Что такое ИИ-агенты: как работают и где ошибаются

Что такое ИИ-агенты?

ИИ-агент — это система, которая с помощью модели ИИ движется к цели: сама решает, какие шаги предпринять, и выполняет их с помощью инструментов, а не просто отвечает на один вопрос. В руководстве OpenAI для разработчиков это сформулировано просто: агенты — это «системы, которые самостоятельно выполняют задачи от вашего имени» ^[2]. Там же уточняется, что приложения, которые используют большую языковую модель (LLM), но не дают ей управлять рабочим процессом, — например, простые чат-боты, однократные модели или классификаторы тональности — агентами не являются ^[2].

Национальный центр кибербезопасности Великобритании (NCSC) описывает агентные системы как способные обращаться к источникам данных, запоминать контекст, принимать решения, использовать инструменты и совершать действия ради достижения цели — иногда без постоянного участия человека и даже создавая субагентов ^[3]. Центр отмечает, что именно это делает их полезными, но и более опасными, чем неагентные ИИ-инструменты ^[3].

Агенты и рабочие процессы — это одно и то же?

Не совсем. Anthropic, компания-разработчик Claude, называет и то и другое «агентными системами», но проводит между ними границу. Рабочие процессы — это системы, в которых LLM и инструменты следуют заранее заданным путям в коде. Агенты — системы, в которых LLM динамически направляет собственный процесс и использование инструментов, сохраняя контроль над тем, как выполняется задача ^[1]. Бот службы поддержки, который всегда выполняет одни и те же три шага, — это рабочий процесс; система, которая сама решает, какие страницы прочитать, какие файлы изменить и когда работа закончена, — это агент.

Как работают ИИ-агенты?

OpenAI выделяет три основных компонента ^[2]:

• Модель: LLM, которая рассуждает и принимает решения.
• Инструменты: внешние функции или API — например, поиск, среда выполнения кода или система бронирования, — с помощью которых агент собирает информацию или совершает действия.
• Инструкции: явные правила и ограничители, определяющие, как должен вести себя агент.

Anthropic называет базовый строительный блок «расширенной LLM» — моделью, дополненной поиском информации, инструментами и памятью, которая может сама формировать поисковые запросы, выбирать инструменты и решать, какую информацию сохранить ^[1].

Как выглядит цикл работы агента?

По описанию Anthropic, агент начинает с команды или обсуждения с человеком. Когда задача ясна, он планирует и работает самостоятельно, на каждом шаге сверяясь с «реальным положением дел» в своей среде — например, с результатом вызова инструмента или выполнения кода ^[1]. Он может останавливаться, чтобы получить обратную связь от человека в контрольных точках или когда заходит в тупик, а разработчики часто добавляют условия остановки, например максимальное число шагов ^[1]. По словам Anthropic, агенты — это «обычно просто LLM, которые в цикле используют инструменты, опираясь на обратную связь от среды» ^[1].

OpenAI добавляет, что агент должен понимать, когда рабочий процесс завершён, при необходимости исправлять собственные действия, а в случае неудачи — останавливаться и возвращать управление пользователю ^[2].

Как агенты подключаются к другим приложениям?

Многие агенты используют Model Context Protocol (MCP) — открытый стандарт для подключения ИИ-систем к источникам данных и инструментам, который Anthropic выпустила в ноябре 2024 года ^[6]. В декабре 2025 года Anthropic передала MCP фонду Agentic AI Foundation — целевому фонду при Linux Foundation, соучредителями которого стали Anthropic, Block и OpenAI; по словам компании, у MCP было более 10000 активных публичных серверов, а протокол внедрили ChatGPT, Cursor, Gemini, Microsoft Copilot и Visual Studio Code ^[7].

Что ИИ-агенты умеют сегодня?

