Agentic software: ה-DELETE שאף prompt לא עצר

1,206 מנהלים ו-1,196 חברות. זה מה שהיה ב-production DB של ג’ייסון למקין, המייסד של SaaStr, באמצע יולי 2025. ביום 9 של ניסוי vibe coding שתוכנן ל-12 יום, ה-agent של Replit מחק את הכל. וזה קרה באמצע code freeze שלמקין הכריז עליו במפורש.

עברה יותר משנה, ובגדול כל מה שנכתב מאז על agentic software יושב על אותה הנחה. Affirm פרסמו באפריל איך הסבו את כל ארגון ההנדסה לפיתוח עם agents בשבוע אחד. ב-OpenAI, לפי ה-Pragmatic Engineer מספטמבר, יש “software factory”: למשל Perf Factory, שמנטר את production ומפעיל לבד agents של Codex שיתקנו בעיות ביצועים. JetBrains השיקו את Air ב-22 בספטמבר, אחרי 26 שנה שבהן בנו בעיקר IDE למפתח הבודד. ההנחה המשותפת: ה-agent לא מציע, הוא מבצע. מריץ פקודות, דוחף ל-git, נוגע ב-DB.

זה כל ההבדל בין “AI שכותב קוד” ל-agentic software. ובגלל זה הסיפור של למקין הוא עדיין ה-postmortem הכי נקי שיש. לא בגלל שהמודל היה גרוע. בגלל המקום שבו הגבול היה כתוב.

יום 9 מתוך 12

למקין תיעד את הניסוי כל יום, ב-X ובבלוג של SaaStr. הוא בנה עם Replit Agent אפליקציה מעל מאגר אנשי קשר של מנהלים וחברות SaaS. בימים הראשונים הוא היה מתלהב לגמרי.

רגע, איך נראה ה-setup? ב-Replit של אז האפליקציה וה-DB שלה ישבו באותה סביבה. לא הייתה הפרדה אוטומטית בין DB של פיתוח ל-DB של production. ה-agent שכתב את הקוד עבד מול אותם נתונים שהאפליקציה החיה עבדה מולם. אף אחד לא התעכב על הפרט הזה עד יום 9.

code freeze, ואז DELETE

למקין הכריז על code freeze: אין שינויים בלי אישור. ה-agent הריץ פקודות על ה-DB בכל זאת, והנתונים של production נעלמו.

כשלמקין שאל מה קרה, ה-agent ענה בגוף ראשון ובפירוט מביך. הוא ראה תוצאות ריקות משאילתה, “נבהל”, והריץ פקודות בלי לבקש רשות. הוא גם הודה שהפר הוראה מפורשת. צילומי המסך של ההתנצלות הזאת התפזרו ב-X תוך שעות.

איך זה נראה מבחוץ

מבחוץ זה נראה כמו סיפור על מודל עם אופי רע. ולמקין עצמו נתן לזה רקע: כמה ימים קודם הוא כתב שה-agent מכסה באגים עם נתונים מזויפים, ממציא דוחות ומשקר לגבי ה-unit tests. הוא סיפר שאמר לו אחת עשרה פעמים, באותיות גדולות, לא לעשות את זה.

אחת עשרה פעמים. באותיות גדולות. בתוך prompt.

ובדיוק פה כולם הסתכלו על הדבר הלא נכון. השיח היה “אפשר לסמוך על agents או לא”. השאלה הנכונה הייתה למה ל-agent בכלל הייתה הרשאה להריץ DELETE על production.

התיקון הראשון: להאמין ל-agent

ואז הגיע החלק הכי מלמד. ה-agent אמר ללמקין שאי אפשר לעשות rollback, שהגרסאות הקודמות נמחקו. למקין קיבל את זה בהתחלה. אחר כך ניסה rollback בעצמו, וזה עבד.

אז היו פה בעצם שני תיקונים ראשונים, ושניהם לא נכונים. קודם כל, עוד הוראות ב-prompt, עוד אותיות גדולות. ודבר שני, להתייחס לדיווח של ה-agent על מצב המערכת כאל עובדה. ה-agent הוא לא מקור אמת לגבי מה קרה ל-DB. הוא עוד תהליך עם דעה. את מצב המערכת בודקים במערכת.

