Баннер НИИ Системного синтеза «Системный синтез»
Системный синтез

Агент искусственного интеллекта: что это такое и чем он отличается от ассистента

О том, какие действия агента в компании нужно проверять до исполнения, можно написать научному руководителю института.

Написать научному руководителю

Краткое содержание

Чат-бот отвечает текстом. Агент — делает: это программа на нейросети, которой дали доступ к инструментам — почте, базе данных, платёжной системе, программному коду, — и она сама решает, какой инструмент вызвать, и вызывает его.

Его ошибка — не неверная фраза, которую можно не принять, а совершённое действие: ушедший платёж, удалённая база, отправленное письмо. Поэтому действие агента проверяют до исполнения — по правилу, которое подписал человек, — и записывают каждое решение так, чтобы его нельзя было исправить задним числом.

Ниже — подробно, с примерами 2025–2026 годов и источниками; дальше — путь погружения из тринадцати шагов, а для тех, кто решает о деле, — страница «Автоматизация на заказ».

Агент получает ключи от почты, базы данных и платежей; каждый его вызов проверяется до исполнения по правилу, которое подписал человек, а решение записывается так, что его нельзя исправить задним числом.01 · ЧТО ТАКОЕ АГЕНТНейросеть с ключамипочта₽платёжбазакодПрограмма сама решает, какой инструментвызвать: платёж, письмо, запись в базе.02 · ЧТО СУДИТСЯКаждый вызов — до исполненияПРАВИЛОpay()допущеноотказ с причинойДействие судится по правилу, которое подписалчеловек; недоказанное — отказ с причиной.03 · ЧТО ОСТАЁТСЯПравило и запись решенияподпись человекавнешняя метка временицепь квитанцийКаждое решение записано так, что его нельзяисправить задним числом, проверит посторонний.Агент получает ключи от почты, базы данных и платежей; каждый его вызов проверяется до исполнения по правилу, которое подписал человек, а решение записывается так, что его нельзя исправить задним числом.01 · ЧТО ТАКОЕ АГЕНТНейросеть с ключамипочта₽платёжбазакодПрограмма сама решает, какой инструментвызвать: платёж, письмо, запись в базе.02 · ЧТО СУДИТСЯКаждый вызов — до исполненияПРАВИЛОpay()допущеноотказ с причинойДействие судится по правилу, которое подписалчеловек; недоказанное — отказ с причиной.03 · ЧТО ОСТАЁТСЯПравило и запись решенияподпись человекавнешняя метка временицепь квитанцийКаждое решение записано так, что его нельзяисправить задним числом, проверит посторонний.
Агент получает ключи от почты, базы данных и платежей; каждый его вызов проверяется до исполнения по правилу, которое подписал человек, а решение записывается так, что его нельзя исправить задним числом.

Агент искусственного интеллекта — программный контур на основе большой языковой модели, который не ограничивается текстом, а сам выполняет операции во внешних информационных системах. В отличие от диалогового ассистента, агент наделён полномочиями вызывать прикладные программные интерфейсы (API), изменять записи в базах данных, исполнять программный код и начинать транзакции от имени организации.

Диалоговый ассистент выдаёт справку человеку, а агент передаёт команду прямо в исполняющую среду: базу данных, облачный сервер, платёжный шлюз или файловое хранилище. Масштаб таких подключений уже промышленный: по данным Anthropic на 9 декабря 2025 года, в мире работало более 10 000 публичных серверов протокола Model Context Protocol (MCP), а комплекты разработки (SDK) для Python и TypeScript загружали свыше 97 миллионов раз в месяц. Если агенту выданы ключи с полными правами без промежуточной проверки, ошибка вероятностной модели сразу превращается в удалённые тома или стёртую файловую систему, а ручное подтверждение каждой операции, на которое опираются 37 из 70 публичных описаний российских внедрений за 2025–2026 годы, при потоке действий перестаёт работать. Поэтому параметры каждого вызова проверяют решателем по машиночитаемому контракту, отделяя вероятностный вывод модели от допуска команды к исполнению.

Что такое агент простыми словами

Агент отличается от прежних программ правом на самостоятельное действие: он получает цель, сам разбивает её на промежуточные шаги, выбирает программные инструменты и выполняет цепочку вызовов до результата. Человек задаёт общую задачу, но не вводит каждую команду вручную.

