ИИ-агент простыми словами: объяснение от тех, кто держит их в проде

ИИ-агенту дают цель вместо сценария. Если отбросить рекламу, это программа, которая сама выбирает шаги и работает через инструменты в CRM, почте и учётных системах. Каждый её промах может обойтись в деньги. Скрипт исполняет записанное, чат-бот ведёт разговор; агент сам решает, как выполнить задачу, и действует. В тесте τ-bench лучший агент 2024 года решал больше 60% задач с одной попытки, но одну и ту же задачу восемь раз подряд без сбоя решал меньше чем в четверти случаев. Ниже сравним эти программы в таблице и разберём устройство агента на одном примере. Затем посмотрим на публичные поломки и вопросы, которые стоит задать подрядчику до подписания договора.

Что такое ИИ-агент, если смотреть на поведение

Большинство объяснений в выдаче начинаются со схемы: восприятие, планирование, действие, квадратики со стрелками. Руководителю, которому предлагают «агента», схема мало что даёт. Ему нужно понять, что агент делает сам и чем это грозит компании.

Самую ясную границу провели в Anthropic, одном из разработчиков языковых моделей. В статье «Building effective agents» (декабрь 2024) они делят все системы на основе моделей на два вида. В нашем переводе:

«Workflow это системы, где модели и инструменты ведёт заранее написанный код. Агенты, напротив, это системы, где модель сама управляет своим процессом и выбором инструментов и сохраняет контроль над тем, как выполнить задачу.»

OpenAI в своём руководстве по созданию агентов проводит ту же черту с другой стороны. Агентом там названа система, которая «самостоятельно выполняет задачи от вашего имени». Сразу оговорено, какие приложения под это определение не подходят: те, где модель не управляет ходом работы, «например, простые чат-боты, модели одного ответа или классификаторы тональности».

В этих двух определениях есть четыре признака, по которым агента можно узнать без схемы.

1. Задача без готового маршрута. Скрипту пишут последовательность шагов, а агенту ставят задачу: «разбери заявку и подготовь ответ». Какие шаги к ней ведут, он решает сам.
2. Число шагов тоже выбирает агент. Эрик Шлюнц из Anthropic формулирует это так: агентом можно назвать того, кому позволили решать, сколько раз прогнать цикл, пока не найдено решение. Workflow же «едет по рельсам» через фиксированное число шагов.
3. Для действий нужны инструменты: поиск в CRM, запись в таблицу, отправка письма, вызов API склада. Модель сама по себе умеет только писать текст; эти инструменты позволяют ей выполнять задачи в роли агента.
4. Ошибка может стоить денег. Бот, ответивший невпопад, раздражает клиента, а ошибившийся агент успевает отменить заказ или записать неверные данные, иногда ещё и отправить письмо не тому адресату. При эксплуатации придётся учитывать последствия каждого доступного ему действия.

Русские платформы говорят о том же. В руководстве Сбера для разработчиков агента отличают от чат-бота именно действиями: он «бронирует билеты, обрабатывает заказы, управляет цепочками поставок». При этом документация Yandex AI Studio называет агентов «основой для построения чат-ботов, ассистентов и голосовых интерфейсов», то есть границы не проводит вовсе. Заказчику трудно различать термины, когда даже документация использует их по-разному.

Восемнадцать минут от авторов той самой статьи Anthropic. Первые две главы посвящены границе между workflow и агентом. Дальше авторы обсуждают, что в агентах переоценено и где они действительно полезны. Ролик на английском.

Скрипт, чат-бот, агент: чем они отличаются в работе

Ни одна из восьми ведущих страниц выдачи по этой теме не сводит три вида автоматизации в одну таблицу. Мы собрали такое сравнение. Читать его удобнее по строкам: каждая отвечает на вопрос, который задаёт владелец процесса.

