Report-only

Um agente que já está em uso faz chamadas que ninguém anotou. Se ele entra no Xokepoint com uma política escrita de memória, a primeira tool esquecida, ou a primeira regra estrita demais, interrompe uma pessoa no meio do trabalho. No Report-only, o Xokepoint avalia a política como sempre e registra cada chamada negada como Would deny, sem bloqueio. Você lê essas chamadas, corrige grants e regras, e muda o agente para Enforce quando não sobrar nada inesperado.

O Report-only faz parte dos planos Startup e Pro.

No vídeo: o banner de Report-only de Production, View report, uma chamada would deny do issues-manager no inspetor e o histórico de revisões dele, com a troca de modo.

O que o Report-only muda e o que mantémCopiar link da seção

O Report-only muda uma coisa só: um deny da política do próprio agente não bloqueia. Isso vale para uma tool sem grant, um valor fora dos allowed values do agente e uma regra de chamada falsa, incluindo os limites de uma instância do agente e uma regra sobre o binding do token. A chamada chega ao MCP server, quem chamou recebe o resultado normal e nenhum código de referência, e o registro guarda a chamada como Would deny, com o motivo e o caminho.

Tudo o que prova quem está chamando continua valendo nos dois modos:

• um token válido do Xokepoint e uma identity connection ativa;
• uma tool revisada e uma chamada de acordo com o schema dela;
• o kill switch e o agente excluído;
• a delegação: sem delegação não há token, então a chamada nem começa;
• todo erro de avaliação, como um OpenFGA ou uma fonte de atributos que não responde.

A lista de tools é igual nos dois modos: o agente vê só as tools em que tem grant. Por isso, uma tool que a política esqueceu não aparece como Would deny, já que o agente nunca a vê nem a chama. Só um cliente que chama a tool assim mesmo, por exemplo a partir da própria configuração, executa a chamada e gera um Would deny. O Report-only revela os recursos que ficaram de fora e as regras que negam demais; uma tool esquecida só aparece quando você compara as tools do agente com o trabalho que ele faz.

O modo pertence ao agente, não ao documento de permissões. Trocar o modo não publica nada e vale na próxima chamada, também para um token que ainda está válido.

Passar um agente para Report-onlyCopiar link da seção

Report-only, no cabeçalho do agente, abre o diálogo. Ele repete o que continua valendo e, em Production, avisa que a política não protege o agente até ele voltar para Enforce.

Dois campos são opcionais. Review by marca o dia em que você quer olhar o modo de novo. Why this change? é a nota que o histórico de revisões guarda com o seu nome.

O agente em Report-onlyCopiar link da seção

O agente mostra o chip Report-only na lista e no cabeçalho, e um aviso abaixo do cabeçalho: desde quando e por quem, a data de revisão e quantas chamadas teriam sido negadas nas últimas 24 horas. View would-deny calls abre essas chamadas no Investigate; History abre o histórico de revisões na troca de modo.

A data de revisãoCopiar link da seção

A data de revisão só lembra. Quando ela passa, o agente mostra Review overdue e o Inbox abre um Review due; o agente segue em Report-only até alguém trocar o modo. Change date marca outro dia ou remove a data. Uma data nova, ou a volta para Enforce, resolve o lembrete da anterior.

O bannerCopiar link da seção

Enquanto um ambiente tiver um agente em Report-only, toda tela do Admin mostra um banner com a contagem de chamadas would deny das últimas 24 horas. Em Production ele tem uma borda escura, para ninguém esquecer que ali uma política não bloqueia. View report abre as chamadas would deny no Investigate. O botão de fechar esconde o banner nesta sessão do navegador; ele volta no próximo login. Quando nenhuma chamada teria sido negada por 7 dias, o banner fica verde e aponta os agentes prontos para Enforce.

Onde aparecem as chamadas would denyCopiar link da seção

• O Investigate filtra essas chamadas com Would deny, e o inspetor mostra o passo da política que teria parado cada uma.
• O Inbox abre um Would deny para cada agente, tool e motivo numa hora fechada.
• O Overview conta essas chamadas nas chamadas do dia e numa métrica de Report-only.

Elas nunca contam como negação: Denied today, os problemas do Investigate e os itens Requests denied guardam só as chamadas bloqueadas.

Aplicar a políticaCopiar link da seção

Enforce access, no cabeçalho de um agente em Report-only, abre um diálogo com a contagem de would deny das últimas 24 horas. Depois da troca, essas mesmas chamadas falham com um erro de acesso negado e um código de referência. Cada troca, nos dois sentidos, é um evento no histórico de revisões.