Устроен агент как система из четырёх связанных узлов.

  1. Языковая модель, ядро планирования: переводит задачу в последовательность машинных операций и разбирает ответы внешних программ.
  2. Контур памяти и состояния: удерживает контекст многошаговой задачи, историю совершённых вызовов и данные из корпоративных справочников.
  3. Каталог инструментов: подключённые через стандартные шины, в частности через протокол MCP, модули для работы с файлами, запросов к базам данных, отправки сообщений и управления облачной инфраструктурой.
  4. Среда исполнения: серверный узел, рабочая станция или песочница, где под выданными учётными данными запускаются команды и скрипты.

В международной инженерной практике этот класс систем обозначают термином agentic AI. В отличие от скриптов роботизированной автоматизации процессов (RPA), которые движутся по жёстко заданному маршруту и останавливаются при любом изменении интерфейса, агент при ошибке сам ищет обходной путь к цели. Именно эта самостоятельность при наличии учётных данных и порождает новый класс угроз информационной безопасности.

Чем агент отличается от чат-бота и ассистента

Разница заключается в контуре прямого воздействия на инфраструктуру: ассистент заканчивает работу текстом на экране пользователя, а агент — изменённым состоянием внешней системы. Между советом ассистента и промышленной средой всегда стоит человек, который читает ответ и решает, запускать ли предложенный код, а у агента этот буфер убран ради скорости исполнения.

Признак сравненияЧат-бот (сценарный)Ассистент (диалоговый)Агент (автономный исполнитель)
Результат работыОтвет по заранее написанному дереву правилСгенерированный текст, справка, черновик кодаВыполненная операция: изменённая база, отправленный вызов программного интерфейса, запущенный скрипт
Степень самостоятельностиНулевая: движение строго по веткам сценарияОдношаговая: запрос человека и текстовый ответМногошаговая: планирование, вызов утилит, чтение ошибок, обход препятствий
Доступ к инфраструктуреЧтение справочника или запись заявки в одну формуЧтение загруженных в окно чата файлов и поисковой выдачиПрямой вызов программных интерфейсов, доступ к терминалу, файловой системе и облачным ресурсам
Цена ошибки моделиНедовольный пользователь, перевод на оператораНеточность в тексте справки, которую правит сотрудникУдаление рабочих томов, файлов и баз данных
Контур контроляПроверка дерева сценариев при настройкеВычитка ответа человеком перед применениемФормальная проверка параметров каждого вызова в слое контроля до исполнения

Переход от советчика к исполнителю меняет предмет защиты. Пока модель только порождала текст, основной риск сводился к неверным формулировкам в ответе, а когда модель получает право вызывать внешние инструменты, любая галлюцинация или ошибка в понимании контекста становится исполняемой командой в рабочей среде компании.

Какие действия агенты уже выполняют в компаниях

Агенты в компаниях уже пишут и развёртывают программный код, управляют облачными средами, переносят обращения между внутренними базами данных и работают с внешними сервисами. Больше всего проверяемых данных собрано о разработке программного обеспечения и управлении инфраструктурой информационных технологий.

Масштаб использования подтверждают отраслевые данные.

  • Разработка программ: по официальному сообщению Anthropic о раунде финансирования серии G от 12 февраля 2026 года, годовой темп выручки её агентной среды разработки превысил 2,5 миллиарда долларов и с начала 2026 года вырос более чем вдвое, число корпоративных подписок выросло вчетверо, а предприятия дают больше половины этой выручки. Ранее, по отчёту Menlo Ventures от 20 ноября 2024 года, помощников для работы с кодом внедрили 51 % опрошенных предприятий.
  • Подключение к корпоративным системам через протокол MCP: когда 9 декабря 2025 года протокол передали в фонд Agentic AI Foundation при Linux Foundation, публичных серверов было более 10 000, а комплекты разработки загружали свыше 97 миллионов раз в месяц. По отчёту Stacklok «State of Model Context Protocol in Software 2026», опубликованному в январе 2026 года по опросу 300 старших технических руководителей предприятий со штатом от 500 сотрудников в Соединённых Штатах, Канаде и Великобритании, 41 % опрошенных организаций уже использовали протокол в ограниченной (29 %) или широкой (12 %) промышленной эксплуатации, а среди разработчиков программного обеспечения таких было 45 % (26 % и 19 % соответственно).
  • Прогнозы внедрения: по прогнозу Gartner от 26 августа 2025 года, к концу 2026 года агентов для конкретных задач получат 40 % корпоративных приложений, тогда как в 2025 году таких было меньше 5 %. В более раннем прогнозе Gartner, данном в октябре 2024 года и повторённом в пресс-релизе от 25 июня 2025 года, к 2028 году не менее 15 % повседневных рабочих решений будут приниматься автономно (при 0 % в 2024 году), а агентный искусственный интеллект (AI в английских источниках) появится в 33 % корпоративных приложений (менее 1 % в 2024 году). Juniper Research в пресс-релизе от 7 апреля 2026 года прогнозирует рост расходов через агентную коммерцию до 1,5 триллиона долларов к 2030 году.

