Управление процессами с помощью AppSec-агента

AppSec-агент — модуль TRON.ASOC для автоматизации повторяющихся задач процесса безопасной разработки. Агент выполняет заранее настроенные сценарии по событию, расписанию или ручной команде. Все значимые действия выполняются под контролем пользователя и при необходимости требуют подтверждения.

Кроме ИИ-ассистента и AppSec-агента, TRON.ASOC можно подключить как MCP-сервер (MCP — Model Context Protocol) к внешним ИИ-инструментам (Claude Code, Cursor и т. п.). Подробнее см. раздел Интеграция TRON.ASOC с MCP-клиентами.

Отличие AppSec-агента от ИИ-ассистента

ИИ-ассистент и AppSec-агент отличаются способом запуска и режимом работы. ИИ-ассистент работает в режиме интерактивного диалога: он начинает действовать после сообщения пользователя в чате и при необходимости уточняет детали. AppSec-агент запускается вручную, по событию или по расписанию, выполняет опубликованную автоматизацию (workflow) и предоставляет историю шагов и результаты ее выполнения.

Начало работы

Лицензионные требования

Внимание

Для доступа к модулю AppSec-агента необходима действующая лицензия на ИИ-функции. Без нее пункты меню агента недоступны. Система проверяет статус лицензии автоматически.

Роли и права

Права AppSec-агента отделены от прав ИИ-ассистента. Для работы с AppSec-агентом пользователю необходимы следующие права:

• просмотр раздела агента и списка запусков;
• запуск автоматизации;
• создание, редактирование и удаление автоматизации;
• создание, редактирование и удаление навыка (skill);
• управление триггерами;
• отмена и продолжение запуска;
• подтверждение действий.

По умолчанию администратор системы может настраивать уровни доверия и правила подтверждений, а также одобрять навыки, созданные пользователями системы. Конкретный состав ролей регулируется общей моделью прав TRON.ASOC.

Системная учетная запись агента

При автоматических запусках (по событию или расписанию) действия выполняются под специальной учетной записью AppSec-агента. Эта учетная запись создается автоматически и не может быть удалена. При этом права этой учетной записи можно редактировать.

Управление автоматизациями

С ИИ-автоматизациями можно выполнять следующие действия:

• создавать новые автоматизации;
• создавать автоматизации на основе шаблонов (уже имеющихся автоматизаций);
• запускать автоматизации принудительно;
• редактировать имеющиеся автоматизации;
• удалять автоматизации;
• просматривать статистику по запускам автоматизаций.

Создание новой автоматизации

Чтобы создать автоматизацию, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Автоматизации.

2. Нажмите кнопку Добавить автоматизацию.

3. Введите название и описание автоматизации.

4. Укажите триггер — событие, при котором должна выполняться автоматизация.

   Подсказка

   Также можно настроить запуск автоматизации по расписанию или принудительный запуск. Для запуска по расписанию используйте cron-выражения.

5. Выберите навыки, которые должны запускаться при срабатывании триггера.

   Подсказка

   Можно указать один или несколько навыков. Порядок запуска можно изменить, перетаскивая навыки мышью.

6. Нажмите кнопку Добавить автоматизацию.

Новая автоматизация сохранится в системе и отобразится в списке в подразделе Автоматизации.

Рисунок 1 — Создание ИИ-автоматизации

Создание автоматизации из шаблона

Чтобы создать автоматизацию на основе уже имеющейся автоматизации, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Автоматизации.
2. Нажмите кнопку дополнительных действий () возле нужной автоматизации.
3. Выберите вариант Использовать шаблон.
4. При необходимости измените данные автоматизации в открывшемся окне.
5. Нажмите кнопку Добавить автоматизацию.

На основе выбранной автоматизации будет создана новая. Она сохранится в системе и отобразится в списке в подразделе Автоматизации.

Принудительный запуск автоматизации

Чтобы запустить автоматизацию принудительно, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Автоматизации.
2. Нажмите кнопку дополнительных действий () возле нужной автоматизации.
3. Выберите вариант Запустить принудительно.

Выбранная автоматизация будет запущена, а в подразделе Функциональные события раздела Журнал событий появится запись об этом запуске.

