy editor и следуйте шагам 3 и 4 выше, или опубликуйте файл из терминала с помощью fp policies publish. Чтобы запустить его на машине без облака, сохраните его под .failproofai/policies/ с именем, заканчивающимся на policies.js, policies.mjs или policies.ts — они автоматически загружаются на уровне проекта и пользователя — или установите по пути:

failproofai policies --install --custom ./security.policies.ts --scope project

Дайте каждой политике имя, которое уникально во всех соглашениях, пользовательских, пакетных и управляемых облаком политиках.

Prevent repeat failures

Get a policy

Ship a policy

Написание политики