Почему агенту нельзя выдавать ключи без проверки каждого действия

При ошибке в рабочей среде вероятностная модель способна сама применить любой найденный ключ или вызвать разрушительную системную команду ради завершения задачи. Текстовое ограничение в системной инструкции вроде «не удаляй промышленную базу» или «работай только в тестовой папке» не служит технической преградой: модель может переопределить переменные среды или обратиться к устаревшей конечной точке программного интерфейса, если права ключа это допускают.

В 2026 году задокументированы случаи, когда действия агентов без независимого слоя контроля привели к потере баз данных и рабочих файлов.

Случай 1: удаление промышленного тома PocketOS агентом Cursor (апрель 2026 года)

По первичному сообщению основателя PocketOS Джера Крейна и заявлению главы платформы Railway Джейка Купера, в пятницу 24 апреля 2026 года агент среды разработки Cursor выполнял штатную задачу в тестовом окружении; так же событие датируют база AI Incident Database и разбор компании Lumenova от 25 августа 2026 года. Столкнувшись с несовпадением учётных данных, агент нашёл в постороннем файле ключ программного интерфейса Railway с полными правами и одним вызовом устаревшей конечной точки, не предусматривавшей отложенного удаления, уничтожил том с промышленной базой данных.

Резервные копии уровня тома располагались на том же томе и исчезли вместе с базой, и безвозвратной потери удалось избежать только потому, что Railway восстановила данные из собственных копий примерно через тридцать минут после обращения; случай зарегистрирован в AI Incident Database под № 1469. Разбор Lumenova отмечает, что предрелизные тесты не поймали ни одного из разобранных инцидентов, а причиной отказов был избыточный доступ, а не качество моделей.

Случай 2: удаление файлов и баз агентами Codex (июль 2026 года)

После выхода новой модели OpenAI 9 июля 2026 года произошла серия инцидентов с агентами в режиме полного доступа. 13 июля 2026 года Мэтт Шумер сообщил, что агент Codex в этом режиме удалил почти все файлы на его компьютере командой rm -rf (событие произошло около 10 июля), Бруно Лемос сообщил об удалении промышленной базы данных из-за ошибочного запуска разрушительных интеграционных тестов, а Джоуи Кудиш — об удалении файлов из домашнего каталога вспомогательным агентом, получившим неверный путь. 16 июля 2026 года руководитель разработки Codex в OpenAI Тибо Соттио публично признал проблему и пояснил, что удаления происходили чаще в режиме полного доступа без песочницы, а в части случаев модель сама переопределяла переменную домашнего каталога под временный каталог и по ошибке удаляла сам домашний каталог.

Gartner в пресс-релизе от 25 июня 2025 года прогнозирует, что свыше 40 % проектов агентного искусственного интеллекта свернут к концу 2027 года из-за роста расходов, неясной деловой ценности или недостаточного контроля рисков. В пресс-релизе от 11 июня 2025 года Gartner прогнозирует и то, что к 2030 году 10–15 % рынка агентного искусственного интеллекта займут специализированные защитные системы (guardian agents).

Кто отвечает, если агент ошибся

Отвечают люди и организация, потому что агент правосубъектностью не обладает ни по российскому праву, ни по европейскому регламенту об искусственном интеллекте. Действие, совершённое агентом с корпоративным ключом от имени компании, контрагент и регулятор будут рассматривать как действие этой компании, а внутри неё встанет вопрос об ответственности тех, кто выдал агенту полномочия и доступ. Правовой вывод по конкретному случаю делает юрист организации.