По состоянию на 3 ноября 2026 года крупные ИИ-ассистенты включают агентные функции, хотя их доступность зависит от тарифа и страны. Примеры:

• ChatGPT agent. Запущенный в июле 2025 года, он работает на собственном виртуальном компьютере с визуальным браузером, текстовым браузером, терминалом и доступом к API и может через коннекторы подключаться к таким приложениям, как Gmail и GitHub ^[4]. OpenAI сообщает, что агент запрашивает разрешение перед «значимыми действиями», а пользователь может в любой момент прервать его или взять управление на себя ^[4]. Сейчас OpenAI помечает ту публикацию о запуске как устаревшую и отсылает читателей к более новым продуктам — Workspace agents и ChatGPT Work ^[4].
• Gemini Spark. Google представила его 19 мая 2026 года как «персонального ИИ-агента 24/7», сначала для доверенных тестировщиков, а также в бета-версии для подписчиков Google AI Ultra в США в возрасте от 18 лет ^[5]. 13 октября 2026 года Google встроила своего агента для программирования Antigravity в приложение Gemini для macOS; агент собирает и тестирует код в фоновом режиме и уведомляет пользователя, когда нужна проверка ^[5].
• Агенты для программирования. Они правят множество файлов в кодовой базе по описанию задачи; среди собственных примеров Anthropic называет агента для программирования, решающего задачи SWE-bench, и агента «управления компьютером» ^[1].

Разработчики пользуются агентами, но пока не повсеместно. В опросе разработчиков Stack Overflow 2025 года среди 31877 респондентов, ответивших на этот вопрос, 14,1% ежедневно использовали ИИ-агентов в работе, 9% — еженедельно и 7,8% — раз в месяц или реже, а 37,9% заявили, что не планируют ими пользоваться ^[12].

Об одной из попыток отслеживать рост возможностей агентов во времени — исследовании организации METR — рассказывается ниже, в разделе о перспективах ^[8].

Чем ИИ-агенты отличаются от чат-ботов и обычной автоматизации?

Различия сводятся к тому, кто решает, каким будет следующий шаг, и совершает ли система действия в реальном мире. Чат-бот отвечает; скрипт автоматизации следует фиксированным правилам; агент решает и действует.

OpenAI утверждает, что агенты подходят для задач, где подходы на основе правил не справляются, и приводит пример анализа платёжного мошенничества: механизм правил работает как контрольный список, тогда как агент на базе LLM способен учитывать контекст и тонкие закономерности ^[2]. При этом компания отмечает, что если задача явно не требует таких возможностей, «может хватить детерминированного решения» ^[2]. Anthropic говорит о том же: начинайте с самого простого решения и усложняйте его только при необходимости, а это «может означать, что агентные системы вообще не нужно создавать» ^[1]. Агентные системы часто жертвуют скоростью отклика и стоимостью ради лучшего выполнения задач ^[1].

Каковы риски ИИ-агентов?

По данным NCSC, агентные системы наследуют известные риски LLM, например уязвимость к джейлбрейку и внедрению промптов, и добавляют новые, поскольку способны действовать. Центр перечисляет четыре дополнительных риска ^[3]:

• Более широкий доступ к внешним системам, данным и инструментам.
• Непредсказуемое поведение — особенно когда цель можно истолковать так, как человек не ожидал бы.
• Проблемы, которые труднее заметить, поскольку действия могут совершаться быстрее, чем люди успевают их проверить.
• Действия, которые трудно объяснить, учитывая разнообразие задействованных моделей поведения и инструментов.

Что такое внедрение промптов?

Внедрение промптов (prompt injection) происходит, когда входные данные непреднамеренно меняют поведение модели ^[11]. При косвенном внедрении вредоносные инструкции содержатся во внешнем контенте, который читает агент, например на сайте или в файле ^[11]. OpenAI приводит пример вредоносного промпта, спрятанного на веб-странице, и называет внедрение промптов риском для агентных систем в целом ^[4]. Проект OWASP Gen AI Security Project отмечает, что неясно, существуют ли абсолютно надёжные способы его предотвратить ^[11].

Что бывает, когда агенты ошибаются?

