Como o agente investiga
O ciclo que o agente segue em cada incidente, quando ele para, como a conclusão é validada e o que fica registrado.
O ciclo de investigação
O agente trabalha num ciclo de raciocínio, ação e observação:
- Raciocina. Analisa o incidente e o que já sabe e decide qual informação falta.
- Age. Escolhe a skill adequada (métricas, terminal, CMDB, SIEM, probes, histórico) e a executa com os parâmetros que definiu.
- Observa. Lê o resultado e o incorpora ao raciocínio.
- Repete ou conclui. Volta ao primeiro passo até ter uma conclusão.
Antes de começar, o agente recebe como contexto:
- as instruções da equipe;
- casos parecidos já investigados no ambiente;
- a base de conhecimento;
- os dispositivos e integrações disponíveis.
Quando a investigação para
| Critério | Como funciona |
|---|---|
| Conclusão | O agente encerra quando chega a um resultado: resolvido, benigno, investigado ou investigação limitada (quando faltaram dados). |
| Limite de iterações | Número máximo de ciclos, configurável em Agentes & LLM. Ao atingir o limite, o agente produz uma conclusão com o que já apurou. |
| Limiar de confiança | Quando a confiança do agente na conclusão atinge o limiar definido pelo tenant em duas avaliações seguidas, a investigação é concluída e passa pela validação final. Configurável em Agentes & LLM. |
| Tempo máximo | Cada investigação tem um tempo máximo de execução, configurável pelo tenant em Agentes & LLM. |
| Ausência de progresso | Quando o agente passa iterações seguidas sem propor ações novas, ou só repetindo consultas já feitas, a investigação é encerrada. Uma consulta igual a outra já feita não é executada de novo: o agente recebe o resultado anterior. |
| Falhas de integração | Se uma ferramenta falha repetidamente por acesso negado, indisponibilidade ou tempo esgotado, o agente para de tentá-la e segue com as outras. |
Validação final
Ao fim da investigação, uma segunda avaliação, feita por um modelo configurado à parte, confere a conclusão e decide se o caso merece chamado. Ela considera:
- o resultado da investigação;
- as consultas feitas;
- os fatos conhecidos sobre os servidores e contas envolvidos;
- as instruções do tenant sobre quando abrir chamado.
A decisão, com a justificativa e o grau de confiança, fica registrada na timeline.
Na dúvida, não abre
Se a validação final não chegar a uma decisão, o chamado não é aberto. A investigação é reavaliada automaticamente mais tarde.
Modo multi-agente
Para incidentes complexos, o tenant pode ligar o modo multi-agente em Investigação automática. Ele vem desligado. Nesse modo:
- um modelo de linguagem monta um plano de 2 a 5 etapas com as dependências entre elas (um grafo acíclico);
- as etapas sem dependência entre si rodam em paralelo, cada uma num subagente;
- se uma etapa falha, as que dependem dela não são executadas;
- o plano e o andamento de cada etapa aparecem como grafo no detalhe do incidente;
- ao fim, as conclusões são consolidadas e passam pela validação final.
Segurança na execução de comandos
Antes de executar um comando em um servidor, o Terminal aplica estas validações:
- Padrões perigosos: comandos destrutivos conhecidos são bloqueados.
- Redirecionamento: gravar a saída em arquivos fora das áreas temporárias é bloqueado.
- Comandos compostos: uma linha com vários comandos (encadeados ou em sequência) é separada e cada comando é avaliado.
- Classificação de risco: cada comando recebe um nível de risco pela Política de risco. Comandos ambíguos são classificados por um modelo de linguagem.
- Ambiente: o que o comando pode fazer depende do ambiente do servidor (desenvolvimento, homologação, produção), conforme a autonomia por ambiente.
- Aprovação humana: comandos com privilégio de administrador, que param ou reiniciam serviços, ou que encerram processos à força, não são executados sem aprovação.
- Saída limitada: a saída de cada comando tem tamanho máximo.
Um comando que exige aprovação só é executado depois de aprovado. Enquanto isso, o agente segue a análise com o que pode consultar.
O que fica registrado
| Registro | Onde ver |
|---|---|
| Cada iteração do agente: número, fase (planejamento, consulta, análise, conclusão, validação), raciocínio, skill chamada com os parâmetros, resultado e duração | Timeline do incidente e Execuções |
| A entrada completa de cada iteração: o que foi enviado ao modelo, a resposta completa, o modelo usado e o resultado integral de cada ferramenta | Ver entrada completa, em Execuções |
| Cada execução de skill, com operação, resultado e duração | Registro de uso das skills (veja Skills) |
| Cada chamada a sistemas externos | Gateway |
| Cada chamada aos modelos de IA, com tokens, latência e custo | LLM Hub |
| Decisões sobre chamados: anexar a um existente ou abrir novo, com o raciocínio | Detalhe do ticket em Tickets ITSM |
Decisão reconstituível
Com esses registros, qualquer decisão automática pode ser auditada sem executar a investigação de novo. Para cada iteração ficam gravados a entrada, o raciocínio, a ação, os parâmetros, o resultado observado e o modelo usado. Os dados sensíveis são mascarados antes de gravar.
Rastreamento de ponta a ponta
O Lanner gera rastreamento distribuído no padrão OpenTelemetry. Um único trace acompanha o incidente desde o recebimento do alerta, passando pela correlação, pela fila, por cada iteração e skill da investigação, pela validação final e pelo chamado, até a resolução. Os traces são exportados por OTLP para o coletor do cliente ou para o APM da plataforma de monitoração.