تصور کنید یک درخواست مبهم به API، به‌طور خاموش بودجه ماهانه مشتری شما را تخلیه کند یا تصویری کاملاً بی‌ربط را به یک رکورد حساس در CRM متصل کند. برای حل این بحران، یک چارچوب معماری جدید مفهوم «قصد تولید تغییرناپذیر» (Immutable Generation Intent) را معرفی کرده است تا تایید کاربر را از اجرای ارائه‌دهنده جدا کند.
این معماری به‌طور خاص برای اپلیکیشن‌های SaaS طراحی شده که خلاصه‌های تماس‌های فروش را به اقدامات CRM تبدیل می‌کنند. در این محیط‌ها، مرزهای ناپایداری وجود دارد: فایل‌های آپلودشده تغییر می‌کنند، پیش‌فرض‌های پرامپت ویرایش می‌شوند و ارائه‌دهندگان مدل ممکن است دستور کاری را زمانی بپذیرند که کاربر پیش از آن دو بار روی دکمه کلیک کرده است. راهکار این است: ابتدا یک قصد تولید تغییرناپذیر ذخیره شود، بودجه مشتری پیش از ارسال درخواست رزرو گردد، اجرا از طریق یک رابط محدود صورت گیرد و در نهایت، دارایی تولیدشده پیش از اتصال به CRM با رزرو اولیه تطبیق داده شود.
بسیاری از توسعهدهندگان با تولید تصویر توسط هوش مصنوعی زاینده (Generative AI) — شبیه به سفارش یک غذای آماده که فقط منتظر تحویل می‌مانید — مانند یک درخواست ساده و هم‌زمان (Synchronous) برخورد می‌کنند: کاربر روی دکمه کلیک می‌کند، سرور API را فراخوانی می‌کند و تصویر بازمی‌گردد. طبق گزارش‌های فنی، این رویکرد برای نمونه‌های اولیه مناسب است اما در محیط‌های SaaS چندمستاجری (Multi-tenant) که صورت‌حساب‌ها، ردپای حسابرسی (Audit Trails) و وضعیت CRM باید کاملاً هم‌گام باشند، شکست می‌خورد. وقتی یک نماینده فروش یک کارت پیگیری را ویرایش می‌کند، یک فراخوانی ساده API نمی‌تواند ثابت کند که کدام نسخه از یک پرامپت، کدام دارایی خاص را تولید کرده است.
در یک گردش‌کار واقعی، سیستم ابتدا متن تماس را می‌گیرد — که احتمالاً از یک سیستم متن‌باز مانند Whisper تامین شده است — یک اقدام CRM بررسی‌شده استخراج می‌کند و در صورت نیاز، یک کارت پیگیری متنی-بصری برای آن اقدام تولید می‌کند. اگرچه تشخیص گفتار در مراحل بالادستی قرار دارد، اما منشأ متن (Transcript Provenance) باید از فرآیند تولید تصویر مجزا بماند. این رویکرد دقیق در تطبیق داده‌ها یادآور متد «نگاشت شواهد» است که در سیستم CV Aligner برای جلوگیری از توهمات AI در رزومه‌ها به کار گرفته شد.
مکانیزم قصد تغییرناپذیر
هسته این معماری، قصد تولید (GenerationIntent) است. به‌جای ارسال مستقیم پرامپت به مدل، سیستم ابتدا یک قصد دائمی را در پایگاه‌داده ثبت می‌کند. بر اساس مستندات این معماری، سیستم باید آنچه را که کاربر تایید کرده ثبت کند، نه صرفاً درخواستی که در نهایت به مدل ارسال شده است. این رکورد پس از پذیرش باید تغییرناپذیر باشد.
