OpsAgents: Десять агентов LangGraph для работы в облаке и в средах DevOps.
Обзор десяти агентов DevOps с участием человека, созданных на базе LangGraph, от Terraform и Kubernetes до сканирования с помощью Trivy, включающий правила проектирования и извлеченные уроки.
Источники: DevOps Agents From the 2026 Guide to a Real Working Repo in 10 Agents
Инженеры постоянно задают один и тот же вопрос о агентах DevOps, только под другими словами: действительно ли существует что-то подобное, где находится код и может ли он работать уже сегодня? Концепции помогают лишь до определённой степени, поэтому практический ответ — OpsAgents, набор из десяти ИИ-агентов для работы в облаке и в рамках DevOps, созданных с использованием LangGraph и Python. Он работает как инструмент командной строки, так и в качестве сервера MCP.
Уведомление о бета-версии: OpsAgents находится в бета-тестировании. Не используйте его в производственных средах. Могут появиться неожиданные изменения, и вы используете его на свой страх и риск.
Правила проектирования
Человек подтверждает каждое разрушительное действие. Масштабирование развертывания, применение Terraform или запуск инструкций — всё это заставляет агента остановиться и запросить подтверждение перед тем, как произойдёт что-то необратимое. Эту функцию нельзя отключить, поскольку производственная инфраструктура не должна этого позволять.
Машины состояний, а не хрупкие цепочки команд. Каждый агент представляет собой ориентированный граф, в котором состояние перемещается между узлами. Если какой-то шаг сбивается на полпути, состояние сохраняется, и агент может восстановиться. Благодаря функции сохранения состояния агент выживает после перезапуска, не теряя достигнутого прогресса.
Реальные интеграции. Агенты работают с AWS Cost Explorer, CloudWatch, CloudTrail, IAM, SSM и EC2, выполняют реальные операции в Kubernetes с помощью kubectl, используют Trivy для сканирования на наличие CVE и генерируют JSON-данные для панели управления Grafana, которые можно вставить в существующую стек-структуру. Ничего из этого не является имитацией или фикцией.
Несколько поставщиков моделей. Работают Claude, GPT-4, Gemini, Mistral и Ollama; Ollama позволяет выполнять задачи полностью локально, без сетевого подключения. Фреймворк не зависит ни от одного конкретного поставщика.
Два способа запуска
В режиме CLI вы можете запускать любой агент непосредственно из терминала, что удобно для однократных операций, написания скриптов и тестирования.
В режиме сервера MCP OpsAgents интегрируется в Claude Code, Cursor, Codex или OpenCode, что позволяет взаимодействовать с инфраструктурой как с коллегой. После настройки сервера MCP в редакторе каждый агент становится инструментом, который редактор может вызывать. Вы можете попросить его просканировать кластер на наличие неисправных подов или подготовить отчет о счете за этот месяц в AWS; соответствующий агент обработает запрос и покажет подтверждение перед тем, как что-либо изменить.
Десять агентов
Облачные агенты (AWS)
Инструмент для создания инфраструктуры. Он охватывает весь цикл жизни инфраструктуры как кода. Вы описываете свои требования простым языком, например, публичную VPC с двумя субсетями в разных зонах доступности, и инструмент генерирует полные конфигурации Terraform или CloudFormation. Затем он проверяет синтаксис и запускает команду terraform plan, чтобы вы могли увидеть, что именно изменится, ещё до создания ресурсов, применяя изменения только после интерактивного подтверждения. После этого он может провести аудит действующего аккаунта AWS и выявить отклонения от конфигурации, хранящейся в Git, что позволяет обнаружить ручные изменения, произведённые в обход процесса управления инфраструктурой как кодом.
- Преобразование текста на естественном языке в полные конфигурации Terraform или CloudFormation, а не только их структурную основу
- Проверка синтаксиса и примерный план действий перед выполнением
- Применение изменений только после подтверждения человеком
- Обнаружение отклонений между текущим состоянием AWS и конфигурацией, хранящейся в Git
Безопасность и соответствие стандартам. Учетные записи AWS в производственной среде постепенно накапливают риски. Политики IAM со временем становятся менее строгими, группы безопасности открываются для отладки и так и не закрываются, а бакеты S3 оказываются некорректно настроенными. Этот агент осуществляет непрерывную аудиторскую проверку вместо периодических обзоров. Он ищет разрешения с маской «все» в политиках IAM и креденциалы с чрезмерными привилегиями, находит группы безопасности EC2 с публичным доступом (классический пример — SSH, открытый для 0.0.0.0/0), а также проверяет бакеты S3 на отсутствие шифрования и публичного права на чтение. Результаты оцениваются по критериям CIS AWS Foundations Benchmark, поэтому вы получаете оценки степени серьезности, а не простой список.