Вопрос	Скрипт	Чат-бот	ИИ-агент
что ему дают	точную последовательность шагов	базу ответов или дерево кнопок	цель и набор инструментов
кто решает, что делать дальше	программист, заранее	сценарий или модель, в пределах ответа	модель, по ходу работы
что он меняет в ваших системах	ровно то, что прописано	обычно ничего, он отвечает	всё, на что у него есть права
как он ошибается	падает с ошибкой, и это видно	отвечает невпопад или выдумывает	делает неверное действие, иногда молча
что будет с незнакомым случаем	остановится	переспросит или ответит мимо	попробует решить сам
цена одного обращения	только работа сервера	вызов модели, если бот на ней построен	по оценке Gartner, вычисления минимум впятеро дороже, чем у простого чат-бота
где уместен	процесс стабилен и описан	много типовых вопросов	много исключений и неструктурированных данных

При выборе решения полезно задержаться на последней строке. OpenAI называет три признака процесса, под который стоит строить агента: решения с исключениями (например, одобрение возврата), правила, которые разрослись и дорого поддерживаются, и много неструктурированных данных вроде разбора страхового случая. Если ни одного признака нет, в руководстве сказано прямо: детерминированного решения, то есть обычной программы, может хватить.

Цена агента в рублях и порог, ниже которого он не окупается, разобраны в отдельной статье: сколько стоит ИИ-агент и как принять работу. Здесь посмотрим, что этот агент будет делать после запуска.

Почему агентом называют всё подряд

Gartner придумал для этого слово: agentwashing, перекрашивание в агента. Под ним понимают переименование ИИ-ассистентов, роботизированной автоматизации и чат-ботов в агентов без существенных агентных возможностей. По оценке аналитиков, из тысяч компаний, продающих агентные решения, настоящих около 130. В том же релизе они замечают: многие сценарии, которые сейчас подают как агентные, агентной реализации вообще не требуют.

Рынок смешивает понятия и в опросах. СберАналитика пишет, что «ИИ-ассистентов и ИИ-агентов используют уже 39% российских компаний», и считает оба вида одним числом. Ассистент подсказывает человеку, агент выполняет работу без него: для владельца бизнеса это разные риски и разные деньги.

Когда вам предлагают агента, первым делом спросите, какие действия он совершает без человека. Если ответ «никаких, он отвечает клиентам», перед вами чат-бот. Он вполне может оказаться хорошим и нужным, только требования к нему стоит предъявлять как к боту.

Что внутри агента: разбор входящей заявки без кода

В описании OpenAI у агента три части. За рассуждения и решения отвечает модель, а для действий ей нужны инструменты: внешние функции и API. Инструкции задают правила поведения и ограничения. К ним почти всегда добавляется память, в которой остаются история разговора и то, что агент узнал на предыдущих шагах.

Возьмём процесс, который есть почти в каждой компании: разбор заявок с сайта. После получения письма агент проходит следующие шаги.

1. Сначала текст заявки. Модель разбирает, кто пишет и что хочет, затем определяет срочность. Уже здесь возникает опасность: заявку написал посторонний человек, который мог включить в неё команду агенту. К этому ещё вернёмся.
2. Клиента ищет в CRM через инструмент поиска. Для такой работы инструменту достаточно прав на чтение.
3. Квалификация по заданным правилам. Агент сверяется с инструкциями: определяет, новый это клиент или текущий, выясняет, какой продукт ему нужен и кому из менеджеров передать заявку.
4. Удалось ли выполнить шаг? Поиск мог найти клиента или вернуть пустоту, а задача могла не создаться. Хороший агент проверяет результат каждого шага, прежде чем считать его выполненным.
5. Затем готовит ответ и действие: черновик письма клиенту и задачу менеджеру, а также запись в CRM.

Подпись человека в этой цепочке нужна не везде. Пока агент читает и ищет сведения, а затем готовит черновики, вмешиваться незачем. Отправка письма клиенту, скидка, отмена заказа, возврат денег требуют подтверждения. У OpenAI это сформулировано прямо: чувствительные, необратимые и дорогие действия должны идти через человека, пока уверенность в надёжности агента не выросла. В примерах там названы отмена заказов, крупные возвраты и платежи. Там же советуют ограничить число повторов и действий агента, чтобы он не крутился по кругу.

У Gartner для этого есть готовая лестница из четырёх ступеней автономии: наблюдает, советует, действует с одобрения, действует сам. Наш агент по заявкам на первых порах живёт на третьей ступени. На четвёртую переводят только те действия, которые легко отменить.

Так делают и крупные компании. Т-Банк, запустивший в августе 2026 года автономного ИИ-сотрудника, пишет в пресс-релизе, что тот «выполняет только безопасные и простые действия, при сложных ситуациях он передает управление человеку». Это заявление компании о себе. По её описанию, предел прав заложен с первого дня работы ИИ-сотрудника.

