c5.5 Exija aprovação humana para ações de alta consequência

Limite a autonomia no ponto de consequência

Um agente que pode agir por conta própria é conveniente — até que ele exclua dados de produção, movimente dinheiro ou envie e-mails a clientes porque uma injeção de prompt mandou. A solução não é remover a autonomia em todo lugar, mas inserir um ponto de verificação com humano no ciclo (human-in-the-loop) diante das operações específicas que são sensíveis, mutativas ou destrutivas. Todo o resto permanece autônomo; as ações de alta consequência pausam para uma aprovação humana explícita.

Modele a aprovação como um fluxo que pausa

O padrão de callback do AWS Step Functions (waitForTaskToken) é uma forma limpa de implementá-lo: o fluxo chega ao passo sensível, emite um token de tarefa a um humano (e-mail, Slack, um ticket) e pausa — por até um ano — até que alguém aprove ou rejeite:

{
  "ApproveHighRiskAction": {
    "Type": "Task",
    "Resource": "arn:aws:states:::lambda:invoke.waitForTaskToken",
    "Parameters": {
      "FunctionName": "notify-approver",
      "Payload": {
        "action.$": "$.proposedAction",
        "taskToken.$": "$$.Task.Token"
      }
    },
    "Next": "ExecuteAction",
    "TimeoutSeconds": 86400
  }
}

A decisão do aprovador retoma o fluxo:

# Aprovar
aws stepfunctions send-task-success \
  --task-token "<token>" --task-output '{"approved":true}'

# Rejeitar
aws stepfunctions send-task-failure \
  --task-token "<token>" --error "Rejected" --cause "Not authorized by reviewer"

Decida o que precisa de um humano

Encaminhe pelo ponto de verificação apenas as ações de alta consequência: exclusões, transações financeiras, mudanças de permissões, comunicações externas, qualquer coisa irreversível. Deixe o agente classificar uma chamada de ferramenta proposta e ramificar: as ações de baixo risco são executadas diretamente; as de alto risco entram no estado de aprovação. Mantenha a classificação no lado do servidor, não algo que o modelo possa contornar com palavras.

Falhe fechado e registre a decisão

Se a aprovação expirar, o fluxo deve falhar fechado (não executar), não prosseguir. Registre quem aprovou ou rejeitou, quando e a ação exata — isso é ao mesmo tempo sua trilha de auditoria e sua evidência de que a autonomia permaneceu limitada.

Nota de nomenclatura: defina TimeoutSeconds para uma janela adequada às suas operações; ao expirar, a ação não é executada. Envie ao aprovador contexto suficiente (a operação exata e seus parâmetros) para decidir com segurança.