Страница APC Policy Lab описывает браузерный инструмент, в котором можно редактировать правило политики и JSON-запрос, запускать заданные атакующие случаи и изучать результат. Это даёт разработчику отдельный способ проверить, как выбранные изменения входных данных влияют на решение правила, но не подтверждает, что политика перехватывает вызовы в работающем агенте. Находка появилась на Hacker News 8 ноября 2026 года; эта дата относится к публикации там, а не к подтверждённому запуску инструмента. Открыть APC Policy Lab.
Что предлагает APC Policy Lab
Инструмент предназначен для разработчиков, которым нужно исследовать логику разрешения агентских действий без подключения к реальным API. Страница заявляет, что среда работает локально в браузере, не использует внешние вызовы и учётные данные, не выполняет действия у провайдера и не запускает серверный код.
Как проверить правило и запрос
Пользователь может изменить выражение политики и JSON-вход с полями действия, ресурса, авторизации и идентификатора запроса. После выбора тестового случая или ручного изменения данных он запускает проверку и изучает решение, трассировку и запись результата.
- Задать или изменить выражение политики.
- Отредактировать JSON-запрос и нужные поля.
- Выбрать демонстрационный случай либо внести изменение вручную.
- Запустить оценку и изучить решение, трассировку или экспортируемую запись.
Среди демонстрационных случаев — изменение целевого действия, истёкшие полномочия, эскалация делегирования, повторное использование идентификатора запроса и неавторизованный субъект. Есть и базовый запрос, соответствующий заданным ограничениям. Эти случаи загружают редактируемые входные данные: их можно изменить и запускать повторно, поэтому они не являются неизменяемым тестовым набором.
Что показывает результат
Например, разработчик может изменить действие в запросе, который исходно предназначен для чтения документа, и посмотреть, как на это реагирует правило. Результат относится к текущим входным данным и текущему выражению политики; страницу можно использовать для отладки этого сочетания и изучения трассировки. Запись оценки экспортируется или копируется в формате JSON.
Ограничения локальной проверки
Оценщик использует намеренно ограниченную грамматику выражений и, согласно странице инструмента, не является движком OPA или компилятором Rego. Результат показывает оценку в этой среде, но не доказывает, что такая же политика подключена к конкретному агенту и применяется до выполнения действий в производственной системе. Указанная для записи контрольная сумма проверяет целостность содержимого, но не является цифровой подписью, доверенной временной меткой или независимой аттестацией. Страница не указывает цену и дату запуска; независимые тесты в доступных материалах отсутствуют.