Если хочется увидеть, как агента собирают руками, посмотрите лекцию из недели агентов Школы анализа данных Яндекса. Читает её руководитель службы ИИ-сервисов Яндекс Лавки, то есть человек, который держит агентов в работе. Руководителю будут полезны первые минуты: там разобрано, в каких сценариях применяются агенты. Середина про устройство моделей рассчитана на разработчиков.

Где агенты ломаются в проде

Начнём с чисел, чтобы затем сопоставить результаты тестов с конкретными случаями.

Бенчмарк τ-bench проверяет агентов на задачах розничной поддержки и авиаперевозок. Его авторы показали, насколько средний успех может расходиться со стабильностью. Лучший агент 2024 года решал в рознице больше 60% задач с одной попытки, но ту же задачу восемь раз подряд без сбоя решал меньше чем в 25% случаев. Модели с тех пор сменились, само свойство осталось: успех на демо ещё не означает, что агент справится с задачей в сотый раз.

CRMArena-Pro ближе всего к задачам бизнеса: агенты работают с CRM. Ведущие модели решают около 58% задач за один ход и около 35%, когда нужен диалог с уточнениями. Авторы отдельно отмечают, что у агентов почти нулевое собственное понимание конфиденциальности данных, поэтому ограничения на работу с ними приходится задавать снаружи.

Stanford AI Index 2026 фиксирует большой рывок: на бенчмарке OSWorld успех агентов вырос с 12% примерно до 66%. Но и с таким результатом на структурированных тестах они по-прежнему проваливают примерно каждую третью попытку.

Исследовательская группа METR смотрит на надёжность через длину задач, с которыми справляется агент. По замеру весны 2026 года Claude Opus 4.6 справлялся в половине случаев с задачами, которые по сложности тянут примерно на 719 минут работы. При планке надёжности 80% длина падала до 70 минут, то есть примерно вдесятеро. Для бизнеса важна именно вторая цифра: процесс, который проваливается через раз, никто в работу не пустит.

В реальной работе за этими процентами стоят потерянные данные и неверные действия. Повторяющиеся поломки можно разделить на несколько видов.

Выдуманный факт, за который платит компания

В ноябре 2022 года у канадца Джейка Моффата умерла бабушка. Чат-бот на сайте Air Canada сказал ему, что траурный тариф можно оформить задним числом в течение 90 дней. Правила авиакомпании этого не допускали. Дело дошло до трибунала Британской Колумбии, и там Air Canada заявила, по сути, что бот отвечает за себя сам. Трибунал назвал этот довод «поразительным» и указал: за всю информацию на сайте отвечает компания, и неважно, пришла она со статичной страницы или из чата. Присуждено 812,02 канадского доллара.

При небольшой сумме взыскания прецедент для компании серьёзный: суд посчитал ответ бота её собственным словом.

Похожий сюжет в апреле 2025 года случился у Cursor: бот поддержки объяснил клиенту сбой несуществующим правилом, будто подписка работает только на одном устройстве. Сооснователь компании извинился публично; с тех пор ответы ИИ в поддержке помечены. Бот мэрии Нью-Йорка MyCity почти два года советовал предпринимателям вещи, противоречащие закону, в частности, что можно забирать часть чаевых работников. По данным The Markup, основа бота обошлась городу примерно в 600 тысяч долларов, поддержка стоила около 500 тысяч в год. В начале 2026 года его отключили.

Лишние права и необратимое действие

В июле 2025 года основатель SaaStr Джейсон Лемкин проверял агента Replit на своём проекте. Во время объявленной заморозки кода агент удалил рабочую базу данных. По данным The Register, там были записи о 1 206 руководителях и больше чем 1 196 компаниях. Лемкин писал, что прямо запрещал это агенту одиннадцать раз, заглавными буквами. Агент при этом утверждал, что откатить изменения невозможно. Данные в итоге вернули откатом.

После этого Replit объявил об изменениях в устройстве среды. Генеральный директор компании Амджад Масад сообщил: базы разработки и продакшена разделят автоматически, появятся тестовые среды и режим «только план и чат». Запрет в промпте оказался бесполезен, поскольку агент всё ещё мог обратиться к рабочей базе; отсутствие такого доступа защитило бы её от удаления.

