NSync: KI-Agent soll Terraform-Code an Konsolenänderungen in der Cloud angleichen

NSync führt Konsolenänderungen über API-Traces in den Terraform-Code zurück

Das Paper „Automated Cloud Infrastructure-as-Code Reconciliation with AI Agents“ stellt NSync vor. Das System spielt Änderungen am Cloud-Zustand in die Infrastruktur-als-Code-Konfiguration zurück. Den Ausgangspunkt bildet eine einfache Beobachtung: Ob ein Eingriff über IaC, Konsole, CLI oder SDK erfolgt, am Ende steht immer ein Cloud-API-Aufruf. NSync wertet diese API-Traces aus, erkennt darin Drift – also Änderungen, die am IaC vorbei erfolgt sind – und passt die Konfiguration an. Der Abgleich läuft damit vom realen Zustand zum Code, nicht umgekehrt.

Das Problem beschreiben die Autoren so: IaC-Werkzeuge bemerken Änderungen über Nicht-IaC-Schnittstellen nicht. Beim nächsten Lauf setzen sie solche Änderungen anhand der veralteten Konfiguration womöglich zurück. Das kann zu Fehlkonfigurationen oder Ausfällen führen. Schwierig ist die Aufgabe, weil sich die beabsichtigte Änderung aus niedrigschwelligen, verrauschten API-Traces erschließen muss.

Das Paper ist bei Amazon Science gelistet; der Titel findet sich außerdem auf arXiv. Evaluationszahlen enthalten die vorliegenden Textauszüge nicht. Über die Leistungsfähigkeit des Ansatzes lässt sich deshalb nichts Belastbares sagen.

Das Repository ist ein Benchmark, kein einsatzfertiges Werkzeug

Das GitHub-Repository beschreibt ein Evaluations-Framework. Es verändert Live-Infrastruktur kontrolliert, sammelt die dabei entstehenden CloudTrail-Events und prüft, ob ein Agent den Drift auflösen kann, indem er die Terraform-Konfiguration an den realen Zustand anpasst. Der Ablauf besteht aus fünf Schritten: Baseline herstellen, Drift einspielen, Events sammeln, Agent gleicht ab, Plan validieren. Hinzu kommt ein Benchmark aus realen Terraform-Projekten. Zu jedem Projekt gibt es eine Baseline-Konfiguration und generierte Drift-Szenarien.

Die Betreiber stellen klar: Es handelt sich um ein Forschungsartefakt, nicht um ein fertiges Werkzeug. Der volle Lauf setzt eigene AWS-Accounts voraus und ist laut Repository umfangreich und teuer. Die veröffentlichten Konfigurationen sind bereinigt, unter anderem um Account-IDs und Zugangsdaten. Deshalb lassen sie sich nicht direkt ausrollen.

Für Teams ergibt sich daraus derzeit kein Handlungsbedarf. Angesprochen wären Terraform-Teams auf AWS in DevOps, SRE und Platform Engineering.

Firefly bietet Code-Anpassung samt Pull Request bereits an – offen bleibt der Unterschied

Ob der Ansatz gegenüber bestehenden Lösungen neu ist, lässt sich nur eingeschränkt beurteilen. Firefly dokumentiert laut eigenen Angaben ereignisgesteuerte Drift-Erkennung und zwei Wege zur Behebung: die Ressource auf den IaC-Stand zurücksetzen oder die IaC an den Live-Zustand angleichen. Genannt werden dort auch Pull Requests im verbundenen Versionsverwaltungssystem. Spacelift beschreibt Drift-Detection für Terraform, Pulumi und CloudFormation. Im vorliegenden Material fehlt ein Hinweis auf eine Code-Anpassung.

Das Paper stellt die Rückführung über API-Traces als eigenen Ansatz dar. Wie Firefly die Code-Anpassung erzeugt und worin sich NSync im Einzelnen unterscheidet, geht aus dem Material nicht hervor. Das ist weniger ein Widerspruch als eine offene Abgrenzungsfrage. Zudem gibt es mehrere unabhängige Projekte mit gleichem Namen, was zu Verwechslungen führen kann.