Pizza Bot fica els agents dins d'una safata d'entrada: fils, no finestres de xat

Un agent que no cal mirar mentre treballa

L'argument de partida que exposen els autors és senzill: encarregar a un agent una tasca que valgui la pena delegar obliga a esperar. L'agent llegeix correu, missatges i llista de tasques abans de respondre, i a mig camí s'atura perquè un pas necessita permís. Mentrestant, algú mira com es desplaça una finestra de xat. Això, escriuen, és vigilar un becari, no col·laborar.

Pizza Bot capgira el plantejament. L'usuari llança una tasca, la programa o deixa que la dispari un webhook, i l'agent treballa mentre ell fa una altra cosa. La feina acabada aterra a la cua 'Unread' (no llegits) i allò que depèn d'una decisió humana cau a 'Action' (acció). La tercera cua, 'All', és l'històric de fils.

L'elecció del correu com a metàfora és deliberada: un fil és una unitat de feina a la qual es torna, no una sessió a la qual cal assistir. El xat en directe, sostenen els autors, dona per fet que totes dues parts hi són presents, cosa que es trenca tan bon punt una tasca triga uns quants minuts o s'executa de matinada. Al costat de les cues, un plafó 'Activity' mostra la feina que l'agent principal ha delegat en un especialista, amb la transcripció d'aquest especialista inclosa.

El que no és: ni servei, ni suport, ni SLA

Val la pena fixar aquest punt abans que cap altre, perquè l'anunci va sortir en un blog d'AWS i això indueix a error. El text mateix ho adverteix sense embuts: Pizza Bot és un projecte comunitari i no pas un servei d'AWS, així que no hi ha suport d'AWS ni acord de nivell de servei al darrere. Mantenir-lo en marxa, amb còpies de seguretat i actualitzat, va a compte de qui el desplega.

El projecte es distribueix sota llicència Apache 2.0 i s'executa a la màquina de l'usuari. No envia telemetria i funciona amb el proveïdor de model que es triï: Anthropic, Amazon Bedrock, Google Gemini, OpenAI, OpenRouter o un model local a través d'Ollama.

L'origen, això sí, és de dins d'Amazon. Versions anteriors les van fer servir més de 2.000 persones per preparar reunions i fer-ne el seguiment, redactar correus, resumir Slack, registrar apunts al CRM, prioritzar el dia i cercar al web. El nom remet als 'two-pizza teams' de la casa, equips petits amb responsabilitat àmplia. L'equip va reescriure l'aplicació de zero com a projecte obert.

Aquella reescriptura té un cost declarat. Bona part de la utilitat immediata dins d'Amazon venia d'un catàleg intern de skills i servidors MCP per als sistemes que allà es feien servir cada dia; estaven construïts per a eines pròpies d'Amazon i es van quedar fora. Els autors assenyalen aquest buit com el punt on més ajuda externa necessiten.

Servidor, client i feina que sobreviu al tancament

Pizza Bot es reparteix en dues peces: un servidor que executa l'agent, en desa l'estat i respon per HTTP, i un client, que pot ser l'aplicació d'escriptori en Electron, un navegador o un terminal. L'aplicació d'escriptori embolcalla totes dues coses: engega un servidor local propi i s'hi connecta igual que ho faria un client des d'una altra màquina.

Com que la feina viu al servidor, una execució continua encara que es tanqui el fil, es torni a carregar la pàgina o es canviï de dispositiu, i un client que es torna a connectar recupera allò que s'havia perdut. Amb el servidor en una màquina sempre engegada o en un contenidor, s'arriba als mateixos fils des d'un portàtil, un mòbil o una consola. La contrapartida: sortir de l'aplicació d'escriptori atura el servidor que ella mateixa havia engegat i acaba les seves execucions; com que l'execució queda registrada pas a pas, es perd el pas en curs, no el fil.

Tot allò que importa queda en una sola carpeta sota control de l'usuari —fils, punts de control, memòries, adjunts, ajustos i registres— en forma de bases de dades SQLite i fitxers corrents. Es copia amb el servidor aturat o amb una eina capaç de llegir una base SQLite en ús.

Skills, MCP i permisos que es demanen abans, no després

De sèrie l'agent ja fa feina real: llista, llegeix, escriu, edita i cerca fitxers en un espai propi, delega amb l'eina 'task' i executa un intèrpret de JavaScript aïllat, sense xarxa ni accés al sistema de fitxers de l'amfitrió, per a càlculs, anàlisi de dades i engegar diverses tasques alhora. El disc de l'usuari queda fora d'abast fins que es concedeix accés a una carpeta, i cada concessió és de només lectura o de lectura i escriptura, a triar. Les memòries també són opcionals: en activar-les, el directori /memories/ persisteix entre fils i es pot editar des de l'aplicació.

Més enllà d'això, tot arriba per servidors MCP, i les skills decideixen qui pot cridar què. L'agent amb qui es conversa és un generalista; els especialistes surten de les skills, un fitxer SKILL.md per cap, amb les seves instruccions i una llista curta d'eines MCP. La skill d'automatització de navegador que ve inclosa, per exemple, rep un navegador i cap altra eina. Mantenir curta aquesta llista és justament l'objectiu: acota la tasca delegada i fa revisable d'un cop d'ull fins on arriba l'agent.

Una skill també pot exigir aprovació abans d'executar eines concretes i decidir quines respostes s'admeten. Al fitxer SKILL.md, 'tools' enumera les eines MCP permeses i 'interruptOn' defineix la política d'aprovació per eina; dins seu, 'allowedDecisions' fixa els botons disponibles. Val la pena parar atenció a l'opció 'edit', que permet corregir allò que l'agent ha proposat en comptes de rebutjar-ho i refer tota l'execució.

Les tasques recurrents es gestionen des d'una pantalla d'automatitzacions, amb programacions cron i webhooks protegits per secret, un cop activada la funció als ajustos. El servidor és l'amo del planificador i registra cada ocurrència; quan arrenca després d'haver estat apagat o suspès, executa una sola vegada la programació que s'ha saltat en comptes de reproduir totes les que ha perdut. Una màquina apagada un mes retorna un resultat, no pas trenta.

El perímetre de seguretat, segons el projecte

La documentació del projecte delimita què surt de la màquina: Pizza Bot envia les instruccions i els adjunts al proveïdor de model triat, i les crides d'eina als servidors MCP que s'hagin activat. Aquí hi ha l'avís important que fan els mateixos autors: aquests servidors poden actuar en nom de l'usuari, cosa que convé recordar a l'hora d'instal·lar-ne un. Instal·lar un servidor MCP o un connector vol dir executar codi amb els permisos de qui l'instal·la, i per això l'aplicació ho converteix en una decisió explícita i no pas en un efecte col·lateral.

Les credencials del proveïdor es lliuren al magatzem de secrets del sistema operatiu en comptes de quedar-se en un fitxer de configuració en text pla, i no s'envien mai a un client de navegador. Per defecte el servidor només escolta a la màquina local; un desplegament que deixi de ser local exigeix un testimoni d'API i una llista explícita d'orígens permesos, i sense totes dues coses no atén cap client remot. El fitxer SECURITY.md documenta el perímetre complet i la via per notificar una vulnerabilitat en privat.

Convé llegir aquestes garanties per allò que són: descripcions del mateix equip que manté el projecte, no pas el resultat d'una auditoria externa.