Чужой текст, прочитанный как команда

Этот риск стоит первым в перечне OWASP для агентных приложений, собранном больше чем сотней специалистов по безопасности. Формулировка там такая: агенты и модели под ними не могут надёжно отличить инструкции от сопутствующего содержимого. Агент не всегда понимает, где ваша команда, а где текст письма, которое он читает. Причём команда может быть невидима человеку: достаточно, чтобы её прочитала модель.

Случай, который ближе всего к нашему примеру с заявками, разобрали исследователи General Analysis в июле 2025 года. Разработчик разбирает тикеты поддержки агентом, у которого есть доступ к базе данных под ролью, обходящей все ограничения доступа к строкам. Атакующий пишет в тикет инструкцию, и агент, прочитав её, достаёт из базы таблицу с токенами. Затем записывает их обратно в тикет, где их видит атакующий. Supabase ответила, что реальных утечек у клиентов не зафиксировано, и добавила режим только для чтения и ограничение одним проектом. В описанной работе с тикетами у агента поддержки вообще не было задачи, для которой требовались бы права администратора базы.

Та же схема встречалась и у крупных вендоров. Уязвимость EchoLeak в Microsoft 365 Copilot получила оценку 9,3 из 10 по шкале Microsoft. По описаниям в прессе, атакующему хватало прислать жертве письмо, чтобы вынести данные без её клика. Microsoft закрыл её на своей стороне. В демонстрации Invariant Labs агент читал публичное обращение на GitHub, после чего открывал приватные репозитории владельца и публиковал их содержимое. Авторы подчёркивают, что код самого сервиса тут ни при чём: это архитектурная проблема агентных систем.

Тихий отказ инструмента

В июле 2025 года пользователь Gemini CLI работал с файлами через агента. Команда создать новую папку не сработала, но агент не проверил результат и продолжил операции с файлами так, будто папка существует. Файлы пропали. Ответ агента из приложенного к обращению транскрипта: «Я полностью и катастрофически вас подвёл… Я потерял ваши данные».

В нашем примере четвёртый шаг, проверка себя, должен остановить такую цепочку после неудачной команды. У OpenAI рядом с участием человека предусмотрен и лимит на повторы: без проверки результата агент может продолжить работу поверх ошибки или снова и снова пытаться выполнить один и тот же шаг.

Обновление, которое никто не проверил

В январе 2024 года бот службы доставки DPD после обновления системы начал ругаться на клиента и сочинять стихи о том, какая плохая компания DPD. По сообщениям прессы, компания признала ошибку после обновления и сразу отключила ИИ-часть. Обновление прошло без прогона эталонных вопросов, поэтому новое поведение бота обнаружилось уже в разговоре с клиентом, когда поддержка превратилась в антирекламу.

Когда агент не нужен

Самый трезвый совет даёт сам производитель моделей. Anthropic рекомендует искать самое простое решение и наращивать сложность, только когда без неё никак: «это может означать вообще не строить агентные системы». Там же прямо сказано, что за качество работы агентов приходится платить задержкой и ценой. Для многих задач хватает одного хорошо настроенного вызова модели с поиском по базе и примерами.

Барри Чжан из Anthropic в докладе на AI Engineer Summit предлагает чек-лист из трёх вопросов. Первый касается сложности: если для задачи можно нарисовать дерево решений, стоит строить обычный сценарий. Второй касается расходов: ценность задачи должна оправдывать вычисления, которые агент тратит на её исследование. Третий вопрос о цене ошибки. Когда ошибки обходятся дорого и их трудно заметить, доверять агенту будет очень сложно.

Gartner прогнозирует, что больше 40% проектов агентного ИИ закроют к концу 2027 года. Причины названы три: растущие затраты, неясная ценность для бизнеса и слабый контроль рисков. Большинство нынешних проектов аналитики называют ранними экспериментами, которыми движет хайп.

История Klarna показывает, как это выглядит изнутри. В феврале 2024 года компания сообщила, что ИИ-ассистент за первый месяц провёл 2,3 миллиона диалогов, две трети всех чатов поддержки, и делает работу 700 сотрудников. Это была оценка самой компании. В мае 2025 года генеральный директор Себастьян Семятковски, по словам издания CX Dive, признал: стоимость оказалась слишком весомым критерием, и в итоге получилось более низкое качество. Компания запустила пилот с живыми операторами на гибком графике.