یک «قصد» شامل چندین فیلد حیاتی است:
- شناسه مستاجر (Tenant ID) و شناسه اقدام CRM
- اثر انگشت رمزنگاری‌شده (Cryptographic Digest) فایل آپلودشده و پرامپت
- نسبت ابعاد نرمال‌شده (مانند ۱:۱، ۴:۳، ۱۶:۹)
- رزرو بودجه و یک کلید یکتایی برای جلوگیری از تکرار (Idempotency Key)
- نسخه پیش‌فرض (Preset Version)
اگر کاربر پرامپت را از «ارسال خلاصه تمدید» به «زمان‌بندی بررسی امنیتی» تغییر دهد، سیستم رکورد قبلی را ویرایش نمی‌کند. بازنویسی خاموش پرامپت باعث می‌شود کارت تولیدشده از اقدامی که آن را مجاز کرده بود، جدا شود. در عوض، یک قصد جدید ایجاد می‌شود که به قصد قبلی لینک شده است. این لاگِ افزایشی (Append-only) تضمین می‌کند که حسابرس‌ها همیشه بتوانند پاسخ دهند که کدام قصد تاییدشده، منجر به تولید کدام دارایی شده است.
در این معماری، مرزهای شکست (Failure Boundaries) به اندازه خودِ قصد اهمیت دارند. اعتبارسنجی آپلود باید پیش از ایجاد قصد به پایان برسد. رزرو بودجه و ایجاد قصد باید در یک تراکنش واحد پایگاه‌داده قرار گیرند. ارسال به ارائه‌دهنده (Provider Dispatch) تنها پس از Commit تراکنش رخ می‌دهد. اتصال دارایی به CRM نیز تنها زمانی صورت می‌گیرد که خروجی از بررسی‌های نوع محتوا، اندازه و سیاست‌های امنیتی عبور کند. هر یک از این مرزها می‌توانند تکرار (Retry) شوند، اما هیچ تکراری اجازه ندارد یک عملیات تجاری دوم را ابداع کند.
کنترل بودجه مبتنی بر دفتر کل
برای جلوگیری از هزینه‌های اضافی و مصرف بیش از حد، این معماری از یک دفتر کل واحدهای رزرو شده (Reserved-unit Ledger) استفاده می‌کند. فرآیند طبق یک توالی سخت‌گیرانه پیش می‌رود: رزرو بودجه و ایجاد قصد در یک تراکنش واحد دیتابیس رخ می‌دهد، پیش از آنکه هرگونه ارتباطی با ارائه‌دهنده برقرار شود. ارسال درخواست تنها پس از Commit نهایی است.
- رزرو (Reservation): سیستم بر اساس پیش‌فرض انتخاب شده، نسبت ابعاد و سطح کیفیت، یک تخمین داخلی محافظه‌کارانه از واحدها محاسبه می‌کند. سپس به‌صورت اتمیک محدودیت مستاجر را بررسی کرده و یک رزرو ایجاد می‌کند.
- ارسال (Dispatch): درخواست به ارائه‌دهنده تصویر ارسال می‌شود. سیستم تضمین می‌کند که هیچ تکراری باعث ایجاد یک عملیات تجاری مجزا نشود.
- تسویه (Settlement): پس از بازگشت دارایی، سیستم واحدهای واقعی مصرف‌شده که توسط آداپتور گزارش شده را ثبت می‌کند. اگر ارائه‌دهنده جزئیات مصرف را ارائه ندهد، سیستم بر اساس تخمین کلاس درخواست تسویه کرده و این مبنای حسابداری را به‌طور صریح برچسب‌گذاری می‌کند.
این ساختار مشکل «دوبار خرج کردن» (Double-spend) را حل می‌کند؛ جایی که تکرار درخواست‌ها ممکن است منجر به چندین بار پرداخت برای یک عملیات واحد شود. اسنپ‌شات قیمت اولیه به عنوان مدرک نگه داشته می‌شود، اما جداول قیمت تغییرپذیر بخشی از کلید Idempotency نیستند. به این معنا که دو تکرار از یک اقدام تاییدشده، همچنان یک تولید منطقی محسوب می‌شوند، حتی اگر قیمت‌ها بین دو تلاش تغییر کرده باشد. این امر تضمین می‌کند که اصل تجاری — «یک اقدام تاییدشده برابر با یک تولید منطقی» — فارغ از نوسانات تجاری قیمت‌ها حفظ شود. این مدل مدیریت دقیق هزینه‌ها با رویکرد AI Model Hub در تبدیل اشتراک‌های مدل‌های پیشرو به پرداخت‌های توکنی هم‌سو است تا شفافیت مالی در مقیاس بالا تامین شود.
