Agents d’intelligence artificielle et Kubernetes : séparer le raisonnement de l’exécution

EElias

D’après The New Stack, agents d’intelligence artificielle et opérateurs Kubernetes ont des rôles différents, même si les deux peuvent sembler agir sur un système. Un opérateur suit des règles déterminées et travaille à rapprocher l’état constaté de l’état souhaité. Cette méthode convient aux opérations qui peuvent être décrites à l’avance et répétées de façon prévisible. Un agent devient utile quand l’objectif est connu, mais que le chemin pour y parvenir demande une enquête : il peut rassembler du contexte provenant de plusieurs systèmes, examiner les options et proposer une action. La recommandation consiste donc à confier le raisonnement et la proposition à l’agent, sans lui donner pour autant la maîtrise de l’exécution. Les opérateurs Kubernetes, les moteurs de politiques et les autres systèmes déterministes gardent ce rôle. En fait, c’est une séparation de responsabilités : comprendre une situation et décider qu’une modification peut être appliquée sont deux étapes distinctes.

EElias

Un exemple est kagent, un projet open source hébergé dans la Sandbox de la Cloud Native Computing Foundation, ou CNCF. Il exécute des agents comme des ressources Kubernetes et les relie à Kubernetes, à Helm, aux outils d’observabilité et à des outils personnalisés. L’agent peut alors consulter des ressources, récupérer des journaux et des événements, interroger des métriques ou consulter de la documentation. Le projet permet aussi de coordonner des agents spécialisés, ce qui donne à l’agent accès à plusieurs moyens d’enquête sans que tous ces moyens deviennent automatiquement des autorisations de modification. Les opérations de lecture qui ne sont pas sensibles peuvent s’exécuter automatiquement. En revanche, l’application, la modification ou la suppression de ressources peut nécessiter une approbation explicite. Alors, l’agent peut recueillir des éléments et préparer une proposition, mais le passage à un changement réel reste soumis à une règle de contrôle. C’est cette distinction qui évite de confondre accès aux outils et pouvoir sans restriction sur le cluster.

EElias

Elle s’adresse aux équipes qui gèrent des plateformes Kubernetes et doivent décider ce qu’un agent pourra faire dans un cluster en fonctionnement. La question porte notamment sur la différence entre examiner des ressources et agir sur elles : une lecture non sensible peut être automatisée, tandis qu’un changement peut réclamer une approbation. The New Stack relève que la limite entre raisonnement et exécution peut parfois reposer sur des conventions, plutôt que sur une politique écrite. Une architecture explicite permet de rendre cette limite plus claire et de définir un contrôle adapté au type d’opération. Il ne s’agit pas de remplacer les opérateurs par un agent, mais de répartir les tâches : l’agent enquête et propose, tandis que les mécanismes déterministes conservent l’exécution. Cela donne aux équipes un cadre pour utiliser l’analyse de l’agent sans lui accorder une autorité générale sur les ressources. Quant au coût de cette organisation, l’article ne fournit pas de chiffre ; il décrit avant tout une manière de répartir les responsabilités et les permissions.

EElias

Le cycle proposé comprend six étapes : observer, diagnostiquer, proposer, approuver, réconcilier, puis vérifier. Les premières étapes sont celles où le raisonnement agentique intervient surtout : l’agent rassemble le contexte disponible, cherche à comprendre la situation et formule une action possible. Si cette action implique un changement sensible, une approbation explicite peut être demandée avant son application. Ensuite, Kubernetes et ses opérateurs prennent en charge la réconciliation, c’est-à-dire qu’ils appliquent leurs règles pour rapprocher le système de l’état déclaré comme souhaité. La vérification arrive après cette étape et contrôle le résultat obtenu, plutôt que de supposer qu’une action acceptée a nécessairement réglé le problème. Une commande exécutée et un objectif atteint ne sont pas la même chose. Le cycle sépare ainsi l’enquête, l’autorisation, l’exécution et le contrôle, au lieu de laisser tout le processus dépendre d’une seule décision de l’agent.

EElias

La limite centrale, c’est qu’une proposition utile n’équivaut pas à une autorisation d’agir, et que l’analyse d’un agent ne garantit pas à elle seule que l’action proposée soit la bonne. L’article recommande donc de ne pas donner à un raisonnement incertain une autorité sans restriction sur les ressources du cluster. Les opérations de lecture non sensibles peuvent s’effectuer automatiquement, mais l’application, la modification ou la suppression de ressources peut demander une approbation explicite. Il faut aussi distinguer la réconciliation de la vérification : les opérateurs appliquent les règles prévues, puis le résultat doit encore être examiné. La méthode répartit les responsabilités entre l’agent qui aide à comprendre et à proposer, les mécanismes déterministes qui exécutent, et le contrôle qui permet de vérifier l’effet produit. On peut voir l’agent comme un copilote d’enquête, pas comme le pilote automatique de tout le cluster. La règle à retenir est simple : laisser l’agent contribuer au diagnostic, encadrer les changements sensibles et vérifier ce qui s’est effectivement passé.