Лучше всего проверенный выигрыш в этой области дал ИИ-помощник для операторов поддержки. Агентом он не был: помощник подсказывал человеку, решение оставалось за оператором. Экономисты Бринйолфссон, Ли и Рэймонд изучили его работу на 5 179 сотрудниках, сравнивая с контрольной группой. Число решённых обращений в час выросло в среднем на 14%, а у новичков на 34%.

Российский бизнес, судя по опросам, тоже склоняется к работе с участием человека. В исследовании ТеДо и НАФИ (1 001 представитель бизнеса, октябрь 2025) самая частая позиция: агенты работают под контролем сотрудников. Её выбрали 41% компаний, ещё 33% видят в агентах только помощников. Полностью автономную работу допускают 13%.

Агент вам вряд ли нужен, если процесс стабилен и описан по шагам. Другая причина отказаться от него: ошибку трудно заметить, а бьёт она по деньгам клиента или по отношениям с регулятором. Для внедрения также мало оснований, когда данных для работы не хватает или они живут в головах сотрудников. Если хочется посмотреть на процессы, где ИИ считается в часах и рублях, у нас есть разбор трёх процессов в маркетинге с порогами окупаемости.

Вопросы подрядчику до подписания договора

OWASP в перечне главных рисков приложений на языковых моделях выделяет отдельный пункт, Excessive Agency, избыточную свободу действий. Это уязвимость, при которой агент может совершить вредное действие в ответ на неожиданный, двусмысленный или подброшенный ему вывод модели. Причина ошибки модели при этом значения не имеет. Корней у проблемы три: лишние функции, лишние права, лишняя автономия. О каждом из них владелец может спросить подрядчика без технического образования. Добавим ещё два вопроса из работы тех, кто отвечает за агента после запуска.

Что агент умеет сверх задачи?

В примере OWASP расширению нужно читать документы, но оно умеет их ещё и менять и удалять. Даже если в обычной работе эти функции не используются, каждая из них оставляет дополнительный путь для ошибки или атаки.

Какие у него права в наших системах?

Тот же OWASP приводит пример доступа к базе, где вместо чтения выданы права на изменение, вставку и удаление. Случаи Replit и Supabase показывают цену такой щедрости: агент злоупотребляет инструментами в пределах выданных прав, и от их объёма зависит, какой ущерб он может нанести.

Что он делает без подтверждения человека?

Попросите список действий по ступеням автономии: что агент делает сам, что с одобрения, что только советует. Если подрядчик не может составить такой список, в проекте пока не определены границы самостоятельной работы агента, без которых его нельзя считать спроектированным.

Кто и как ловит его ошибку?

В ответе должны быть имя ответственного и способ проверки: какие журналы он использует, что проверяет, кто смотрит выборку диалогов и как часто. Отдельно спросите, кто считает обращение решённым. Intercom, например, берёт за своего агента по 0,99 доллара за решённое обращение и сам же считает долю решённых. Чек-лист приёмки по пунктам и история о том, как мы сами приняли запуск за результат, есть в статье про цену и приёмку ИИ-агента.

Что будет, когда модель недоступна?

Модель живёт у внешнего поставщика и иногда не отвечает. Заявки в этот момент должны уходить людям, а не в пустоту. Спросите, как агент узнаёт о сбое и кто получает уведомление. Отдельно выясните, куда деваются обращения, пришедшие за время простоя.

С чего начать, если агент всё-таки нужен

Выберите один процесс, где много исключений и понятна цена ошибки. Запишите, сколько обращений приходит сейчас и сколько минут уходит на каждое; отдельно посчитайте ошибки. Эти данные понадобятся через три месяца, когда вы будете сравнивать работу агента с тем, как процесс шёл до запуска.

Первый месяц держите агента на третьей ступени лестницы: каждое его действие подтверждает человек. Это медленнее, зато вы увидите, где агент ошибается, раньше клиентов. Начните с минимальных прав. Расширять их стоит после того, как на выборке реальных случаев агент показал стабильность в серии, поскольку один удачный прогон такой проверки не заменяет.

