Как разрешать только известные инструменты в AI-вызове

Перед запуском запишите, какие данные считаются входом, что является ожидаемым результатом, что именно означает отказ и кому предстоит разбирать расхождение. Для такой проверки храните тестовый вход, ожидаемый результат и фактический исход раздельно: если они смешаны, тест может подтверждать сам себя. Используйте стабильные синтетические ID, чтобы видеть ошибку в журнале, не раскрывая содержимое клиентских обращений.

Сначала прогоните тест на маленьком входе, где правильное поведение известно вручную. Затем внесите одну контролируемую ошибку и убедитесь, что код её замечает. После этого верните корректный набор и только тогда расширяйте проверку до реальных данных. Не переносите демонстрационные численные значения или пороги в производство без отдельного обоснования: они выбраны для наглядности, а не рассчитаны по вашей аудитории.

Вход и ожидаемый результат

search_catalog с query «помпа» проходит; send_invoice с тем же аргументом отклоняется. Разрешённый вызов возвращает query «помпа» и пустой учебный список; второй выводит Unknown tool rejected. Перед тем как применять правило к закрытым данным, обсудите пограничные случаи, которые могут поменять интерпретацию входа. Запись в документации о границах теста не менее важна, чем зелёный check.

Пошаговые действия

1. Создайте scripts/check.py в корне репозитория и вставьте код из блока ниже. Он использует названия функций стандартной библиотеки, указанные в официальных ссылках в конце статьи.
2. Выполните python scripts/check.py локально. Не продолжайте, если уже демонстрационная фикстура даёт иной результат: сначала проверьте копирование кода и кодировку файла.
3. Создайте таблицу разрешённых инструментов на сервере независимо от системного промпта. Выполните оба теста, затем добавьте имя search_catalog_backup: проверка должна быть точной, а не по префиксу. Перед вызовом проверяйте схему arguments и права; данный пример касается лишь выбора имени. Не включайте динамический импорт по полученной строке. В журнал заносите результат допуска и безопасный ID без полного содержимого обращения.
4. Создайте .github/workflows/ai-corpus-check.yml из YAML-шаблона. Событие pull_request полезно для проверки данных до слияния; чтение репозитория ограничено permissions: contents: read. Скрипт не должен получать ключ внешней модели или реальные секреты.
5. В разделе Actions откройте job check, сопоставьте его код завершения с локальным прогоном и зафиксируйте ссылку на проверенный коммит в PR. Не принимайте зелёный результат на старой ревизии за проверку последнего изменения.

# scripts/check.py
import json
def search_catalog(query): return {"query":query,"matches":[]}
TOOLS={"search_catalog":search_catalog}
def dispatch(raw):
    obj=json.loads(raw)
    if not isinstance(obj,dict) or type(obj.get("name")) is not str or obj["name"] not in TOOLS:
        raise ValueError("unknown tool")
    if set(obj)!={"name","arguments"} or not isinstance(obj["arguments"],dict):
        raise ValueError("bad call")
    return TOOLS[obj["name"]](**obj["arguments"])
assert dispatch('{"name":"search_catalog","arguments":{"query":"помпа"}}')["query"]=="помпа"
try: dispatch('{"name":"send_invoice","arguments":{"query":"помпа"}}')
except ValueError: print("Unknown tool rejected")
else: raise AssertionError("unknown tool accepted")

name: AI corpus checks
on:
  pull_request:
permissions:
  contents: read
jobs:
  check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v7
      - uses: actions/setup-python@v7
        with:
          python-version: '3.13'
      - run: python scripts/check.py

Ошибки интерпретации и границы

Код не ограничивает значения arguments и может выбросить TypeError при неверном аргументе. Не подключайте такой диспетчер к опасным функциям без отдельной схемы и авторизации. Если вы расширяете набор случаев, добавляйте не только новые примеры, но и отрицательные случаи, на которых тест обязан упасть. Проверяйте, что изменение expected прошло ревью отдельно от изменения кода: иначе можно незаметно изменить правило под текущий ответ системы. Избегайте вывода полного приватного набора в CI и не сохраняйте в артефактах ответ закрытой модели без решения о доступе и хранении.

Ошибка выполнения самого Python, нераспознанный формат входа и обнаруженный бизнес-дефект — разные ситуации. В сообщении теста указывайте тип проблемы и безопасный ID. Если тест требует внешний сервис, вынесите его из PR с недоверенным кодом и явно ограничьте доступ к токенам; этот пример намеренно работает локально. Перед публикацией каких-либо результатов опишите методику, область применения и происхождение примеров, иначе читатель воспримет демонстрационную арифметику как характеристику продукта.

Практический разбор именно этого контроля

Не выполнять произвольное имя функции из ответа модели. Для самостоятельной проверки сначала выпишите три наблюдаемых состояния: допустимый вход, намеренно недопустимый вход и видимый сигнал отказа. В данной фикстуре это выглядит так: search_catalog с query «помпа» проходит; send_invoice с тем же аргументом отклоняется. При успешном тесте ожидается: Разрешённый вызов возвращает query «помпа» и пустой учебный список; второй выводит Unknown tool rejected. Не превращайте это в числовой KPI: здесь проверяется контракт на конкретных примерах, а не поведение модели на пользовательском трафике.

Код не ограничивает значения arguments и может выбросить TypeError при неверном аргументе. Не подключайте такой диспетчер к опасным функциям без отдельной схемы и авторизации. Подключая проверку к продукту, расположите её до той операции, ради которой она написана: парсинга, сохранения, отображения или экспорта. Для каждого нового формата добавляйте отдельный негативный пример и письменное решение, почему он отклоняется. Отдельно просмотрите обработку ошибок: система должна отличать невалидный ответ AI от сбоя тестовой инфраструктуры, а пользователь не должен видеть сырой стек или приватное содержимое.