قابلیت جابه‌جایی ارائه‌دهنده و اعتبارسنجی
سیستم از یک رابط محدود (Narrow Interface) برای ارائه‌دهندگان استفاده می‌کند تا اپلیکیشن به یک فروشنده خاص وابسته (Lock-in) نشود. این آداپتور (Adapter) — شبیه به تبدیل‌های برق که اجازه می‌دهد یک دستگاه در هر کشوری کار کند — با اصطلاحات دامنه (Domain Terms) صحبت می‌کند و یک رسید خنثی (Provider-neutral Receipt) برمی‌گرداند. این کار باعث می‌شود رشته‌های متنی مربوط به اندازه مدل‌های خاص، به هندلرهای سیستم نفوذ نکنند و قابلیت جابه‌جایی ارائه‌دهنده، نتیجه طبیعی این مرزبندی باشد.
در مورد استانداردهای ثبت داده، تصمیمات باید در نقطه‌ای ثبت شوند که غیرقابل بازگشت می‌شوند. استانداردهای زیر اعمال می‌گردند:
- آپلودها: سیستم به‌جای کپی کردن بایت‌های произвоی کاربر در ردیف‌های Job، ارجاع شیء (Object Reference)، نوع رسانه، تعداد بایت‌ها و یک اثر انگشت رمزنگاری‌شده را نگه می‌دارد.
- پیش‌فرض‌های پرامپت: سیستم یک شناسه پیش‌فرض پایدار و نسخه آن را به همراه اثر انگشت پرامپت رندر شده ذخیره می‌کند. در حالی که قالب‌های قابل ویرایش برای نویسندگی مفید هستند، اما رندر نسخه‌بندی شده برای حسابرسی پس از تغییر پیش‌فرض الزامی است.
- نسبت ابعاد: این موارد به عنوان سیاست اپلیکیشن (Application Policy) تلقی می‌شوند. با پذیرش یک واژگان محدود (۱:۱، ۴:۳، ۱۶:۹) و نگاشت آن‌ها در داخل آداپتورها، سیستم از نفوذ سینتکس ارائه‌دهنده به اقدامات CRM جلوگیری می‌کند. این کار به تیم‌های محصول و تطبیق (Compliance) اجازه می‌دهد در یک نقطه واحد، ابعادی را که با ایمیل‌ها یا سطوح CRM سازگار نیستند، ممنوع کنند.
اعتبارسنجی در مرزها رخ می‌دهد. دارایی‌ها تنها پس از عبور از فیلترهای نوع محتوا، اندازه و سیاست‌های امنیتی متصل می‌شوند. این راهنما تاکید می‌کند که رسانه‌های تولیدشده باید به عنوان «محتوای غیرقابل اعتماد» تلقی شوند و به راهنمای OWASP برای برنامه‌های LLM در مورد مدیریت ورودی، دسترسی بیش از حد (Excessive Agency) و اعتماد پایین‌دستی استناد می‌کند. حتماً یک گیت تایید انسانی (Human Approval Gate) باید پیش از تبدیل تصویر به یک ارتباط خارجی CRM وجود داشته باشد. یک ردپای حسابرسی می‌تواند ثابت کند کدام ورودی، نسخه سیاست و تاییدیه منجر به یک خروجی شده است، اما نمی‌تواند ثابت کند که خروجی صادقانه است یا برای هر کاربردی لایسنس دارد.