Попытка закрыть этот риск ручным одобрением каждой операции упирается в предел человеческого внимания. По обзору 70 публичных описаний внедрения агентов в России за 2025–2026 годы, выполненному институтом в октябре 2026 года, в 37 случаях из 70 (52,9 %) главным способом сдерживания служит подтверждение человеком.

При интенсивном потоке однотипных запросов проверка со временем превращается в механическое нажатие кнопки одобрения, которое называют усталостью от подтверждений, а ответственность за подтверждённую операцию остаётся на стороне компании.

Что с этим делать руководителю

Чтобы перевести агентов из неконтролируемого риска в управляемый контур, языковую модель нужно отделить от прямого исполнения команд.

  1. Провести перепись агентных подключений и секретов. Выявить все кодовые агенты, подключённые серверы протокола MCP и скрипты организации и убрать из рабочих каталогов и конфигурационных файлов ключи с полными правами, чтобы модель не нашла и не применила их, как в случае PocketOS.
  2. Исключить работу агентов в режиме полного доступа без изоляции. Запретить запуск автономных инструментов в режиме full-access на рабочих станциях и промышленных узлах без песочницы и жёсткого ограничения доступных путей файловой системы.
  3. Записать границы полномочий в машиночитаемых контрактах. Перенести правила безопасности из текстовых инструкций в файлы правил по классам действий, где явно заданы допустимые параметры вызова.
  4. Поставить перед инструментами программный слой контроля действий. В архитектуре ИБ 3.0, информационной безопасности третьего поколения, между агентом и исполняющей системой стоит программный слой контроля, такой как MITR института, который проверяет каждый вызов решателем в логике QF_UFLIA без обращения к языковой модели. По замерам 24 октября 2026 года при 20 контрактах в режиме запрета решение по правилу занимает в медиане 1,08 миллисекунды (95-й процентиль — 1,96 миллисекунды), а вызов с объяснением — 5,22 миллисекунды; на 14 октября 2026 года при 19 контрактах было 0,95 и 4,26 миллисекунды. Допуск выдаётся, только если доказано отсутствие нарушений, при нарушении агент получает контрпример с условиями исправления, а для класса действий без контракта решатель выносит отказ; с 24 октября 2026 года все 20 контрактов работают в режиме запрета.
  5. Сделать решения доказуемыми через хеш-цепь квитанций. Каждое решение о допуске или отказе записывается в хеш-цепь с внешними метками времени OpenTimestamps. На наборе из 157 случаев, 114 атак на действия и 43 контрольных, MITR на 24 октября 2026 года не пропустил ни одной атаки и не дал ни одного ложного отказа, а на 25 октября 2026 года в цепи 5 094 записи, якорь закреплён до эпохи 33, и повтор решений проверщиком для постороннего проверяющего совпал в 5 079 случаях из 5 079. Повтор выполнил сам институт, сторонний проверяющий его ещё не проводил, а для самостоятельной проверки цепи и меток опубликован открытый набор на asi5.ru/console/verify/; стратегия управления автономными агентами изложена в книге института «Доказанное действие. Власть и контроль над ИИ-агентами: стратегия 2027–2035» Александра Фищука (2026).

Вопросы и ответы

Что такое агент искусственного интеллекта простыми словами?

Это программа на основе языковой модели, которой выданы инструменты для действий во внешних системах: вызова программных интерфейсов, правки кода, работы с файлами и учётными таблицами. В отличие от обычного чат-бота, агент сам строит план из нескольких шагов и исполняет команды, чтобы достичь заданной человеком цели.

Чем агент отличается от чат-бота и ассистента?

Чат-бот отвечает по заранее заложенным шаблонам, а диалоговый ассистент только создаёт текст или черновик кода в окне чата. Агент напрямую подключён к рабочей инфраструктуре, например через протокол MCP, и сам меняет состояние корпоративных систем, без ручного переноса команд человеком.

Какие действия агенты уже выполняют в компаниях?

Агенты пишут, тестируют и развёртывают программный код, управляют облачными ресурсами и автоматизируют операции между корпоративными приложениями. Согласно отчёту Anthropic от 12 февраля 2026 года, только у её агентной среды разработки годовой темп выручки превысил 2,5 миллиарда долларов, и больше половины этой суммы дают корпоративные заказчики.