Редактирование автоматизации

Чтобы отредактировать автоматизацию, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Автоматизации.
2. Нажмите кнопку дополнительных действий () возле нужной автоматизации.
3. Выберите вариант Редактировать.
4. Измените данные автоматизации в открывшемся окне.
5. Нажмите кнопку Сохранить изменения.

Автоматизация будет обновлена в системе.

Удаление автоматизации

Чтобы удалить одну автоматизацию, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Автоматизации.
2. Нажмите кнопку дополнительных действий () возле нужной автоматизации.
3. Выберите вариант Удалить.
4. В открывшемся модальном окне нажмите кнопку Удалить автоматизацию.

Рисунок 2 — Подтверждение удаления автоматизации

Чтобы удалить несколько автоматизаций, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Автоматизации.
2. Отметьте нужные автоматизации флажками ().
3. Нажмите кнопку удаления ().
4. В открывшемся модальном окне нажмите кнопку Удалить автоматизации.

Рисунок 3 — Подтверждение удаления автоматизаций

Управление навыками

В TRON.ASOC предусмотрены следующие виды навыков:

• стандартные — устанавливаются вместе с системой;
• пользовательские — создаются в текстовом редакторе и импортируются в интерфейсе.

С навыками можно выполнять следующие действия:

• создавать новые навыки;
• редактировать имеющиеся навыки;
• удалять навыки;
• просматривать статистику по одному навыку или по всем навыкам в системе.

Создание нового навыка

Навык можно создать двумя способами:

• в интерфейсе TRON.ASOC;
• загрузив файл с описанием навыка в формате .md.

Чтобы создать навык в интерфейсе TRON.ASOC, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Навыки.
2. Нажмите кнопку Добавить навык.
3. Выберите вариант Написать инструкции.
4. Укажите название навыка в открывшемся окне.
5. Заполните инструкции для навыка.
6. Нажмите кнопку Добавить навык.

Система сохранит навык, и его можно будет использовать при настройке ИИ-автоматизаций.

Рисунок 4 — Создание нового навыка

Чтобы добавить навык из файла, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Навыки.

2. Нажмите кнопку Добавить навык.

3. Выберите вариант Загрузить файл.

4. Загрузите файл с навыком или перетащите его в окно загрузки.

   

   Рисунок 5 — Поле загрузки навыка

5. При необходимости измените данные навыка в открывшемся окне.

6. Нажмите кнопку Добавить навык.

Система сохранит навык, и его можно будет использовать при настройке ИИ-автоматизаций.

Подсказка

Рекомендации по созданию навыков см. в разделе Пользовательские навыки.

Редактирование навыка

Чтобы отредактировать навык, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Навыки.
2. Нажмите кнопку дополнительных действий () возле нужного навыка.
3. Выберите вариант Редактировать.
4. Измените данные навыка в открывшемся окне.
5. Нажмите кнопку Сохранить изменения.

Навык будет обновлен в системе.

Удаление навыка

Чтобы удалить один навык, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Навыки.
2. Нажмите кнопку дополнительных действий () возле нужного навыка.
3. Выберите вариант Удалить.
4. В открывшемся модальном окне нажмите кнопку Удалить навык.

Рисунок 6 — Подтверждение удаления навыка

Чтобы удалить несколько навыков, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Навыки.
2. Отметьте нужные навыки флажками ().
3. Нажмите кнопку удаления ().
4. В открывшемся модальном окне нажмите кнопку Удалить навыки.

Рисунок 7 — Подтверждение удаления навыков

Просмотр статистики по автоматизациям и навыкам

Статистика по запускам автоматизаций и навыков содержит следующие метрики:

• запуски — количество запусков автоматизации или навыка;
• средняя продолжительность — средняя продолжительность работы;
• успешные запуски — процент запусков, завершившихся со статусом Выполнено;
• ошибки — процент запусков, завершившихся со статусом Ошибка;
• отмены — процент запусков, завершившихся со статусом Отменено;
• повторные попытки — процент запусков, в которых хотя бы один шаг был выполнен повторно;
• таймауты — процент запусков, завершившихся из-за превышения лимита времени;
• подтверждения — процент запрошенных действий, которые пользователь подтвердил;
• запреты — процент запрошенных действий, которые пользователь запретил;
• медианное время ожидания — медианное время, в течение которого автоматизация или навык находились в статусе Ожидает подтверждения;
• расход токенов — общее количество токенов большой языковой модели (LLM), использованных во всех запусках;
• средний расход токенов за запуск — среднее количество токенов LLM на один запуск.

