Наша позиция по поводу долгоиграющих автономных агентов и почему для большинства бизнес-процессов вместо этого нужен специалист.
Представьте человека, который должен одобрить вашего первого автономного агента. Это может быть ваш начальник отдела аудита, директор по информационной безопасности или руководитель по рискам в бизнес-подразделении, которому он требуется. Они задают один вопрос: когда этот агент что-то делает, кто это санкционировал? Если никто не может внятно ответить на этот вопрос, агент остается на стадии пилотного проекта.
Именно на этом этапе застревает множество агентных систем ИИ. В опросе DataRobot «Unmet AI Needs Survey 2026», в котором приняли участие 413 специалистов, работающих с агентным ИИ, мнения о том, достаточны ли существующие средства контроля доступа и каталоги для управления агентами, разделились поровну: 49% ответили «да», 51% — «нет». Управление (грейвнанс) также возглавило список трудностей, с которыми компании сталкиваются при масштабировании с одного агента до 100 и более — об этом заявили 61% респондентов. При этом запуск — это еще не финишная прямая, поскольку 94% организаций сталкиваются с эксплуатационными проблемами на второй день после развертывания агентного ИИ. Обходной путь, к которому прибегает большинство команд — это заставить человека кликать «одобрить» для каждого значимого действия. Это ничего не автоматизирует. Это лишь добавляет новый интерфейс к тому же узкому месту.
И проблема только усугубилась, поскольку новый класс агентов вышел на массовый рынок. Эти агенты не ждут, пока их вызовут. Они сохраняют память между перезапусками, выполняют цикл между вашими сообщениями и действуют по собственной инициативе. Проекты с открытым исходным кодом, такие как Hermes Agent, популяризировали этот паттерн, а крупные лаборатории последовали их примеру: xAI выпустила Grok Bot в августе, Meta выпустила Muse в сентябре, а OpenAI запустила Dots 29 сентября.
Это полезно, но это совершенно иная поверхность рисков по сравнению с ограниченным конвейером (пайплайном), который запускается, дает ответ и завершает работу. Наш взгляд заключается в том, что правильный уровень автономии зависит от решаемой задачи, и вам не должна требоваться отдельная платформа для каждого ответа. Вот как мы подходим к этому вопросу.
Долгоиграющий и автономный — это два разных свойства
Люди склонны объединять их, но их стоит разделять. Долгоиграющий агент никогда не выключается и сохраняет состояние между сеансами, поэтому со временем он лучше адаптируется к вашей среде, а не начинает работу с чистого листа при каждом запуске. Автономный агент может принять решение действовать без одобрения человека для конкретного действия: взять задачу, вызвать инструмент, потратить токены, записать данные в систему учета или написать кому-то сообщение.
Специализированный агентный процесс, такой как конвейер RAG или классификатор тикетов, обычно не является ни тем, ни другим. Он вызывается, выполняет преимущественно фиксированный набор шагов, возвращает ответ и помнит только то, что было в промпте. Агенты в стиле Hermes сочетают в себе и то, и другое.
Вам понадобятся оба свойства, когда речь идет о постоянной ответственности, а не об одиночном запросе. Возьмем закрытие месяца: собрать сверки, пометить исключения, найти ответственных и эскалировать только то, что требует вмешательства человека. Вы могли бы объединить это с помощью запланированных задач, вызывающих узкие конвейеры, но вам пришлось бы вручную создавать расписание, управление состоянием и логику оценки того, что стоит эскалировать. Долгоиграющий агент справляется с этим нативно, а его контекст накапливается по мере того, как он изучает ваши системы и соглашения.
Цена за это вполне ясна. Вы отказываетесь от небольшой проверяемой зоны ответственности ради большей, которая может делать больше без вашего участия. Это того стоит для емких, долгосрочных задач, требующих принятия решений. Обычно это не имеет смысла для четко определенных, высокообъемных и чувствительных к затратам задач, с которыми защищенный конвейер уже справляется за малую долю трат на токены.
