Che l’IA guidi il server, senza romperlo

Atlas può aprire il proprio server Model Context Protocol, per chi lo desidera, e offre un campo comandi dentro il pannello. È un componente a parte: non arriva con l’installazione, chi lo vuole lo aggiunge dal pannello con un pulsante e su una macchina che non lo vuole non è presente affatto. Una volta aggiunto, lo stato del server viene letto, un guasto viene ricostruito e il lavoro si fa scrivendo cosa si desidera. Il confine lo traccia Proxmox: a ciò che un utente può toccare arriva anche l’IA, non oltre. Non compare alcuna nuova nozione di permessi. L’IA si collega ad Atlas, non a Proxmox. Proxmox sta sotto, ma il modello non lo raggiunge mai direttamente: usa solo ciò che Atlas sa fare.

Quanto costa oggi dare a un modello l’accesso al server

Oggi c’è una sola strada perché un assistente IA lavori con Proxmox: consegnargli una sessione SSH o un token API con pieni privilegi. Significa cedere root, e da quel punto nulla si frappone tra il modello e l’hardware.

Il rischio nasce dalla mancanza di contesto, non dalla cattiva intenzione. Un modello può vedere un disco vuoto e trattarlo come rimovibile, mentre appartiene a una macchina soltanto spenta. Può leggere un pool degradato e proporre di ricostruirlo, mentre il passo giusto è sostituire un disco. Il comando è scritto correttamente e il risultato è perdita di dati.

Per questo negli ambienti seri il modello resta fuori dal server. La perdita si vede nella diagnosi: leggere log lunghi e trovare cosa si è rotto è proprio ciò in cui un modello riesce bene, ed è proprio quel lavoro che non viene fatto.

Che cosa si può chiedere

Nel campo comandi del pannello si fanno domande e si fanno fare cose, come un’unica conversazione. Gli esempi qui sotto sono il lato domanda: il modello legge lo stato del server e risponde con il dato su cui si appoggia, e in essi non cambia nulla.

Perché il backup di stanotte è fallito, a quale passo si è fermato, sullo storage di destinazione c’era spazio?

Perché questa macchina virtuale è lenta da ieri sera, il collo di bottiglia è il processore o il disco?

Perché il pool è degradato, quale disco è caduto, i dati sono a rischio adesso?

Quale degli aggiornamenti in attesa chiede un riavvio e quali servizi ferma?

Che cosa significa questo errore nel log, era già successo, si ripete?

Di questo passo quando finisce la capacità, quale macchina cresce più in fretta?

Che cosa si può far fare

Questo si chiama VibeOps: guidare un server parlandogli. Il vibe coding è scrivere senza leggere il codice, e su Proxmox non è possibile, quindi qui ogni passo resta visibile. Nello stesso campo si fa anche il lavoro. Si scrive cosa si desidera. Atlas prima riferisce cosa farà e dove interverrà: i passi, le macchine e gli storage coinvolti e la via di ritorno. Il lavoro si svolge dopo l'approvazione. Non compare alcuna nuova nozione di permessi: il campo comandi lavora con i permessi dell’account Proxmox con cui si connette. Chi vuole un’IA più stretta le dà un account Proxmox ristretto, e l’ambito è scritto nei permessi di quell’account. Volendo, la scrittura si disattiva per la singola sessione e resta attiva la sola lettura. Ogni passo entra nel registro di audit.

Dai due core in più a questa macchina e porta la memoria a otto gigabyte.

Imposta un backup alle tre di notte per tutte le macchine di questo pool.

Installa le patch di sicurezza in attesa, lascia quelle che chiedono un riavvio alla finestra di manutenzione.

Imposta la regola di riavvio di quel contenitore su sempre.

Dai a questo utente solo il diritto di backup, nient’altro.

Sposta quel disco nel nuovo pool, prima di spostarlo fai uno snapshot.

Il modello passa dalla stessa porta di una persona

Il server MCP non apre una via laterale. Le stesse protezioni che Atlas applica già all’utente umano valgono anche per il modello, nello stesso ordine.

I permessi arrivano da Proxmox

Il modello lavora con i diritti dell’utente con cui si connette, non con un account proprio. Ciò che Proxmox chiude a quell’utente resta chiuso anche al modello. Atlas non crea un proprio sistema di permessi.