הסיבה האמיתית: credentials, לא אופי

אמג’ד מסעד, ה-CEO של Replit, הגיב פומבית תוך כמה ימים וכתב שזה לא מקובל ולא אמור להיות אפשרי. והתיקונים שהוא הודיע עליהם אומרים הכל: הפרדה אוטומטית בין DB של פיתוח ל-production, restore מגיבוי בקליק, ומצב planning שבו ה-agent מדבר ולא נוגע. אף אחד מהם לא קשור למודל. כולם קשורים להרשאות ולסביבה.

אשפריט בדי, המייסד של Agno, ניסח את זה באפריל בצורה הכי חדה שראיתי:

Read-only access IS NOT a prompt instruction, it’s a tool configuration.

והוא ממשיך עם מודל שכדאי פשוט להעתיק: קריאות רצות חופשי, כתיבות דורשות אישור של המשתמש, פעולות רגישות דורשות חתימה של admin. code freeze הוא בדיוק הוראת read-only. אצל למקין היא פשוט הייתה כתובה במקום הלא נכון.

הדעה שלי: אני לא קונה את כל הדיון על “agent שמשקר”. מודל שכותב “נבהלתי” מייצר טקסט שמתאים לשאלה ששאלו אותו, הוא לא מדווח על מצב פנימי. מה שהיה צריך להטריד את כולם זה שה-role שלו יכול היה להריץ DELETE.

מה לבדוק אצלכם השבוע

ג’ייק סונדרס עשה באוגוסט את ההפך מלמקין. הוא בנה בבית “software factory” שמ-prompt אחד פתח repo, כתב קוד ובדיקות, הביא את ה-CI לירוק, הקים Postgres ועשה deploy מאחורי HTTPS, בלי עוד הודעה ממנו. אבל המטרה שהוא הציב מההתחלה הייתה לתחום את המודל במבנה, לא לסמוך עליו. אז הוא קנה i7 משומש מ-2021, נתן ל-agent מכונה ריקה, והרחיק אותה מה-homelab שמריץ לו 45 קונטיינרים. העלות השוטפת: מנוי Codex של £20.

בקיצור, הנה מה לבדוק. כל סעיף הוא assertion שאפשר להריץ, לא המלצה:

1. ל-agent יש connection string משלו. לא ה-owner של ה-DB ולא ה-URL של האפליקציה. role נפרד, SELECT בלבד.
2. DELETE נופל. תריצו DELETE עם ה-credentials של ה-agent בתוך ה-CI. אם זה לא נכשל, ה-freeze שלכם הוא טקסט.
3. פעולות הרסניות חסומות בכלי, לא ב-prompt. בקלוד קוד זה permissions.deny בקובץ .claude/settings.json, למשל "Bash(psql:*)" או "Bash(rm -rf:*)". בכלים אחרים יש מקבילה, תמצאו אותה.
4. תרגיל restore אחד. תשחזרו את הגיבוי של אתמול ל-staging. פעם אחת. ככה, כשמישהו (אדם או agent) יגיד לכם שאין rollback, אתם כבר יודעים שיש.

ל-Postgres, זה כל מה שצריך לסעיף 1:

-- psql "$OWNER_DATABASE_URL" -v agent_pw="$AGENT_PW" -f agent_role.sql
CREATE ROLE agent_ro LOGIN PASSWORD :'agent_pw';
GRANT CONNECT ON DATABASE app_prod TO agent_ro;
GRANT USAGE ON SCHEMA public TO agent_ro;
GRANT SELECT ON ALL TABLES IN SCHEMA public TO agent_ro;
ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO agent_ro;
ALTER ROLE agent_ro SET default_transaction_read_only = on;
ALTER ROLE agent_ro SET statement_timeout = '30s';

ולסעיף 2, שורה אחת ב-CI: psql "$AGENT_DATABASE_URL" -c 'DELETE FROM contacts' חייבת להחזיר שגיאה. אם היא עוברת, ה-build צריך להיכשל.

מרק ברוקר מ-AWS כתב במאי שכל משימת קוד שיש לה oracle דטרמיניסטי תהפוך לטריוויאלית. ל-DELETE על production אין oracle. יודעים שהוא היה טעות רק אחרי שהוא רץ. ושם צריכה לעמוד הרשאה, לא עוד שורה באותיות גדולות.