مدیریت خطا و تطبیق
دشمن اصلی این سیستم، ابهام در شبکه (Network Ambiguity) است. معماری از یک «جاروب‌کننده» (Sweeper) یا تطبیق‌دهنده (Reconciler) برای مدیریت رزروهای رها شده استفاده می‌کند. اگر یک Worker پس از رزرو واحدها اما پیش از ثبت رسید کرش کند، جاروب‌کننده بلافاصله رزرو را آزاد نمی‌کند. ابتدا شواهد ارسال بادوام را جست‌وجو کرده، سپس رسید خنثی را طبق قرارداد آداپتور بازسازی می‌کند، شیء حاصل را اعتبارسنجی کرده، یک‌بار تسویه می‌کند و تنها در صورتی متصل می‌کند که نسخه اقدام CRM هنوز مطابقت داشته باشد.
تطبیق شامل مشاهده چهار برچسب زمانی (Timestamp) خاص است: پذیرفته‌شده (Accepted)، ارسال‌شده (Dispatched)، اعتبارسنج‌شده (Asset Validated) و متصل‌شده (Attached). این تفکیک اجازه می‌دهد تا تاخیر در صف از تاخیر در تولید مدل و تاخیر در نوشتن CRM جدا شود، بدون اینکه داشبوردها به یک فروشنده خاص وابسته باشند. تطبیق‌دهنده رزروهای بدون تسویه نهایی را اسکن کرده و در صورت تضاد شواهد، اختلافات را برای اپراتور نمایش می‌دهد. سیستم هرگز صرفاً به دلیل وجود یک شیء، موفقیت را استنباط نمی‌کند؛ بلکه اثر انگشت شیء، شناسه قصد و سیاست رسانه‌ای مورد انتظار باید همگی مطابقت داشته باشند.
اگر اقدام CRM اصلی در حین تولید تصویر جایگزین شده باشد، دارایی به عنوان یک خروجی حسابرسی‌شده نگه داشته می‌شود اما برای مشتری نمایش داده نمی‌شود. این کار از تبدیل شدن وظایف «در نهایت تکمیل شده» به خطاهای «به‌طور خاموش ارسال شده» جلوگیری می‌کند. این تفکیک کاملاً عمدی است.
موازنه‌های پیاده‌سازی
این مسیر بادوام از نظر عملیاتی گران است. این روش نیازمند یک صف یا Worker برای نظارت (Polling)، ذخیره‌ساز وضعیت (Transition Storage)، یک جاروب‌کننده برای رزروهای رها شده و یک نمای اپراتوری است. این معماری برای زمانی که هر تصویر یک‌بار مصرف است و هیچ اقدام مشتری، سهمیه یا هزینه‌ای به نتیجه آن وابسته نیست، مناسب نیست.
| گزینه | کنترل تکرار | کیفیت حسابرسی | کاربرد مناسب |
|---|---|---|---|
| مرورگر به ارائه‌دهنده | ضعیف (مگر در صورت افشای قرارداد) | پایین | نمونه‌های اولیه یک‌بار مصرف، بدون صورت‌حساب مستاجر |
| درخواست هم‌زمان سرور | مناسب (تا زمان Timeout) | متوسط | ابزارهای داخلی با حجم پایین |
| قصد بادوام + Worker | قوی (وضعیت‌های لینک شده) | بالا | SaaSهای چندمستاجری با رکوردهای CRM |
برای یک نمونه اولیه آخر هفته، یک درخواست هم‌زمان سرور با یک کلید Idempotency ساده و محدودیت‌های صریح آپلود، قابل درک‌تر است. اما برای SaaSهای سازمانی، این هزینه توجیه‌پذیر است. هدف اصلی قابلیت جابه‌جایی ارائه‌دهنده نیست، بلکه «صحت» (Correctness) است. یک کارت پیگیری تولیدشده باید دقیقاً با یک اقدام بررسی‌شده مطابقت داشته باشد، یک رزرو مصرف کند و یک زنجیره شواهد قابل بازبینی بر جای بگذارد.
اجرای فنی در زبان Go
در پیاده‌سازی با زبان Go، شناسه قصد (Intent ID) به عنوان کلید Idempotency اپلیکیشن عمل می‌کند. یک محدودیت یکتایی (Unique Constraint) روی این کلید، تضمین قطعی را فراهم می‌کند؛ نه معناشناسی تحویل صف (Queue Delivery Semantics). در حالی که اجرای «دقیقاً یک‌بار» (Exactly-once) در سراسر دیتابیس، صف و تولیدکننده خارجی غیرواقع‌بینانه است، اما «اثر تجاری دقیقاً یک‌بار» زمانی حاصل می‌شود که رزرو، تسویه و اتصال، هر کدام به‌طور مستقل تکرارها را رد کنند.
