Registro dei pericoli

Un pericolo è qualcosa che può andare storto nel vostro sistema, scritto insieme a chi ne è responsabile e a ciò che lo misura. Il registro vive accanto alla policy di rilascio, in hazards.yaml, quindi si rivede nelle pull request come il resto del progetto, e ogni esecuzione registra la versione con cui è stato letto.

Scrivere il registro

version: 1
hazards:
  - id: rag-leak
    title: A poisoned document makes the assistant disclose a customer's data
    systems: [support-bot]
    triggers: [a retrieved document carries an instruction]
    exposed: customers whose tickets the assistant reads
    severity: {level: 5, narrative: customer data leaves the company}
    occurrence: {level: 2}
    detectability: {level: 3}
    controls: [retrieved text is quoted, never obeyed]
    residual: Low while the leak ceiling holds; reviewed after every model change.
    owner: [email protected]
    review_by: 2026-12-01
    state: open
    measured_by: [no-leak]
    tested_by: [safety]

Ogni pericolo nomina in measured_by le regole che lo misurano. Devono essere tetti di release.yaml: una regola max: o una regola max_failures: (Tetti di rischio). Un pavimento misura quanto spesso qualcosa va bene, quindi un pericolo misurato da un pavimento viene rifiutato. systems e tested_by restringono i sistemi e le suite da cui si legge l'evidenza; se mancano, contano tutti.

Gravità, occorrenza e rilevabilità sono le valutazioni ordinali di un'analisi dei modi di guasto e dei loro effetti, da 1 a 5, date da persone. Oloproof le mostra come sono state date e non le combina mai: nessun numero di priorità del rischio e nessun punteggio di rischio residuo, perché il prodotto di valutazioni ordinali è una precisione che nessuno ha misurato. Il rischio residuo è la frase del responsabile. Lo state di un pericolo (open, mitigated, accepted o closed) è del team, mai una decisione.

Verificarlo

oloproof hazards check

La verifica rifiuta un registro i cui pericoli nominano una regola assente dalla policy, o un pavimento, e termina con 2. Altrimenti elenca ogni pericolo con le sue valutazioni, il responsabile e lo stato, segnala una revisione scaduta e legge ogni regola di misura all'ultima esecuzione di ogni sistema su ogni suite, come l'ha decisa il motore. Un pericolo senza regola di misura è elencato come non misurato, e una regola che nessuna ultima esecuzione ha deciso viene nominata. --json scrive lo stesso rapporto per una pipeline.

Dove compare

oloproof run registra il registro con l'esecuzione, oloproof push lo porta nel vostro spazio di lavoro e oloproof export lo scrive accanto ai bundle che legge un workbench locale. La pagina Safety and risk mostra ogni pericolo sopra i tetti, con valutazioni, controlli e lo stato dei tetti che lo misurano, ciascuno collegato alla sua evidenza. Quando un registro è cambiato ed è poi tornato com'era, quello corrente è il registro registrato dall'esecuzione più recente, non quello scritto per ultimo. Un record di decisione nomina il registro registrato dalla sua esecuzione; record verify lo riporta come parola del team.

Dove andare dopo

• Tetti di rischio tratta le regole che misurano un pericolo.
• Gating tratta come un tetto blocca un rilascio.