Architecture de référence pour Enterprise AI Harness sur Kubernetes : quatre couches pour un déploiement sécurisé d'agents en production

Cet article présente une architecture de référence pour la construction d’un harnais d’IA d’entreprise auto-hébergé sur Kubernetes, structurée en quatre couches : Entrée, Boucle Agent, Exécution, et Identité, Politique & Audit. La couche d’entrée sépare le trafic utilisateur, agent et événement à l’aide d’outils comme Traefik et les webhooks n8n. La couche Boucle Agent (ReAct) gère les sessions d’agent avec état, incluant la mémoire, la délégation et l’intervention humaine (c’est-à-dire HITL), en utilisant des composants tels que kagent et LangGraph. La couche d’exécution contrôle l’accès aux ressources externes (outils MCP, workflows, LLM) via FastMCP, n8n et LiteLLM. La couche Identité, Politique & Audit fournit des fonctionnalités transversales d’authentification, d’autorisation et d’audit via Keycloak, agentgateway, Vault/OpenBao et OpenTelemetry (OTEL)/Grafana. L’architecture met l’accent sur les frontières de sécurité, la multi-location (via la sécurité au niveau des lignes (RLS), les espaces de noms, les politiques réseau) et le contexte de déploiement (Kubernetes, Helm, NetworkPolicy). Les compétences sont implémentées sous forme d’injections de capacités propres au pod (images OCI avec SKILL.md), tandis que les outils sont accessibles via le réseau. L’article illustre le workflow avec un exemple de tâche d’ingénierie, montrant comment l’identité circule de l’entrée à l’exécution via agentgateway, avec des pistes d’audit tout au long du processus. L’auteur précise qu’il s’agit d’un modèle de référence fonctionnel, non d’un produit, et invite à discuter des couches essentielles.