Появились агенты-универсалы
Grok Bot, Muse и Dots делают ставку на одно и то же из трех разных лабораторий: предоставить каждому пользователю агента, который продолжает работать от их имени, имея широкий доступ и долгосрочную цель. Grok Bot и Muse выделяют агенту собственную облачную машину, а Dots подключается к более чем 4000 приложений и позиционируется как способный делать практически все. Эта универсальность и есть главная цель. Это универсалы, офисные администраторы мира агентов, и они впечатляют именно тем, что не специализируются ни на чем конкретном.
Это нормальный компромисс для человека, делегирующего собственные мелкие поручения. Но для бизнес-процесса это куда более шаткая позиция. Универсал обращается к передовой модели, потому что не может заранее знать, какой именно шаг окажется сложным, поэтому работа, которую простая модель могла бы выполнять надежно, выполняется на самой дорогой модели в цикле. Широта доступа также означает и широту потенциального ущерба (blast radius), о чем говорят сами вендоры: создатели Grok Bot называют его общую машину, логин-данные и файлы «реальной зоной поражения». Продукты, ориентированные на массового потребителя, также имеют потребительские настройки по умолчанию в отношении использования данных и региональной доступности, что не соответствует стандартам, которых ожидает ваш регулятор. А их системы защиты сильно полагаются на подтверждения от каждого пользователя, в то время как компании нужна политика, применимая к каждому агенту и каждому действию независимо от того, не забыл ли кто-то нажать кнопку «отклонить».
Альтернатива — специалист. Сравните универсальную кофемашину с бариста, обученным одной работе: тот же напиток, приготовленный тем же способом, быстро, по известной цене и каждый раз одинаково. Агент-специалист знает свой процесс, использует только те инструменты, которые нужны для этого процесса, и выполняет каждый шаг на той модели, которая действительно необходима для этого шага.
Чего автономия требует от вашей команды безопасности
Агент, который действует самостоятельно, помнит информацию и продолжает работать между проверками, нуждается в средствах контроля, которые никогда не были нужны безгосударственным конвейерам (stateless pipelines). Он хранит долгоживущие учетные данные, потому что ему приходится действовать позже в автономном режиме, что делает эти учетные данные постоянной мишенью. Промпт-инъекции превращаются в эскалацию привилегий: конвейер, прочитавший скомпрометированный документ, выдает плохой ответ, но долгоиграющий агент, прочитавший его, может создать запрос на слияние (PR), слить секретные данные или написать клиенту. Память становится уязвимой поверхностью для атак длительного действия, поскольку один ложный факт, записанный в нее, влияет на каждый последующий сеанс. А поскольку поведение меняется по мере развития памяти и навыков, разового код-ревью недостаточно; мониторинг должен работать постоянно.
Кроме того, существует проблема идентификации, которую еще никто чисто не решил. Человек-коллега входит в систему под своим именем, и его права доступа исчезают вместе с ним. Командный агент настраивается один раз и используется многими, поэтому, когда что-то идет не так, на вопрос «кто это санкционировал?» нет четкого ответа. Его разрешения имеют тенденцию только расти и никогда не снижаться. Он может порождать субагентов или действовать по автоматическим триггерам, совершая действия вообще без какого-либо участия человека. И в итоге он часто оказывается привязан к одной общей служебной учетной записи, что сводит на нет атрибуцию по конкретным пользователям как раз тогда, когда это необходимо при разборе инцидента. Правильный подход похож на то, как вы обращаетесь с подрядчиком с высокими привилегиями: именная учетная запись, где это возможно, ограниченные и проверяемые права, недолговечные токены и журнал аудита, который отделяет «агент сделал это» от «агент сделал это, потому что его попросил конкретный человек».
Автономия стоит того, чтобы ее внедрять, а управление делает ее безопасной. Именно поэтому оно должно быть на первом месте.
К чему мы пришли
Мы видим два конца этого спектра и создаем решения для обоих.
Для по-настоящему открытых задач, в которых самообучающийся агент с долгосрочной памятью отрабатывает свою стоимость, запускайте такого агента в пределах собственного регулируемого периметра: ваши данные, ваша инфраструктура и отслеживание с первого дня. Наша команда Labs уже демонстрирует, как это работает (подробнее об этом ниже). Оставьте это для работы, где истинная автономность оправдывает затраты.