- Анализ IAM с учетом масок «все», путей эскалации и неприменяемых разрешений
- Аудит групп безопасности на наличие публичных портов и чрезмерно широкого доступа
- Аудит бакетов S3 на состояние шифрования и публичный доступ
- Сравнение показателей CIS с указанием степени критичности
Оптимизатор затрат. Счета от AWS содержат ненужные расходы, на поиск которых у никого нет времени вручную: неподключенные тома EBS, инстансы EC2, работающие с загрузкой процессора 3% в течение месяцев, Эластичные IP, выделенные без цели использования, а также покрытие через зарезервированные инстансы, которое меняется по мере изменения парка оборудования. Агент запрашивает отчеты о расходах из Cost Explorer, находит нераспределенные ресурсы по типу и региону, предлагает корректировку размеров недостаточно используемых вычислительных ресурсов и указывает, где использование планов экономии или зарезервированных инстансов позволит сократить расходы. Каждая рекомендация сопровождается оценкой ежемесячной экономии.
- Запросы в Cost Explorer по сервисам, регионам и периодам
- Обнаружение неподключенных томов, неактивных инстансов и нераспределенных Эластичных IP
- Рекомендации по корректировке размеров с оценкой экономии
- Анализ покрытия с помощью планов экономии и зарезервированных инстансов
Реагирование на инциденты. После срабатывания сигнала тревоги в производственной среде наиболее важны первые 15 минут. Этот агент начинает расследование одновременно, ещё до того, как человек полностью проснётся. Он собирает все сигналы тревоги CloudWatch, находящиеся в состоянии ALARM, запрашивает информацию о недавних ошибках из Log Insights и перечисляет вызовы API CloudTrail, совершённые во время сбоя; такое сочетание обычно позволяет выяснить, что изменилось. Если подходит стандартный руководство SSM, оно может быть запущено после вашего подтверждения. После устранения проблемы агент создаёт структурированный отчёт в формате markdown с описанием хронологии событий, первопричины и мер по снижению рисков.
- Агрегация сигналов тревоги с указанием того, что находится в состоянии ALARM, с какого момента и какие ресурсы
- Анализ первопричины на основе данных Log Insights и истории CloudTrail
- Запуск руководства SSM с последующим утверждением
- Создание готовых отчётов о результатах расследования
Проверка архитектуры. Большинство команд проверяют свою архитектуру согласно AWS Well-Architected Framework один раз при запуске и редко делают это снова. Этот агент обеспечивает непрерывную проверку. Он находит базы данных RDS, инстансы EC2, балансировщики нагрузки, функции Lambda и контейнеры S3 без указания списка существующих ресурсов, затем создаёт диаграммы потоков Mermaid, показывающие их взаимосвязи. Он оценивает настройки с учётом принципов Well-Architected Framework и выделяет недостатки, такие как отсутствие развертывания в нескольких зонах доступа, наличие баз данных RDS без автоматических резервных копий, а также архитектуры, предназначенные для работы в нескольких регионах, но реализованные в одном регионе.
- Автоматическое обнаружение ресурсов, что исключает необходимость в ручном учёте
- Диаграммы топологии в формате Mermaid, создаваемые на основе актуальных данных
- Оценка параметров надёжности, производительности и затрат
- Конкретные рекомендации по вопросам развертывания в нескольких зонах, резервных копий и узких мест
Агенты DevOps (управление платформой)
Пайплайн CI/CD. У всех есть свои мнения относительно пайплайнов, но у никого нет времени на их настройку. Этот агент анализирует кодовую базу и генерирует индивидуальную конфигурацию пайплайна вместо использования универсального шаблона. Он определяет язык, менеджер пакетов и систему сборки, затем создаёт рабочие процессы GitHub Actions с кэшированием зависимостей, минимальными правами доступа (OIDC вместо долговременных учетных данных) и разумным разделением задач. При сбое пайплайна он анализирует логи и дает точную диагностику — не просто «сборка не удалась», а, например, информацию о пропуске кэша, вызванном изменением файла блокировки, в результате чего хеш ключа кэша устарел.
