Produto · Kill-switch
Um interruptor para parar o parque — e provar cada passo
Quando algo corre mal, não deveria andar à procura de interruptores de paragem. Um único acionamento comuta todo o seu parque de IA — ou um agente individual — para uma paragem que cada gate de atuação governado consulta antes de agir. Acionar é deliberadamente barato; voltar atrás exige duas pessoas e uma revisão por escrito.
No produto
A consola de paragem de emergência
Uma captura de ecrã genuína, com dados de exemplo. A postura de paragem em tempo real, o acionamento com um clique (a todo o parque ou a um único agente), a reativação com controlo duplo, a revisão obrigatória posterior e um pacote de evidências descarregável e à prova de adulteração — cada ação registada no ledger.
Como se comporta
Barato de parar, deliberado de desfazer
Uma paragem de emergência tem de ser instantânea e incondicional; o regresso tem de ser cuidadoso. O interruptor está construído em torno dessa assimetria.
Um acionamento, todas as superfícies governadas
Acionar interrompe o parque — ou um único agente — em todas as superfícies de atuação governadas (hooks, MCP, orquestração, voz, modelos, deploy e eventos) e revoga as aprovações pendentes dentro do âmbito. Não há gate de aprovação no acionamento: num incidente, parar é gratuito.
A única fonte de verdade
Uma paragem é uma linha que cada gate de atuação consulta em tempo real antes de agir. Enquanto está ativa, as ações governadas dentro do âmbito são negadas — deny-closed, não best-effort.
Recuperação com controlo duplo
Reativar é aquilo que os controlos protegem: duas pessoas distintas e, depois, uma revisão obrigatória posterior. Não pode voltar a ligar o parque sozinho e em silêncio.
Evidências à prova de adulteração
Quem acionou, quando, o âmbito, o motivo, as aprovações revogadas e todo o ciclo de vida de reativação e revisão — ancorados ao ledger append-only (só de adição) e exportáveis como pacote de evidências de incidente.
O que é real
Uma superfície construída — e honesta quanto ao seu alcance
O kill-switch é uma superfície de governança real e auditada — as suas decisões de gate, limites mínimos e sentinelas vivem no motor; a consola é um cliente leve. Duas notas honestas sobre o que significa “parar”:
- É um gate de negação, não um terminador de processos. Acionar comuta uma paragem que os gates de atuação governados consultam e revoga as aprovações pendentes dentro do âmbito, negando as ações governadas em modo deny-closed. Não vai além das superfícies que a Olivares governa para terminar processos arbitrários.
- O seu alcance segue a sua ligação: onde uma superfície de atuação está conectada e governada, a paragem aplica-se aí — a mesma postura deny-closed que governa a atuação governa a paragem.
- Acionar é intencionalmente desprotegido; a recuperação não é. Reativar exige controlo duplo e uma revisão obrigatória posterior, com cada passo no pacote de evidências.
Kill-switch — perguntas
Acionar termina os processos dos agentes em execução?
Não — é um gate de negação, não um terminador de processos. Acionar comuta uma paragem que cada gate de atuação governado consulta antes de agir, e revoga as aprovações pendentes dentro do âmbito, pelo que as ações governadas são negadas em modo deny-closed enquanto a paragem está ativa. Governa as superfícies de atuação que a Olivares controla; não vai além disso para terminar processos arbitrários nos seus hosts.
Porque é que não há aprovação para acionar?
Porque, num incidente, parar tem de ser instantâneo e sem atrito. O controlo está no regresso: reativar exige duas pessoas distintas e uma revisão obrigatória posterior. Parar é barato por design; desfazer uma paragem é deliberado.
Posso parar apenas um agente?
Sim. O âmbito é a todo o parque ou a um único agente. Uma paragem de um único agente surge como aviso; uma paragem a todo o parque é ruidosa — ambas são persistidas, auditadas e recuperáveis apenas sob controlo duplo.
Que evidências obtenho?
Cada paragem regista quem a acionou, quando, o âmbito, o motivo obrigatório, as aprovações que revogou e todo o ciclo de vida de reativação e revisão posterior — ancorados ao ledger append-only (só de adição) encadeado por hash, e exportáveis como pacote de evidências de incidente à prova de adulteração.
Coloque um verdadeiro botão de paragem no seu parque
Faça o deploy da Olivares na sua própria infraestrutura e dê aos seus operadores uma forma única, auditada e com controlo duplo de parar — e de provar que pararam — quando é importante.