L’account Proxmox definisce l’ambito

Il campo comandi lavora con i permessi dell’account Proxmox con cui si connette; Atlas non introduce una propria nozione di permessi. Chi vuole un ambito stretto gli dà un account stretto, e quell’ambito è scritto nei permessi dell’account e in sede di audit si rilegge da lì. Disattivare la scrittura per la propria sessione è un gesto solo.

L’impatto si mostra prima

Quando viene proposta una modifica, i passi da applicare, le risorse toccate e la via di ritorno si mostrano a una persona. L’approvazione avviene a schermo, non dentro la conversazione.

Conferma dura per ciò che non torna indietro

Se l’account con cui si connette non ha il permesso, cancellare, formattare e disfare un pool non sono affatto possibili. Dove il permesso c’è, vale comunque la conferma dura che il prodotto usa altrove: digitare il nome per confermare, un clic non basta. Chi vuole un passo in più lo attiva: le scritture chiedono un codice usa e getta, la stessa verifica in due passaggi che l’account già usa.

Ogni passo viene registrato

Tutto ciò che il modello legge e ogni operazione che chiede entra nel registro di audit: quale utente, quale modello, quando, con quale esito. La voce non è più modificabile.

Le risposte mostrano la fonte

Il modello dice da dove ha tratto la conclusione: quale riga di log, quale misura, quale configurazione. Una risposta non verificabile non conta come risposta.

Che cosa il modello non può fare

I limiti stanno nel prodotto, non nella conversazione. Come viene interrogato il modello, o quanto lo si tenta di convincere, non cambia nulla. Anche in un’organizzazione che collega un proprio modello valgono gli stessi limiti, perché la regola si applica nel server e non nel modello.

Non può allargare i propri diritti né creare un nuovo utente o una chiave di accesso.

Non può applicare alcuna scrittura senza approvazione.

Se l’account con cui si connette non ha permessi di scrittura, non cambia nulla e si limita a leggere.

Non può aprire una shell sul server né passare alla riga di comando. Serve di rado, perché anche il lavoro che chiede profondità è coperto: dal pool ZFS a Ceph, dal bridge a OVS, dal blocco del kernel all’assegnazione dei permessi, e la copertura si allarga a ogni versione. Per il raro compito che esce dal perimetro scrive il comando e ne spiega il rischio; l'esecuzione resta a chi amministra.

Non può cancellare né modificare la voce di audit.

Dove vanno i dati

Il server MCP è un componente a parte e non fa parte dell’installazione predefinita. Si aggiunge dal pannello con un pulsante; su una macchina che non lo vuole non c’è nemmeno un suo file. Dopo l’installazione, quali risorse può guardare e per quanto resta aperto restano decisioni del cliente.

Anche la scelta del modello spetta al cliente. Con un modello locale in esecuzione sul server, nessun dato lascia la macchina e il prodotto resta offline. Se si sceglie un servizio esterno, il contenuto da inviare è visibile prima dell’invio.

Per organizzazioni sotto regolamentazione severa

Non si rivendica alcuna certificazione. Il prodotto è progettato per soddisfare i requisiti di quadri con condizioni di audit dure, e l’audit interno di un’organizzazione può usare questi comportamenti come prova.

Sistema di gestione dell’IA (ISO/IEC 42001): ciò che il modello può fare è scritto, i limiti sono imposti nel prodotto, ogni uso è registrato.

Sicurezza delle informazioni (ISO/IEC 27001): l’accesso arriva dal sistema di identità già in uso, i privilegi seguono il minimo privilegio, le voci sono immutabili.

Gestione del rischio IA (ISO/IEC 23894 e NIST AI RMF): nessuna azione autonoma, l’approvazione umana è un passo obbligato del flusso.

Dati personali (GDPR ed equivalenti): i dati restano sulla macchina del cliente; se devono uscire, la cosa è visibile prima e la decisione è del cliente.

Infrastruttura critica (NIS2 e disposizioni di trasparenza sull’IA): dopo un incidente si rilegge chi ha fatto cosa, che cosa ha proposto il modello e chi ha approvato.

Domande frequenti