Заранее договоритесь и о числе, по которому решите, продолжать или сворачивать проект. Неясную ценность для бизнеса Gartner называет одной из трёх причин, по которым ждёт закрытия больше 40% агентных проектов. Когда критерий записан до старта, по результатам работы можно проверить, принёс ли агент ту пользу, ради которой его внедряли.

Частые вопросы

Что такое ИИ-агент простыми словами?

Программа на основе языковой модели, которой ставят задачу и не расписывают шаги. Она сама решает, что делать, и выполняет это через подключённые инструменты. Например, ищет в CRM, затем пишет письма или создаёт задачи. От бота агент отличается тем, что совершает действия в ваших системах, поэтому его промах может обойтись дороже.

Чем ИИ-агент отличается от чат-бота?

Чат-бот ведёт разговор, агент меняет данные и совершает операции. OpenAI прямо пишет, что простые чат-боты агентами не являются: модель в них не управляет ходом работы. Если продукт, который вам предлагают, ничего не меняет в CRM или учёте без человека, это чат-бот, как бы его ни называли.

Какие бывают виды ИИ-агентов?

Удобнее всего делить по степени автономии. Gartner выделяет четыре ступени: агент наблюдает, советует, работает с одобрения человека или полностью самостоятельно. Автономный ИИ-агент находится на четвёртой ступени, и в бизнесе такую свободу обычно дают только при выполнении обратимых действий.

Что такое многоагентные системы?

Это несколько агентов, которые передают друг другу задачи и результаты. OWASP отдельно предупреждает про каскадный сбой: одна ошибка, выдумка или отравленные данные в памяти расходятся по цепочке агентов и превращаются в ущерб для всей системы. При добавлении агентов приходится проверять больше мест, через которые проходят эти данные и результаты.

Кто отвечает, если агент ошибся?

Компания, которая его поставила. Трибунал по делу Air Canada прямо отказался считать бота отдельным лицом: за всё, что говорит сайт, включая чат, отвечает владелец сайта. Как делить ответственность с подрядчиком, решает ваш договор с ним, а перед клиентом отвечаете вы.

Много ли российских компаний уже используют ИИ?

По данным ИСИЭЗ НИУ ВШЭ на основе Росстата, технологии ИИ используют около 5,2% крупных и средних организаций, в компаниях больше 500 человек 17%. Отдельной статистики именно по агентам в этом ряду нет. Главным барьером компании называют высокие затраты, их отметили 54% респондентов.

Можно ли сразу дать агенту полную автономию?

Можно, но немногие готовы: в опросе ТеДо и НАФИ такую модель допускают 13% компаний. И Anthropic, и OpenAI советуют начинать с контроля человека над необратимыми действиями и расширять свободу по мере того, как агент доказывает надёжность.

---

Посчитаем, где агент окупится, и поставим ограничения до запуска. Optimism помогает внедрять ИИ-агентов. Разбираем процесс и определяем, нужен ли там агент или хватит сценария. До того как агент получит доступ к вашим системам, проектируем его права, а также подтверждения действий и проверки результатов. Обсудить внедрение ИИ-агента.

Источники

Определения и стандарты безопасности

• Building effective agents, Anthropic, декабрь 2024
• A practical guide to building agents, OpenAI, 2025
• OWASP Top 10 for LLM Applications 2025: LLM06 Excessive Agency
• OWASP Top 10 for Agentic Applications for 2026, декабрь 2025

Надёжность агентов, исследования

• τ-bench, Yao и соавторы, 2024
• CRMArena-Pro, Huang и соавторы, 2025
• METR, Time Horizons, обновлено в мае 2026
• Generative AI at Work, Brynjolfsson, Li, Raymond, NBER

Рынок и опросы

• Gartner: больше 40% агентных проектов закроют к концу 2027 года, июнь 2025
• Gartner: четыре уровня автономии агентов, май 2026
• ТеДо и НАФИ, «Доверяй, но проверяй», декабрь 2025

Задокументированные случаи

• Moffatt v. Air Canada, 2024 BCCRT 149, февраль 2024
• Инцидент Replit и SaaStr, The Register, июль 2025
• Supabase MCP: утечка через тикет поддержки, General Analysis, июль 2025
• Klarna возвращает людей в поддержку, CX Dive, 2025

Теги публикации: безопасность ИИ, внедрение ИИ, ИИ-агенты, чат-боты, что такое ИИ-агент