Dar acesso ao Proxmox a um assistente de IA: onde a fronteira precisa ficar

Existe aqui uma assimetria real e um pouco irritante. Ler duas mil linhas de registro e achar a linha em que algo quebrou é exatamente o que um modelo de linguagem faz bem. E é também exatamente o trabalho que a maioria não consegue deixar ele fazer, por causa de como o acesso é concedido.

A pergunta não é se um modelo deve tocar num servidor. É onde fica a fronteira, e hoje ela costuma ficar no lugar errado.

Por que o arranjo habitual incomoda

Há duas formas comuns de ligar um assistente ao Proxmox: dar uma sessão SSH ou um token de API com privilégio total. As duas dão no mesmo. A partir daí nada fica entre o modelo e o hardware, e todas as proteções vivem em como uma instrução foi redigida.

Instrução não é fronteira. É um pedido feito a um sistema projetado para ser prestativo, numa língua sem poder de execução.

O risco é contexto faltando, não má intenção

É essa a parte diagnosticada errado. O modo de falha raramente é um modelo decidindo causar dano. É um modelo agindo corretamente sobre um quadro incompleto.

Um disco que parece vazio. O modelo lê um dispositivo sem sistema de arquivos montado e o considera livre. O dispositivo pertence a uma máquina que está simplesmente desligada.

Um pool degradado. O modelo lê o estado degradado e propõe reconstruir o conjunto. O passo certo era trocar um disco, e reconstruir é como os dados restantes se perdem.

Um serviço "que não está rodando". Não está rodando porque roda por agendamento e terminou. Reiniciar é inofensivo; desabilitar porque "vive parando" não é.

Nos três o comando está escrito corretamente. O que está errado é a premissa, e um comando correto sobre uma premissa errada é indistinguível de sabotagem depois do fato.

Somente leitura ajuda e não é a resposta inteira

A resposta óbvia é conceder acesso somente leitura, e isso realmente elimina os piores desfechos. Duas coisas permanecem.

Ler não é de graça. Configuração, registros e trilhas de auditoria contêm nomes de host, endereços, nomes de usuário e às vezes tokens colados onde não deviam. Um assistente somente leitura com escopo de leitura completo é uma exportação da sua infraestrutura.

Diagnóstico sem ação para no meio do caminho. Se a resposta útil é "reinicie esse serviço específico", um arranjo somente leitura devolve a descoberta para um humano redigitar. Tudo bem, e é também por isso que as permissões se alargam em silêncio mais adiante.

Então somente leitura é um bom começo e um mau destino. O destino é acesso de escrita estreito, passando pelos mesmos portões que uma pessoa passa.

Onde a fronteira realmente pertence

Nem à instrução nem ao modelo. À camada que executa, porque é o único lugar capaz de recusar.

Três propriedades tornam essa camada confiável, e as três são verificáveis em vez de prometidas.

As permissões vêm do sistema que já as tem. Se o assistente conecta com uma conta existente, o que aquela conta pode tocar é exatamente o que o assistente pode tocar. Nenhum segundo modelo de permissões é inventado, então não há nada para manter em sincronia nem como os dois se contradizerem.

Operações destrutivas passam pelo mesmo portão de uma pessoa. Se apagar um disco pede confirmação a um humano, precisa pedir também quando um modelo solicita. Um caminho seguro para pessoas e aberto para automação não é fronteira, é atalho com nome bonito.

Cada passo cai no registro de auditoria. Quem, o quê, quando, sobre o quê e com qual resultado. Sem isso a pergunta de verdade depois de um incidente, "foi o assistente que fez isso", não tem resposta, e a ausência de resposta já é motivo para não conceder acesso.

A pergunta a fazer sobre qualquer ferramenta assim

Não "é seguro" e sim "o que recusa, e onde isso mora?"

Se a resposta é "foi dito ao modelo para não fazer", não há fronteira. Se a resposta é "a camada que executa checa as permissões da conta e faz os passos destrutivos passarem por um portão", há, e dá para testar: conecte com uma conta restrita e confirme que a recusa é real.

O que o Atlas faz

⚠️ Essa camada é planejada, não entregue. O que segue é o desenho para o qual ela está sendo construída, escrito aqui porque a pergunta acima merece resposta honesta e não de propaganda.

A intenção é que o assistente se conecte ao Atlas e não ao Proxmox. O Proxmox fica embaixo e o modelo nunca o alcança direto; ele só pode usar o que o Atlas sabe fazer, o que deixa cada portão existente no caminho.

A fronteira é traçada pelas permissões do Proxmox, ou seja a primeira propriedade acima: o que a conta conectada pode tocar é tudo o que o assistente toca, e nenhum conceito novo de permissão aparece. Operações destrutivas mantêm a confirmação que já têm, e o registro de auditoria já anota quem, o quê, quando, sobre o quê e com qual resultado para toda ação privilegiada, incluindo as recusadas.

Também é pensado como componente separado em vez de parte da instalação: numa máquina que não o quer, ele nunca está presente. Isso importa pelo mesmo motivo que o resto deste artigo. A fronteira mais segura para uma capacidade que você não escolheu é a ausência dela.