Agent Governance Toolkit (AGT) firmy Microsoft to najbardziej bezpośrednie otwarte porównanie do Olivares AI, a uczciwe podsumowanie brzmi: jest naprawdę mocny tam, gdzie duża część tej kategorii nie jest. Warto przeczytać jego dokumentację bezpośrednio, zamiast ufać czyjejkolwiek charakterystyce — w tym naszej.
Źródła. Każde twierdzenie o AGT odsyła do repozytorium Microsoftu i je cytuje, wraz z datą odczytu. Tam, gdzie dokumentacja nie obejmuje danej osi, komórka to mówi, zamiast zgadywać. Nic tutaj nie pochodzi z bloga, z noty analityka ani z naszych własnych testów ich produktu.
AGT opisuje siebie jako “Policy enforcement, identity, sandboxing, and SRE for autonomous AI agents. One pip install, any framework” (README, 2026-07-19). Jest na licencji MIT, w fazie Public Preview, i udostępnia wtyczkę do Claude Code oraz SDK dla Pythona, TypeScriptu, .NET, Rusta i Go.
W czym AGT jest mocny
Jego egzekwowanie nie jest doradcze. Host “acts as the policy enforcement point and calls ACS at defined intervention points”, oraz “every tool call, message send, and delegation is intercepted in deterministic application code before the model’s intent reaches the wire” (policy-engine, README, 2026-07-19).
Jego ślad audytowy jest odporny na manipulację z założenia: “The Merkle Audit Chain provides tamper-evident audit logging. Any modification to a historical audit entry MUST be detectable through hash verification” (AUDIT-COMPLIANCE-1.0, 2026-07-19).
I nie jest przywiązany do chmury: “You can run AGT on AWS, GCP, on-premises, or air-gapped environments” (LIMITATIONS, 2026-07-19).
Jeśli problemem jest „zatrzymać ten proces agenta, zanim zrobi coś niewłaściwego, i udowodnić, co zrobił”, AGT to adresuje na liberalnej licencji i warto go ocenić.
Rozbieżność strukturalna
| Wymiar | Microsoft AGT | Olivares AI |
|---|---|---|
| Punkt egzekwowania | W procesie: host wywołuje ACS jako punkt decyzyjny w zdefiniowanych punktach interwencji, zanim wywołanie opuści proces (policy-engine, 2026-07-19) | PEP w procesie środowisk agentów oraz na płaszczyźnie danych infrastruktury — bazy danych, magazyny obiektów, serwery MCP, hosty |
| Dozwolone vs zaobserwowane | — nieudokumentowane. AGT dokumentuje uzgadnianie wykrytych agentów z rejestrem; porównania przyznanych uprawnień z zaobserwowanym dostępem nie ma w dokumentacji (odczyt 2026-07-19) | Mapa dostępu odczyt/zapis: co wolno każdemu agentowi wobec tego, co faktycznie osiągnął |
| Dowód audytowy | Łańcuch Merkle powiązany skrótami, odporny na manipulację, z dowodami inkluzji (AUDIT-COMPLIANCE-1.0, 2026-07-19). Podpisany eksport poza maszyną nie jest udokumentowany | Rejestr append-only, łańcuchowany skrótami i podpisany, weryfikowalny poza maszyną |
| Wyłącznik całego środowiska | — nieudokumentowane. Udokumentowano awaryjne zatrzymanie pojedynczego agenta i wyłącznik przy progu budżetu; jednego zatrzymania całego środowiska nie (odczyt 2026-07-19) | Wyłącznik obejmujący całe środowisko |
| Wdrożenie | Self-hosted, on-premises lub air-gapped (LIMITATIONS, 2026-07-19) | Samodzielnie hostowana warstwa sterowania — Linux, Docker, Kubernetes, air-gapped |
| Licencja | MIT (README, 2026-07-19) | AGPL-3.0 (open-core) |
| Dojrzałość | Public Preview; najnowsze wydanie v4.1.0, 2026-06-09 (README, 2026-07-19) | Przed 1.0 — zob. uczciwość i ograniczenia |
Rozbieżność dotyczy zakresu, nie filozofii. AGT zarządza procesem agenta i frameworkami, które obsługuje. Olivares zarządza zasobami, do których agent sięga — i tam dopiero „dozwolone wobec zaobserwowanego” oraz zatrzymanie całego środowiska stają się pytaniami, na które da się odpowiedzieć.
Kiedy AGT jest właściwym wyborem
- Potrzebne jest zarządzanie na licencji MIT, bez zobowiązań copyleft.
- Granicą zarządzania jest środowisko uruchomieniowe agenta: zatrzymać proces, zanim zadziała, i mieć odporny na manipulację zapis tego, co próbował zrobić.
- Standaryzujesz się na frameworkach obsługiwanych przez AGT i wolisz bibliotekę od utrzymywania osobnej warstwy sterowania.
Kiedy Olivares jest właściwym wyborem
- Trzeba odpowiedzieć, co agent faktycznie osiągnął, a nie tylko czego próbował przez zarządzany framework — luka między dozwolonym a zaobserwowanym.
- Potrzebne jest zatrzymanie całego środowiska, nie wyłączanie pojedynczych agentów.
- Dowód musi być weryfikowalny poza maszyną, z podpisanymi asercjami.
- Agenci sięgają bezpośrednio do infrastruktury — baz danych, magazynów obiektów, serwerów MCP, hostów — i właśnie tam musi przebiegać granica.
Czego nie twierdzimy
Nie uruchamialiśmy AGT w laboratorium i nie publikujemy żadnych testów porównawczych przeciwko niemu. Dwie osie oznaczone „nieudokumentowane” to stwierdzenia o publicznej dokumentacji Microsoftu w brzmieniu odczytanym 2026-07-19, a nie twierdzenie, że danej funkcji w ich produkcie nie ma. Jeśli AGT udokumentuje którąkolwiek z nich później, ta strona będzie błędna i ją poprawimy.