خطاها به‌طور سخت‌گیرانه دسته‌بندی می‌شوند. نسبت‌های نامعتبر، آپلودهای رد شده و بودجه‌های تمام شده، تصمیمات نهایی (Terminal) هستند. ابهام شبکه با حفظ همان شناسه قصد و پرس‌وجو بر اساس توکن درخواست آداپتور (در صورت اجازه قرارداد) مدیریت می‌شود. برای حفظ لاگ‌های تمیز، از کلاس‌های خطای پایدار اپلیکیشن در متریک‌ها استفاده می‌شود، به‌جای اینکه پیام‌های خام ارائه‌دهنده در رکوردهای CRM کپی شوند. از قرار دادن متن ترنسکریپت یا پرامپت رندر شده در برچسب‌ها و لاگ‌ها اجتناب کنید؛ هش‌ها و شناسه‌های داخلی برای همبستگی (Correlation) کافی هستند.
استقرار (Deployment) نیازمند احتیاط است: فیلدهای جدید قصد باید پیش از آنکه Workerها آن‌ها را بنویسند اضافه شوند و خواننده‌ها باید هر دو نسخه شمای دیتابیس را پیش از فعال شدن ارسال (Dispatch) تحمل کنند. آداپتورها با مسیریابی یک گروه کوچک تعریف‌شده بر اساس سیاست (Policy-defined Cohort) و مقایسه نتایج از طریق نرخ‌های عبور اعتبارسنجی و زمان اتصال بررسی‌شده، جایگزین می‌شوند. کیفیت بصری همچنان یک قضاوت انسانی است، بنابراین بررسی‌های خودکار باید بر نوع صحیح، ابعاد محدود، تطبیق اثر انگشت، مالکیت مستاجر و تکمیل بررسی سیاست متمرکز باشند.
ناورداها (Invariants) را با هم‌روندی (Concurrency) تست کنید. دو Goroutine که یک کلید یکسان را رزرو می‌کنند باید تنها یک‌بار واحدها را مصرف کنند. بازپخش (Replaying) یک رسید باید یک عملیات بدون اثر (No-op) باشد، در حالی که یک رسید متفاوت برای همان قصد باید منجر به تضاد (Conflict) شود. کرش کردن پس از رزرو و پیش از ارسال باید شواهد قابل بازیابی بر جای بگذارد. کرش کردن پس از تولید و پیش از اتصال نباید منجر به ایجاد یک اقدام CRM دیگر قابل مشاهده برای مشتری شود.
این تغییر در رویکرد، تولید تصویر AI را از ذهنیت «ابزار خلاقانه» به ذهنیت «تراکنش مالی» منتقل می‌کند، جایی که زنجیره شواهد مهم‌تر از خودِ تصویر است. ارائه‌دهندگان می‌توانند تغییر کنند، اما این ناورداها تغییرناپذیرند.
گام بعدی شما
- اگر از معماری Synchronous برای APIهای گران‌قیمت استفاده می‌کنید، یک لایه Intent برای ثبت تایید کاربر قبل از ارسال درخواست اضافه کنید.
- برای هر درخواست AI، یک کلید Idempotency در سطح دیتابیس تعریف کنید تا از پرداخت‌های تکراری در اثر Retryهای شبکه جلوگیری شود.
- فرآیند تایید انسانی (Human-in-the-loop) را به عنوان آخرین گیت قبل از اتصال خروجی مدل به داده‌های مشتری در CRM قرار دهید.
اما مدیریت هزینه‌های استنتاج در مقیاس میلیونی داستان پیچیده‌تری دارد — به تحلیل ما درباره‌ی بهینه‌سازی هزینه GPU مراجعه کنید.
گفتگو