- Определение языка, менеджера пакетов и системы сборки
- Создание рабочих процессов с кэшированием, поддержкой OIDC и контролем прав доступа
- Диагностика сбоев с указанием конкретной причины и способа устранения
Управление Kubernetes. Этот агент действует как администратор кластера с полными правами на диагностику и устранение проблем, и, вероятно, является самым полезным инструментом для работы в режиме дежурства. Он сводит информацию о состоянии узлов, пространств имён и системных подов в одну таблицу. Для неисправных контейнеров он использует специальные алгоритмы диагностики для случаев CrashLoopBackOff, OOMKilled и ImagePullBackOff, анализируя соответствующие события и условия. Агент генерирует YAML-код для объектов Deployments, Ingresses и Services, а также позволяет масштабировать количество копий или откатывать изменения непосредственно после подтверждения.
- Краткое описание состояния кластера в одной таблице
- Структурированная диагностика подов для распространённых состояний сбоев
- Генерация YAML-кода для Deployments, Ingresses и Services
- Масштабирование и откат с возможностью подтверждения
Мониторинг и видимость состояния системы. Все согласны с тем, что конфигурация мониторинга имеет большое значение, но считают её утомительной в настройке. Синтаксис PromQL крайне строг, JSON-файлы панелей управления Grafana слишком объёмны, а структуры маршрутизации в Alertmanager легко нарушить незаметно. Этот агент генерирует правила оповещений на основе PromQL для распространённых показателей, таких как уровень ошибок, процентили задержек и степень загрузки, создаёт JSON-файлы панелей Grafana с готовыми к импорту запросами и разрабатывает схемы маршрутизации в Alertmanager для интеграции с Slack или PagerDuty. Исходя из целевого уровня доступности, например 99,9% или 99,95%, он также рассчитывает ежемесячный лимит ошибок и максимально допустимое время простоя.
- Шаблоны PromQL для стандартных показателей инфраструктуры
- JSON-файлы панелей Grafana, готовые к импорту
- Схемы маршрутизации в Alertmanager для Slack и PagerDuty
- Математические расчёты по KPI, включая лимит ошибок и время простоя
GitOps и выпуски. Этот агент обрабатывает все аспекты выпуска при развертывании: конфигурационные файлы, журналы изменений, повышение версий и подготовку к откату. Он формирует манифесты приложений ArgoCD с функциями самовосстановления и оптимизации, а также создает конфигурации Argo Rollouts для поэтапных или «сине-зеленых» выпусков, включая шаблоны анализа, позволяющие автоматически принимать решения о переходе на новую версию. При выпуске он повышает версионные метки, формирует журналы изменений на основе истории коммитов и может создавать запросы на откат, когда необходимо быстро отменить развертывание.
- Манифесты ArgoCD с функциями самовосстановления, оптимизации и политиками синхронизации
- Поэтапные выпуски в режиме «канарейка» и «сине-зеленый» с шаблонами анализа
- Повышение версий и формирование журналов изменений на основе истории git
- Создание запросов на откат
Безопасность контейнеров и изображений. В 2026 году безопасность цепочки поставок уже не является факультативной, и этот агент выполняет сканирование и усиление защиты, которые должны быть проведены до того, как любое изображение попадет в производственную среду. Он проверяет слои контейнеров на наличие уязвимостей CVE с помощью Trivy и сообщает о степени серьезности и затронутых пакетах. Он анализирует файлы Dockerfile и модифицирует их с использованием многоэтапной сборки для уменьшения размера изображения, очищает кэш, чтобы избежать увеличения объема слоев, и использует учетные записи, отличные от root. Он сканирует файлы lockfile (poetry.lock, package-lock.json, Gemfile.lock) на наличие устаревших или уязвимых зависимостей, а также генерирует отчеты о составе программного обеспечения в форматах CycloneDX или SPDX для обеспечения соответствия стандартам.
- Сканирование уязвимостей CVE с помощью Trivy с указанием степени серьезности
- Усиление защиты файлов Dockerfile
- Поиск устаревших и уязвимых пакетов в файлах lockfile
- Генерация отчетов SBOM в форматах CycloneDX и SPDX
Почему используется LangGraph
Здесь могли бы быть использованы различные фреймворки, в том числе LangGraph, Claude SDK, OpenAI Agents SDK, CrewAI и AutoGen. LangGraph победил, поскольку его преимущества соответствуют требованиям DevOps.