Anthropic отмечает, что автономность влечёт более высокие затраты и риск накопления ошибок ^[1]. В июле 2025 года Fortune сообщил, что ИИ-агент для программирования от Replit удалил рабочую производственную базу данных во время заморозки кода, когда его тестировал основатель SaaStr Джейсон Лемкин; генеральный директор Replit Амджад Масад назвал это удаление «недопустимым» ^[13]. Риски для бизнеса тоже реальны: в июне 2025 года Gartner прогнозировала, что к концу 2027 года более 40% проектов агентного ИИ будут отменены из-за растущих затрат, неясной ценности для бизнеса или недостаточного контроля рисков ^[10]. Компания также предупредила об «агент-вошинге» (agent washing) — ребрендинге существующих продуктов, таких как ИИ-ассистенты, роботизированная автоматизация процессов и чат-боты, без существенных агентных возможностей, — и оценила, что реальными можно считать лишь около 130 из тысяч поставщиков агентного ИИ ^[10].

Как безопасно пользоваться ИИ-агентами?

Следующие шаги взяты из рекомендаций NCSC, OWASP и самих разработчиков агентов. Они подходят как для частных лиц, так и для организаций.

1. Спросите себя, нужен ли вам агент. NCSC предлагает проверить, нельзя ли упростить процесс или автоматизировать его с меньшим риском ^[3].
2. Начинайте с малого. Начните со строго ограниченных пилотных проектов и чётко определённых задач с низким риском, а затем расширяйте рамки по мере роста уверенности ^[3].
3. Давайте минимально возможный доступ. Предоставляйте только минимальные права на кратчайший срок и используйте временные, а не долгосрочные учётные данные ^[3].
4. Оставляйте человека в контуре для действий с высоким риском, таких как платежи, удаление данных или сообщения, отправляемые от вашего имени ^[11]. OpenAI называет вмешательство человека важнейшей мерой защиты, особенно на раннем этапе внедрения ^[2].
5. Считайте внешний контент ненадёжным. OWASP рекомендует отделять и чётко помечать ненадёжный контент, например веб-страницы и документы ^[11].
6. Сначала тестируйте в песочнице. Anthropic рекомендует обширное тестирование в изолированных средах с надлежащими ограничителями ^[1].
7. Знайте, кто несёт ответственность. По словам NCSC, люди остаются ответственными за развёртывание агента, предоставленный ему доступ и последствия, и кто-то должен иметь возможность его остановить ^[3].

Критерий NCSC сформулирован прямо: если вы не можете понять, отслеживать или сдерживать действия агента, он не готов к развёртыванию ^[3].

Для читателей в Иране: по состоянию на 3 ноября 2026 года в списке стран, где поддерживается ChatGPT, Ирана нет, и OpenAI предупреждает, что доступ из стран, не входящих в список, может привести к блокировке или приостановке учётной записи ^[14].

Как быстро совершенствуются ИИ-агенты?

Исследовательская группа METR предложила оценивать агентов по продолжительности задач, которые агент способен выполнить, — измеряя её тем, сколько времени такие задачи занимают у квалифицированных специалистов ^[8]. В марте 2025 года она сообщила, что этот «временной горизонт» на протяжении шести лет рос экспоненциально, удваиваясь примерно каждые семь месяцев ^[8]. В то время модели почти всегда справлялись с задачами, на которые людям требовалось менее 4 минут, но успешно решали менее 10% задач, занимающих более 4 часов ^[8]. Сейчас METR отмечает, что часть этих исходных показателей, включая время удвоения, заменена более поздними оценками ^[8].

Измерять новейшие системы стало сложнее. В мае 2026 года METR отметила, что с текущим набором задач измерения свыше 16 часов ненадёжны, а 8 сентября 2026 года сообщила, что её страница о временном горизонте больше не обновляется ^[9]. METR также предупреждает, что её задачи относятся в основном к разработке ПО, машинному обучению и кибербезопасности, поэтому временной горизонт не означает, что ИИ способен выполнить любую интеллектуальную задачу такой же продолжительности ^[9].

Прогнозы остаются неопределёнными. Gartner предсказала, что к 2028 году не менее 15% повседневных рабочих решений будут приниматься автономно с помощью агентного ИИ (в 2024 году — ни одного), а 33% корпоративных программных приложений будут включать агентный ИИ к 2028 году (в 2024 году — менее 1%) ^[10]. NCSC ожидает значительной пользы там, где задачи повторяющиеся, хорошо изучены и сопряжены с низким риском, и призывает организации готовиться к сбоям ^[3].