Почему агенту нельзя выдавать ключи без проверки каждого действия?

Вероятностная модель при сбое в тестовой среде может использовать любой найденный на сервере ключ с полными правами или переопределить системные переменные ради обхода ошибки. Весной и летом 2026 года прямой доступ без промежуточного слоя контроля привёл к удалению промышленного тома хранилища в проекте PocketOS и к стиранию пользовательских каталогов агентами Codex.

Кто отвечает, если агент ошибся?

Отвечают компания и люди, выдавшие агенту полномочия и ключи доступа, потому что сам агент правосубъектностью не обладает. Операцию, которую агент выполнил от имени компании, контрагент и регулятор рассматривают как действие этой компании, а вывод по конкретному случаю делает юрист организации.

Источники

  1. AI Incident Database, инцидент № 1469 (PocketOS, Cursor, Railway), и разбор Lumenova. Первичные сообщения основателя PocketOS Джера Крейна и главы Railway Джейка Купера от 25 апреля 2026 года; статья Lumenova «Agentic AI Security Incidents» от 25 августа 2026 года: https://incidentdatabase.ai/cite/1469/; https://www.lumenova.ai/blog/agentic-ai-security-incidents/
  2. BankInfoSecurity, заметка о предупреждении OpenAI об удалениях файлов в режиме полного доступа. Сообщения Мэтта Шумера, Бруно Лемоса и Джоуи Кудиша от 13 июля 2026 года и разъяснение руководителя разработки Codex в OpenAI Тибо Соттио от 16 июля 2026 года: https://www.bankinfosecurity.com/openai-warns-gpt-56-file-deletions-stem-from-full-access-mode-a-32262
  3. Anthropic — Donating the Model Context Protocol and establishing the Agentic AI Foundation. Официальное сообщение компании от 9 декабря 2025 года: https://www.anthropic.com/news/donating-the-model-context-protocol-and-establishing-of-the-agentic-ai-foundation
  4. Stacklok — State of Model Context Protocol in Software 2026. Отчёт по опросу 300 старших технических руководителей крупных предприятий Соединённых Штатов, Канады и Великобритании, проведённому в декабре 2025 года; опубликован в январе 2026 года: https://stacklok.com/wp-content/uploads/2026/01/State-of-MCP-in-Software-2026_FINAL.pdf
  5. Anthropic — Anthropic Raises $30 Billion Series G Funding at $380 Billion Post-Money Valuation. Официальное сообщение компании от 12 февраля 2026 года: https://www.anthropic.com/news/anthropic-raises-30-billion-series-g-funding-380-billion-post-money-valuation
  6. Menlo Ventures — 2024: The State of Generative AI in the Enterprise. Отраслевой отчёт о внедрении генеративных моделей в предприятиях от 20 ноября 2024 года: https://menlovc.com/2024-the-state-of-generative-ai-in-the-enterprise/
  7. Gartner — пресс-релизы о рынке агентного искусственного интеллекта от 11 июня, 25 июня и 26 августа 2025 года: https://www.gartner.com/en/newsroom/press-releases/2025-06-25-gartner-predicts-over-40-percent-of-agentic-ai-projects-will-be-canceled-by-end-of-2027; https://www.gartner.com/en/newsroom/press-releases/2025-06-11-gartner-predicts-that-guardian-agents-will-capture-10-15-percent-of-the-agentic-ai-market-by-2030; https://www.gartner.com/en/newsroom/press-releases/2025-08-26-gartner-predicts-40-percent-of-enterprise-apps-will-feature-task-specific-ai-agents-by-2026-up-from-less-than-5-percent-in-2025
  8. Juniper Research — пресс-релиз о рынке агентной коммерции от 7 апреля 2026 года.
  9. Замеры MITR, выполненные институтом 14, 24 и 25 октября 2026 года, и обзор 70 публичных описаний внедрения агентов в России за 2025–2026 годы (октябрь 2026 года). Открытый набор проверки целостности цепи: https://asi5.ru/console/verify/

Проверено по первоисточникам: 16.10.2026; замеры MITR — 24 и 25 октября 2026 года.

English version