Для всего остального — а это большинство важнейших бизнес-задач — вам не нужны специалисты широкого профиля или открытая автономность. Вам нужен специалист, который выполняет процесс, а не просто готовит предложения по нему, со встроенными средствами контроля и этапами утверждения. Это стандартный подход, и в нем мы являемся лидерами.
Агенты принятия решений: специалисты под управлением с первого запуска
Агенты принятия решений (Decision Agents) — это специализированные инструменты от DataRobot. Каждый из них создан для принятия и реализации решений, лежащих в основе определенного бизнес-процесса — тех самых, которые влияют на ключевые показатели бизнеса во всех задействованных системах, командах и среди партнеров. Если агент общего назначения создан для работы с чем угодно, то агент принятия решений нацелен на безупречное выполнение одного процесса каждый раз при предсказуемых затратах.
Управление обеспечивается платформой Agent Workforce Platform, на которой они работают, поэтому оно присутствует с самого первого запуска, а не добавляется позже. Через шлюз DataRobot LLM вы выбираете модель для каждой задачи, что означает отсутствие необходимости запускать рутинные шаги на самых дорогих передовых моделях. Модели контроля проверяют важные шаги, а шлюзы одобрения человеком настраиваются там, где требуется подпись сотрудника. Каждый агент получает собственную идентичность и назначенного владельца, а его секреты хранятся в хранилище учетных данных DataRobot, а не в коде. Трассировки OpenTelemetry для вызовов моделей и инструментов предоставляют вашей аудиторской группе отчет о том, что и почему сделал агент. Кроме того, агенты принятия решений работают там, где вам нужно: в облаке, локально (on-prem) или в изоляции от интернета (air-gapped) на вашей собственной инфраструктуре.
Вы получаете предсказуемые результаты и планируемые расходы без постоянной поверхности риска, свойственной агентам общего назначения с длительным временем работы. Чтобы увидеть, как это выглядит, посмотрите сценарий, который берет на себя $2.5B supply chain crisis to competitive advantage in 72 hours.
Оцените регулируемую автономность на практике
Для задач из открытой части спектра подразделение DataRobot Labs опубликовало два экспериментальных проекта с открытым исходным кодом, которые на практике показывают, как выглядит регулируемый периметр.
Hermes Agent on DataRobot запускает агент с открытым исходным кодом Hermes в качестве рабочей нагрузки DataRobot. Это экспериментальный проект, поддерживаемый силами сообщества, а не официально поддерживаемый продукт DataRobot, но он демонстрирует полную схему от начала до конца. Он развертывается из git с помощью интерфейса командной строки DataRobot, и вы можете включить автоматическое переразвертывание при каждом пуше. Веб-чат защищен авторизацией и возможностями совместного использования DataRobot, а дополнительный бот для Slack отвечает только пользователям из белого списка. Вызовы моделей проходят через шлюз DataRobot LLM, поэтому у агента нет ключей API провайдера, а модель можно выбирать для каждого задания индивидуально. Секреты хранятся в хранилище учетных данных DataRobot, а на GitHub агент действует как приложение GitHub (GitHub App) с недолговечными токенами установки. Вызовы моделей и инструментов отслеживаются с помощью OpenTelemetry.
datarobot-sync — это сопутствующий инструмент, также являющийся экспериментальным проектом Labs. Он копирует только то, что изменилось между локальным каталогом и файлами DataRobot, поэтому работающий постоянно агент сохраняет свои навыки, память и сеансы после перезапусков.
Долгосрочные автономные агенты имеют реальное будущее для решения по-настоящему открытых задач, оправдывающих затраты. Им необходимы управление, идентификация и средства контроля с первого дня, до первого инцидента, а не после него. Для всего остального специалист, выполняющий защищенный и проверяемый процесс, является лучшим инженерным и бизнес-решением. Автономность там, где она себя окупает. Контроль там, где это важно.
