Sicherheit und Rückfallebene

Wenn Pathrule sich nicht sicher ist, tut es nicht so, als wäre es das.

Dafür sorgen einige Mechanismen. Manche entscheiden, was einen Agenten überhaupt erreichen darf. Einer nimmt dem Agenten das Wissen aus der Hand, das nicht seinem Urteil überlassen werden sollte, sofern der Client das ermöglicht.

Ratschläge sind als Ratschläge gekennzeichnet

Nicht alles, was ein Agent erhält, hat dasselbe Gewicht, und die Auslieferung macht das deutlich. Regeln kommen als Regeln an. Erkenntnisse, die Agenten über den Code festgehalten haben, kommen als zu prüfende Ratschläge an, und Agenten werden angewiesen, sie als Information statt als Anweisung zu behandeln. So kann in einer Datei platzierter Text nicht zu einem dauerhaften Befehl werden. Persönliche Präferenzen kommen unter einer Überschrift an, die dem Agenten sagt, dass die Regeln und Pflichtprüfungen des Workspace Vorrang haben. Siehe Knowledge IR.

Veraltete und widersprüchliche Erkenntnisse werden zurückgehalten

Eine Erkenntnis wird zusammen mit den Dateien gespeichert, auf denen sie beruht, und jedes Mal gegen deinen Checkout geprüft, bevor sie ausgeliefert würde.

• Quellen unverändert. Die Erkenntnis wird ausgeliefert.
• Eine Quelle hat sich geändert. Die Erkenntnis wird zurückgehalten, bis ein Agent den Code erneut liest und sie bestätigt oder korrigiert.
• Zwei Erkenntnisse widersprechen sich. Beide werden zurückgehalten, statt zwischen ihnen zu raten.

Eine kleinere Auslieferung, die noch stimmt, ist besser als eine umfangreichere über Code, den es nicht mehr gibt.

Nichts Gelerntes gilt von sich aus als vertrauenswürdig

Aus Schlussfolgerungen entstehen die selbstbewussten, sauber formulierten Fehler. Deshalb wird nichts Gefolgertes ohne eine Person zu vertrauenswürdigem Wissen.

• Ein Team Intelligence-Pattern erreicht Agenten erst, nachdem ein Owner oder Admin der Organisation es verifiziert hat.
• Eine ausführbare Einschränkung, die ein Agent an eine Regel hängt, wird als Vorschlag gespeichert und erst durchgesetzt, wenn eine Person sie freigibt. Ein Agent kann seinen eigenen Vorschlag nicht freigeben.
• Eine persönliche Präferenz, die noch nicht in Gebrauch ist, wird von pathrule me list aufgeführt und nie ausgeliefert, und beim Anlernen einer Präferenz wird nichts gespeichert, was sich nicht auf deine eigenen Worte stützen lässt.
• Eine Erkenntnis ist die bewusste Ausnahme: Sie wird ohne Prüfschritt als Ratschlag geteilt und wird nie zu einer Regel.

Unter Proposed Knowledge siehst du, wo jedes davon wartet.

Der Volltext ist immer nur einen Lesezugriff entfernt

Die Auslieferung hat ein Budget pro Prompt, daher kommt nicht alles, was zutrifft, vollständig an. Was nicht passt, wird mit Titel aufgeführt statt stillschweigend weggelassen, damit der Agent weiß, dass es existiert. Wer eine Memory über ihren Namen liest, mit pathrule_read_memory, bekommt immer alles, was dein Team geschrieben hat, denn ein expliziter Lesezugriff fordert die Quelle an und ist keine Auslieferung. Siehe was vollständig ankommt und was nur als Name.

Deterministische Durchsetzung

Der letzte Mechanismus betrifft das, was von vornherein kein Vorschlag sein sollte.

Zu verstehen, was ein Absatz bedeutet, ist Arbeit für ein Modell. Sicherzustellen, dass eine verbotene Änderung nicht passiert, ist es nicht, und wer das einem Modell überlässt, verlässt sich darauf, dass ein Agent einen Satz auch in Runde vierzig einer langen Session noch richtig gewichtet.

• Eine Regel kann eine ausführbare Einschränkung tragen, also ein Muster, das eine Änderung nicht enthalten darf. Sobald eine Person sie freigegeben hat, kann der Pre-Tool-Hook eine passende Änderung blockieren und dem Agenten sagen, was er stattdessen tun soll, sofern die Tool-Hooks des Clients Blockieren unterstützen. Siehe Regeln als Leitplanken.
• Windsurf hat keine Hooks, dort wird eine Regel also als Text ausgeliefert und kann nichts blockieren. Auch über Remote MCP werden keine Hooks installiert.
• Reine Auslieferung ist keine Durchsetzung. Eine Regel ohne freigegebene ausführbare Einschränkung ist eine Vorgabe, über die der Agent informiert wird, keine, die die Laufzeit prüft.

Manches Wissen sollte kein Vorschlag sein. Genau hier verläuft die Grenze zwischen einem Gedächtnis-Produkt und einer Laufzeit, und deshalb sind die semantische Schicht und die Durchsetzungsschicht getrennt, statt in einem cleveren Prompt zusammengeführt zu werden.

Was Pathrule nicht behauptet

Pathrule behauptet weder null Halluzinationen noch perfektes Erinnern oder garantierte Korrektheit. Kein System, an dem ein Sprachmodell beteiligt ist, kann das ehrlich behaupten, und ein Produkt, das es trotzdem tut, verrät dir damit etwas über seine Versprechen, nicht über seine Architektur.

Was es behauptet, ist konkret und überprüfbar:

• Die Auslieferung enthält was dein Team geschrieben hat, wobei Regeln von Ratschlägen getrennt bleiben.
• Erkenntnisse werden nur ausgeliefert, solange der Code, auf dem sie beruhen, unverändert ist, und widersprüchliche werden zurückgehalten.
• Was ein Modell oder ein Agent folgert, bleibt ein Vorschlag, bis eine Person es freigibt.
• Was nicht passt, wird mit Titel aufgeführt, und der Volltext ist immer nur einen Lesezugriff entfernt.
• Eine freigegebene ausführbare Einschränkung kann der Pre-Tool-Hook in Clients, die das unterstützen, durchsetzen, statt sie nur zu erwähnen.