Patrones de solución
Un patrón de políticas por área
Una frase y una regla representativa por área. Los ejemplos completos de SPDL, con los atributos que necesita cada comprobación, están en la página de patrones.
Construcción · 01 Datos y entrenamiento
Los trabajos de entrenamiento leen conjuntos de datos y escriben puntos de control; el consentimiento y la región se verifican por conjunto de datos, y los datos restringidos nunca entran al entrenamiento.
grant role training-pipeline read expr:^/datasets/ if consent == true && data_region == job_region
Construcción · 02 Publicación de modelos
Registrar, aprobar, promocionar y revertir son acciones independientes, y nadie aprueba un modelo que haya entrenado.
deny role release-manager approve expr:^/models/ if trained_by == request_user
Ejecución · 03 Inferencia y RAG
El recuperador consulta sobre cada documento antes de que su contenido ingrese al prompt, de modo que el modelo solo ve lo que el usuario tiene permiso para leer.
grant role tenant-user retrieve expr:^/collections/ if doc_tenant == user_tenant && doc_label in user_clearances
Ejecución · 04 Agentes actuando en nombre de usuarios
El agente se verifica dentro del alcance de su token de delegación, luego se verifica el usuario delegador con sus permisos actuales.
grant entity triage-agent in-time if request_time < token_expires
Ejecución · 05 Llamadas a herramientas (MCP)
Cada llamada a una herramienta se comprueba antes de ejecutarse, y los argumentos se convierten en atributos que la política puede limitar.
grant role billing-agent call /tools/issue-refund if amount <= 100 && customer_verified == true
Ejecución · 06 Llamadas entre agentes (A2A)
Se verifica cada salto, y el receptor solo puede recibir los alcances que el emisor ya posee.
grant role planner-agent call /agents/researcher if IsSubSet(requested_scopes, caller_scopes) && hops <= 2
Ejecución · 07 Privilegios permanentes cero · Autohospedado
Los tokens de corta duración emitidos justo a tiempo pueden admitir privilegios permanentes cero cuando la emisión y los controles están implementados. Speedle es donde define su estrategia ZSP como política y la aplica en cada solicitud: el acceso existe solo dentro del período de tiempo y las condiciones escritas en SPDL.
grant role agent-runtime invoke /api/orders if expires_at > issued_at && expires_at - issued_at <= 600 && issued_at <= request_time + 60 && not_before <= request_time + 60 && request_time < expires_at && TokenUnused(token_id)
