Trung tâm Tin cậy FAOS
Chứng nhận trước, đủ điều kiện sau. Không một runtime nào phục vụ lưu lượng của bạn trước khi leo hết chiếc thang này.
FAOS chạy trên nhiều runtime — các engine để suy luận, các bộ công cụ lập trình để dựng sản phẩm, các sandbox để thực thi. Mỗi runtime đều phải leo cùng một chiếc thang bảy bậc, từ lúc đăng ký đến lúc phát hành chính thức, dù đó là runtime do FAOS tự phát triển hay do một nhà cung cấp bên ngoài đưa vào.
Một runtime được đăng ký từ rất lâu trước khi được tin cậy. Nó mặc định chưa đủ điều kiện — không phục vụ lưu lượng của bất kỳ khách thuê nào — và giữ nguyên trạng thái đó cho tới khi vượt qua mọi bậc thang lên đến cấp chứng nhận của mình. Chứng nhận đi trước. Quyền phục vụ phải giành được.
Mỗi bậc mang một ý nghĩa về mức độ tin cậy, kèm theo cổng kiểm mà một runtime phải vượt qua để đạt được bậc đó. Một runtime chỉ mang bậc cao nhất mà nó đã vượt qua — không hơn.
Cổng kiểm: Dòng đăng ký (đã đăng ký nhưng chưa đủ điều kiện)
Runtime được ghi vào sổ đăng ký chính thức, kèm một chủ sở hữu và một bản ghi quyết định điều chỉnh nó. Đã đăng ký, nhưng mặc định chưa đủ điều kiện — nó không phục vụ lưu lượng của bất kỳ khách thuê nào.
Cổng kiểm: Giao thức cổng kết nối + cổng kiểm lint
Runtime hiện thực đúng giao diện cổng kết nối chuẩn của FAOS và vượt qua các cổng kiểm lint về cấu trúc — nó không bao giờ tự chạy vòng lặp agent của riêng mình, và SDK của nó không bao giờ là một phụ thuộc cứng. Chỉ một vòng lặp duy nhất, luôn do FAOS sở hữu.
Cổng kiểm: Kiểm thử theo đặc tả, đối chiếu bản mô phỏng tham chiếu
Runtime vượt qua trọn bộ kiểm thử theo đặc tả, đối chiếu với một chuẩn tham chiếu — luồng thuận lợi, luồng lỗi, hết thời gian chờ, từ chối quyền, và việc che dữ liệu nhạy cảm để chống thất thoát dữ liệu (DLP) đều hoạt động đúng hợp đồng.
Cổng kiểm: Các cổng kiểm an ninh
Yêu cầu các lớp phân quyền, chính sách kiểm soát luồng ra, quét DLP, cô lập tenant và ghi nhật ký kiểm toán phải được nối thông suốt đầu cuối, đồng thời mọi thay đổi về truy cập, nội dung và mức tin cậy phải được ghi nhận, trước khi một runtime được phép vượt qua bậc này.
Cổng kiểm: Kiểm thử trực tiếp theo đặc tả + đối chiếu/truy vết
Runtime vượt qua kiểm thử trực tiếp theo đặc tả trong một sandbox thật — chi phí và dấu vết truy nguyên được tổng hợp đúng qua các phần việc được ủy thác, và cổng kiểm trước khi đưa vào vận hành trả về xanh.
Cổng kiểm: Cổng kiểm mô phỏng
Các kịch bản mô phỏng ngành mang tính đối kháng, dựa trên ontology, trả về kết luận chấp thuận với độ phủ kịch bản cao trước khi một runtime được tin cậy để hành động với ít giám sát hơn.
Cổng kiểm: Bật quyền phục vụ → phát hành chính thức
Chỉ đến đây quyền phục vụ mới được bật. Runtime phục vụ lưu lượng thật của khách thuê phía sau một danh sách cho phép, dưới sự giám sát SLO trực tiếp, sau nhiều lần phát hành xanh liên tiếp trên mọi bậc thấp hơn.
Quyền phục vụ là một công tắc duy nhất, được bật một cách có chủ đích, ở đỉnh thang. Dưới đỉnh thang, một runtime có thể đã được đăng ký, đã kiểm thử theo đặc tả, đã kiểm định an ninh, thậm chí đã được kiểm chứng trong sandbox trực tiếp — mà vẫn không phục vụ một chút nào lưu lượng của bạn.
Việc chuyển từ chưa đủ điều kiện sang đủ điều kiện chỉ xảy ra khi mọi bậc thấp hơn đều xanh, phía sau một danh sách khách thuê được cho phép và dưới sự giám sát mức dịch vụ trực tiếp. Không có lối tắt nào vòng qua một bậc, và không runtime nào đủ điều kiện “nhờ danh tiếng”.
Chúng tôi muốn cho bạn thấy trạng thái thật của chiếc thang, thay vì một huy hiệu tiếp thị. Các engine do FAOS tự phát triển đang được đánh giá trong chính môi trường của chúng tôi; chiếc thang này chưa từng được vận hành trên môi trường khách thuê của một khách hàng nào. Các engine của nhà cung cấp bên ngoài — những cái tên bạn có thể đã gặp ở nơi khác — đang ở mức chạy trong sandbox (L2): đã đăng ký và đã kiểm thử theo đặc tả, nhưng chưa đủ điều kiện phục vụ lưu lượng của bạn cho tới khi vượt qua các bậc an ninh, kiểm thử trực tiếp theo đặc tả và mô phỏng ở phía trên.
Đó chính là điểm mấu chốt. Lợi thế phòng thủ không nằm ở độ dài của danh sách runtime mà chúng tôi hỗ trợ — nó nằm ở độ sâu của các cổng kiểm mà mỗi runtime đều phải vượt qua. Một chiếc thang sâu hơn là một lời cam kết chắc chắn hơn, ngay cả khi điều đó đồng nghĩa với việc mỗi ngày có ít runtime đủ điều kiện hơn.