Les équipes SRE adoptent une réponse incident à trois niveaux d'autonomie AI

Principe de l'autonomie à trois niveaux

Le modèle présenté par Neel Shah repose sur trois niveaux d’autonomie pour les agents IA de réponse aux incidents. Le Tier 1 exécute automatiquement les incidents dont le schéma de panne est connu, la remédiation est réversible et le résultat peut être vérifié par télémétrie objective. Le Tier 2 autorise l’agent à investiguer et à proposer une action, mais requiert l’approbation explicite d’un humain avant toute modification. Le Tier 3 maintient le contrôle humain pour les incidents nouveaux, complexes ou à fort impact, l’agent ne fournissant que collecte de données et hypothèses.

Cette hiérarchie évite le choix binaire « automatisation totale » versus « chatbot en lecture seule ». En limitant l’autonomie aux cas où les critères de confiance sont satisfaits, le système empêche la propagation d’une mauvaise décision à l’ensemble de la production.

Mécanismes d'exécution et critères de classification

Quatre questions guident le placement d’un incident dans un tier : (1) le motif d’échec est‑il bien compris et mappé à un runbook approuvé ? (2) quel est le rayon d’impact maximal si le diagnostic ou l’action est erroné ? (3) l’action peut‑elle être annulée rapidement et en toute sécurité ? (4) la décision de l’agent repose‑t‑elle sur des preuves suffisantes et un historique de succès ? Les réponses déterminent le niveau d’autonomie accordé, chaque organisation adaptant les seuils à son contexte.

Les politiques déterministes appliquées en dehors du LLM contrôlent les permissions et les règles d’escalade. Par exemple, un agent ne peut intervenir que sur des ressources explicitement autorisées et doit interrompre son exécution dès qu’une vérification échoue, déclenchant une escalade vers le Tier 3.

Exemples d'application et limites opérationnelles

Un cas typique de Tier 1 est le rollback d’une image de conteneur invalide (ImagePullBackOff) dans un service sans état. L’agent collecte l’alerte, confirme la santé de la version précédente, vérifie que le service figure sur la liste blanche, puis exécute le rollback. La vérification post‑action (pods prêts, latence normale) se fait automatiquement. En mode manuel, le même processus dure 30 à 60 minutes ; en mode autonome, il se conclut en quelques minutes.

Des outils comme Aiden pour SRE, AWS DevOps Agent et Azure DevOps Agent implémentent déjà ces principes, automatisant la RCA et réduisant le MTTR. Toutefois, les limites restent liées à la disponibilité de runbooks fiables, à la capacité de mesurer le rayon d’impact et à la garantie d’une réversibilité rapide. Pour les incidents touchant plusieurs services, la sécurité ou la conformité réglementaire, le modèle recommande de rester au Tier 3, même si l’agent accélère la collecte d’évidences.