Come è fatto Agent OS

Quattro passi, sempre gli stessi. Invoke: si apre una sessione su un agente e il server gli consegna il contesto già selezionato — la pagina dell'iniziativa su cui si lavora, gli elementi pertinenti al compito, e l'elenco di ciò che resta recuperabile a richiesta. Chat: si lavora. Writeback: la sessione viene digerita e i fatti emersi finiscono nello stato dell'iniziativa, o in una coda di revisione quando la confidenza non basta. Evolve: le correzioni ricevute in sessione diventano proposte di modifica al prompt dell'agente, che un umano approva.

Il quarto passo è quello che distingue un sistema di agenti da una collezione di prompt: senza, lo stesso errore si ripresenta a ogni sessione.

Ogni workspace vede i propri dati e nient'altro, e il confine è nel database: le tabelle hanno row level security attiva e forzata, e la politica di isolamento confronta il workspace della riga con quello della richiesta. Non è un filtro che il codice applicativo aggiunge alle query — se lo dimenticasse, la riga resterebbe comunque invisibile.

Una funzione di controllo interroga periodicamente il database su quali tabelle abbiano il perimetro completo, e deve tornare a zero righe. Un test la esegue prima di ogni rilascio: una tabella nuova senza isolamento non arriva in produzione.

C'è un caso in cui una lettura attraversa più workspace, e vale la pena dire com'è fatto perché non è un'eccezione al confine. Chi possiede più workspace può chiederli insieme, in sola lettura: l'insieme non è una lista che il chiamante propone, è costruito dal server dalle appartenenze verificate, e comprende solo i workspace di cui quella persona è proprietaria. Uno in cui abbia un ruolo minore resta fuori, e la risposta lo dice invece di ometterlo. Ogni riga porta il nome del workspace da cui viene: mescolare cinque origini senza dichiararle sarebbe un modo elegante di perdere il conto. Le scritture non cambiano: si scrive dentro un workspace alla volta, sempre.

Il contesto di lavoro sta in tre forme. Le iniziative con il loro stato corrente: dove siamo, cosa è aperto, cosa è stato deciso. La conoscenza del workspace: i fatti stabili, le persone, i vincoli. Le sessioni e i loro esiti, che alimentano le prime due invece di restare nei messaggi di una chat.

Un agente di background analizza periodicamente la coerenza di questa memoria e produce un briefing con le contraddizioni trovate: due fonti che dicono cose diverse, un loop aperto da troppo tempo, un'iniziativa che nessuno tocca più. Le porta a verdetto una alla volta, con un vocabolario chiuso di azioni e l'anteprima di ciò che cambierebbe prima di scrivere.

Il server parla il Model Context Protocol, quindi qualunque client che lo supporti può usarlo: Claude, un client terzo, un'integrazione fatta in casa. L'accesso è per chiave o per OAuth, e ogni scrittura è ancorata alla sessione e al workspace da cui parte: non esiste una scrittura che si risolva sul workspace "attivo" e finisca altrove.