Як Cyera зробила Claude Cowork front door до 40 enterprise tools без permission хаосу

Cyera побачила типову проблему: R&D уже отримує цінність від Claude Code, а non-technical teams або залишаються поза agentic workflows, або знаходять shadow AI. Перенести terminal-centric підхід на 1,500 людей напряму — погана UX і ще гірша security strategy. Cowork дав front door до робочих систем без вимоги, щоб кожен став напівDevOps.

Але головна складність з'являється після підключення першого десятка систем: агент може використати все, що дозволяють його permissions. Тому Cyera перед rollout проводила data mapping і re-scoping access, а Snowflake відкрила через documented semantic layer. Production lesson простий: connector count — не KPI; контрольований effective access і verified outcomes — KPI.

Trigger залежить від workflow: scheduled support triage кожні ~30 хв, Asana ticket, RFP, legal NDA, event campaign, Slack DM або ad-hoc analytical request. Input включає agent identity, user/task identity, approved data sources, semantic definitions, policy/playbook, tool scopes, target system і action class.

AI stage retrieve-ить context, планує multi-step task, робить read tool calls, готує draft/recommendation або candidate write. Integrations у публічному кейсі включають Slack, Salesforce, Asana, Google Drive, Notion, Snowflake та MCP servers. Output — draft, target list, assessment, ticket або analytical answer з human decision point перед sensitive external/write effect.

• Trigger → schedule/event/user request.
• Input → agent identity + scoped connectors + semantic/policy context + action class.
• AI → retrieve, reason, call allowed tools, draft candidate result.
• Control → DLP/permissions/approval/idempotency.
• Output → reviewed message/action + authoritative postcondition + trace.

Критичний патерн — data mapping до rollout. Якщо employee має надлишкові permissions, агент здатен використати їх швидше й ширше, ніж людина. Тому entitlement hygiene має передувати connector rollout: inventory systems, classify data, map identities, remove dormant access, define purpose-limited scopes і логувати effective authorization на кожний call.

Read і write треба розділяти. Salesforce search не означає право змінити opportunity; Gmail draft не означає send; legal playbook assessment не означає accept clause; Snowflake query не означає export raw sensitive rows. Exact-action approval показує target, parameters, affected records і expected side effect.

Homegrown MCP servers дають зручний стандартний interface, але додають supply-chain і schema boundary. Tool descriptions та returned content треба вважати untrusted data; server identity, version, schema hash і allowed methods — частина release envelope. Зміна MCP server без зміни prompt може повністю змінити поведінку агента.

Для production потрібні allowlisted servers, provenance, pinned versions, egress policy, per-call authorization і negative tests: poisoned tool description, expanded write scope, schema drift, redirect/background fetch, partial write after timeout. Якщо MCP server недоступний, agent degraded mode не повинен підмінювати факт фантазією.

Cyera у 2026 році окремо описала integrations із Claude Enterprise для visibility через Compliance API та Agent Guardian/inference hooks. Це сильний pattern: security control працює не тільки на prompt box, а й на прикріплених файлах, tool results та generated content до model/action boundary.

AI-Magister reproduction layer додає shadow mode перед blocking, severity-aware allow/deny, role exclusions, privacy-safe logs і deterministic redaction. Не варто логувати повний sensitive payload лише тому, що 'observability'. Trace має зберігати enough evidence для incident reconstruction без створення нового витоку.

Публічний кейс Cyera повторює однакову форму: agent робить repetitive first pass, людина review-ить перед shipment. Це природний A3 для knowledge-work portfolio. Support agent drafts відповідь owner; legal plugin готує NDA pre-review для lawyer; marketing agent готує list/outreach workflow; analytics agent відповідає через governed semantic layer.

Для low-risk read tasks approval кожного tool call лише вбиває adoption. Для external messages, contract positions, CRM writes або bulk outreach потрібен risk-based gate. Authority matrix повинна бути централізованою політикою, а не фразою 'be careful' у skill.

Failure modes: semantic layer outdated; CRM permission змінилася; Asana item missing evidence; two agents update same object; tool timeout after write; retrieved Slack message contains prompt injection; model generates plausible but unsupported legal position. Для missing/stale source agent має surface uncertainty і owner task, не домислювати.

Side-effecting tools використовують idempotency key і optimistic/version check. Після timeout система читає Salesforce/Asana/Gmail system of record до retry. Scheduled task зберігає cursor/message IDs, щоб не відповідати повторно на ті самі items. Revocation повинна діяти до наступного call, а не після завершення довгої сесії.

Ask Claude triage працює приблизно кожні 30 хв; інші agents запускаються event-driven або ad hoc. За 1,500 users inference bill — лише частина TCO. Значні витрати: connector maintenance, MCP servers, semantic layer, security telemetry, training, office hours, review, failed runs і incident response.

Повний cost model: `enterprise licenses/inference + connector/MCP runtime + data/semantic layer + observability/DLP + human review + rework + enablement + incident reserve`. KPI: weekly active use як adoption, але outcome — verified task success, cost per verified task, review minutes, write rollback/duplicate rate, data-policy violations і escaped errors.

Eval set будується по workflow slices: support, CRM, legal, analytics, marketing. Додаються permission-negative cases, stale data, conflicting source, prompt injection, tool schema drift, duplicate event, 429/timeout і unavailable dependency. Graders перевіряють не лише final text, а trajectory, tool scope і authoritative final state.

Rollout: `data/access inventory → read-only connectors → cross-functional pilot → semantic layer → draft-only agents → selected approved writes → broader portfolio`. Cyera reported company-wide Cowork rollout in 17 days, але це не означає, що кожній організації варто копіювати календар. Promotion має залежати від access hygiene, eval pass і recovery drills, а не від красивої launch date.