Чтобы просмотреть статистику по всем автоматизациям или навыкам, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Статистика.
2. Перейдите на вкладку Автоматизации или Навыки.
3. При необходимости настройте отображение таблицы или отбор навыков с помощью фильтров.

Рисунок 8 — Отображение статистики по автоматизациям

Контроль автоматизаций

В подразделе Мониторинг запусков раздела ИИ-автоматизации отображается список автоматизаций, запущенных в системе. Список содержит следующие данные:

• ID запуска;
• дата и время запуска;
• название автоматизации;
• триггер, по которому запускается автоматизация;
• продолжительность последней автоматизации;
• статус последней или текущей автоматизации.

Чтобы открыть карточку с данными о последнем запуске, нажмите ID запуска автоматизации.

Рисунок 9 — Данные о запуске автоматизации

Контроль действий и подтверждений

Принцип работы

Агент может выполнять действия, изменяющие данные TRON.ASOC (изменение критичности, статуса, создание задач и т. п.). Каждое такое действие проходит обязательную проверку:

1. RBAC (Role-Based Access Control) — имеет ли субъект выполнения право на операцию.
2. Политика подтверждений — можно ли выполнить действие сразу или требуется подтверждение пользователя.

Уровень подтверждения не привязан к тексту навыка: система устанавливает его для каждого типа изменяющего действия.

Уровни доверия

При настройке автоматизации администратор выбирает один из четырех уровней самостоятельности агента:

1. Только предложить план — агент формирует список предполагаемых действий без выполнения.
2. Запрашивать подтверждение перед любым изменением.
3. Выполнять менее рискованные изменения самостоятельно, более рискованные — с подтверждением.
4. Выполнять все самостоятельно.

К сведению

Следующие действия всегда требуют подтверждения независимо от уровня доверия:

• признание уязвимости ложноположительной;
• понижение критичности;
• закрытие или перевод в финальный статус.

Действия, повышающие внимание к проблеме, можно автоматизировать полностью.

Согласование плана для рискованных автоматизаций

Для автоматизаций с высокой ценой ошибки может применяться двухэтапная схема:

1. Агент анализирует ситуацию и предоставляет конкретный список предполагаемых действий.
2. Пользователь утверждает список.
3. Агент выполняет только действия, совпадающие с планом. При расхождении (другое действие или другие параметры) система останавливается и повторно запрашивает подтверждение.

Работа с подтверждениями

Когда в ходе запуска возникает действие, требующее подтверждения, система приостанавливает соответствующий вызов LLM и создает запись в очереди подтверждений.

Чтобы подтвердить или отклонить действие, выполните следующие шаги:

1. Перейдите в раздел ИИ-автоматизации → Мониторинг запусков.

2. Ознакомьтесь с запрошенным действием (название инструмента, аргументы, контекст).

   

   Рисунок 10 — Запрос на подтверждение действия

3. Примите решение:

   • Разрешить — действие будет выполнено;
   • Запретить — действие не выполняется и отмечается как запрещенное.

Одно подтверждение относится строго к одному вызову инструмента с конкретными аргументами. Если аргументы изменились, повторно использовать предыдущее решение нельзя.

Срок ожидания задается в настройках автоматизации. По истечении срока действие отмечается как завершенное из-за превышения лимита времени, и автоматизация следует по соответствующему переходу.

Подтверждать действия агента могут пользователи, у которых есть:

• доступ к запущенной автоматизации;
• разрешение на подтверждение действий AppSec-агента;
• действующий доступ к затрагиваемым сущностям TRON.ASOC.

Действия во внешних системах

Для внешних интеграций (Jira, GitLab и т. п.) изменяющие операции разрешены, только если внешняя система обеспечивает эквивалентный контроль (проверку прав, подтверждения, аудит, идемпотентность). Если такого контроля нет, изменяющие действия должны проходить через управляемый шлюз TRON.ASOC, либо пользователь явно принимает на себя риски при самостоятельной настройке внешнего MCP-сервера.