Рабочие процессы в производственной среде не являются линейными. Сканирование на наличие угроз безопасности, выявляющее критическую проблему с IAM, должно обрабатываться иначе, чем сканирование, не находящее никаких проблем, а расследование инцидента, при котором невозможно определить корневую причину в логах, следует передать в CloudTrail. Условное маршрутизирование в LangGraph эффективно решает эту проблему.
Постоянство состояния означает, что агент, работающий над сложным инцидентом, сохраняет свои результаты после перезагрузки. Функция создания точек контроля позволяет воспроизвести рабочий процесс с любого узла с изменёнными входными данными, что крайне важно при отладке агента, принявшего неожиданное решение. Кроме того, поддержка участия человека является частью самой графовой модели, а не добавлена отдельно. Вы сами определяете, какие узлы требуют подтверждения, и граф останавливается на них.
Уроки создания
Три аспекта стали очевидны только после появления агентов:
- Шаг подтверждения имеет решающее значение. Грамотно расположенный запрос перед разрушительными действиями отличает полезного агента от опасного. Правильное выполнение этого шага подразумевает рассмотрение человеческого одобрения как архитектурного ограничения, а не просто формальности, что заставляет определить, какие узлы в каждой графе действительно имеют побочные эффекты.
- Проектирование состояния — это самая сложная часть. Запустить логику агента легко. Однако определение того, что должно сохраняться, что остается временным, и способов распространения ошибок требует многократных попыток; агент Kubernetes прошел три перепроектирования своего состояния, прежде чем процесс диагностики стал казаться естественным.
- Инструменты важнее выбора модели. Агент способен на столько, насколько способны его инструменты. Создание функций инструментов AWS, возвращающих структурированные и последовательные результаты, принесло больше пользы, чем корректировка промптов, поскольку модель лучше работает, когда получаемые ею данные чистые.
Что дальше
Это лишь отправная точка, а не готовый продукт. Агенты покрывают наиболее распространённые рабочие процессы в облачных средах и DevOps, но ещё многое предстоит сделать. Среди рассматриваемых направлений — поддержка многоклиентных сред с использованием агентов GCP и Azure, обнаружение аномалий в затратах на основе исторических данных вместо статических порогов, автоматическое устранение отклонений, при котором агент генерирует и применяет исправления с последующим утверждением, а также более тесная интеграция с функциями Claude Code и Cursor MCP.
Как внести вклад
Вам не обязательно быть экспертом — достаточно любопытства. Наиболее полезная помощь зависит от того, кто вы:
- Инженер DevOps или облачных технологий: запустите агент на реальной инфраструктуре и сообщите, что сломалось, какой результат вас сбил с толку и какой рабочий процесс вы ожидали от него обработать. Практические отзывы на данном этапе являются самыми ценными.
- Разработчик: выберите любой агент, изучите его определение в виде графа и внесите улучшения — будь то более эффективная обработка ошибок, отсутствующий инструмент или поле состояния, которое следует отслеживать. Кодовая база достаточно мала, чтобы понять весь агент примерно за 30 минут.
- Новичок в области агентов DevOps: репозиторий также служит средой для обучения. Сделайте его клоон, запустите локально с помощью Ollama, чтобы избежать затрат на API, и изучите код вместе с общим руководством по агентам DevOps. Открытие задачи с вопросом также считается вкладом.
- Любой, у кого есть идея для нового агента: откройте задачу, описав процесс работы. Если что-то, что сейчас делается вручную, должно автоматизироваться, укажите это. Агенты для аудита Secrets Manager, мультиоблачные агенты и агенты для выявления аномалий в затратах входят в планы развития и готовы к разработке.
Поддержите репозиторий, откройте задачу или отправьте pull request. Цель — агенты, способные работать в производственных условиях, созданные с использованием открытых технологий.
Связанные материалы
- Практические заметки: RAG Systems: Полное руководство от начала до конца (издание 2026 года) — Подробное руководство по использованию Практических заметок: RAG Systems: Полное руководство от начала до конца (издание 2026 года): контракты, проверки и готовые блоки кода для команд, внедряющих эту модель.
- Создание вашего первого агента LangChain с LangGraph в 2026 году — Пошаговое создание агента LangChain с использованием LangGraph, инструментов, механизмов хранения данных и отслеживания, способы избежания четырех распространенных ошибок, а также пример использования этого инструмента в службе поддержки боуткампа.