Персональные ИИ-агенты: как проектировать доверие и права доступа
Персональные ИИ-агенты переходят от ответов к действиям: работают с почтой, покупками и сервисами от имени пользователя. Разбираю, как бизнесу распознавать таких агентов, ограничивать их полномочия и проектировать понятное подтверждение действий.
- Личные агенты переходят от ответов к выполнению задач и действиям от имени пользователя.
- Права нужно разделять: чтение, изменение данных и подтверждение чувствительных действий.
- Poppy и PACT — отдельные развивающиеся инициативы; протокол сам по себе не гарантирует безопасность.
- Начинайте с низкорискового сценария, минимальных прав и тестовых данных.
Раньше главный вопрос об ИИ-агенте звучал так: сможет ли он ответить на запрос? Теперь всё чаще мы спрашиваем другое: готов ли я позволить ему действовать от моего имени — читать почту, менять планы, оформлять покупку или обращаться в компанию?
Это меняет не только интерфейс личных помощников. Меняется и то, как бизнесу принимать запросы от клиентов, которые пришли не сами, а через своего агента. Для продакт-менеджера задача теперь состоит не только в том, чтобы агент справился. Нужно определить, что ему разрешено, когда он обязан остановиться и как человек поймёт, что произошло.
От ответа к поручению
Разница между чат-ботом и персональным агентом — в самостоятельности. Чат-бот отвечает на вопрос в текущем разговоре. Агент получает задачу, использует подключённые инструменты и может продолжать работу, пока не достигнет результата или не упрётся в решение, которое должен принять человек.
Например, агент может не просто найти варианты поездки, но и собрать план, проверить календарь, подготовить бронирование и запросить подтверждение перед оплатой. Ценность здесь не в количестве действий. Она в том, насколько предсказуемо агент выполняет поручение и где оставляет человеку контроль.
Meta описывает Muse как персонального агента, который работает в отдельной облачной среде, может продолжить задачу после закрытия приложения и вернуться за подтверждением перед чувствительным действием. Компания также сообщает о возможности оплачивать покупки через Link с одноразовой картой. Это описание возможностей поставщика, а не независимая проверка работы сервиса: продукт и его доступность быстро меняются. В анонсе Meta отдельно описана заявленная архитектура безопасности Muse.
Для пользователя постоянная работа агента удобна, пока тот не принимает решение с последствиями без понятного согласия. Поэтому согласие должно быть частью сценария: на какое действие оно распространяется, сколько действует, можно ли его отозвать и что увидит пользователь после выполнения.
Кто действует — агент клиента или агент компании?
Не каждый ИИ, который помогает купить товар, действует от имени покупателя. TikTok, например, описывает Shopping Assistant как помощника, который подбирает товары и отвечает на вопросы внутри своей платформы, а Buy Direct позволяет купить товар в TikTok. Это инструменты торговой площадки и продавца. Они помогают клиенту, но не равнозначны персональному агенту, которого человек сам уполномочил действовать в разных сервисах.
Различие важно и для бизнес-модели. Ритейлер может приветствовать агента, если тот помогает клиенту найти товар и завершить покупку. Площадка, зарабатывающая на рекламе или удержании внимания, может оценивать иначе сценарий, в котором агент пропускает рекламные материалы и ведёт человека сразу к нужному действию. Это не универсальное правило, а гипотеза о стимулах: конкретная реакция зависит от бизнеса и от того, как устроен его доход.
TikTok описывает свои сценарии Agentic Commerce как собственные shopping-инструменты внутри платформы. Для продуктовой команды полезный вопрос звучит так: «Если этот путь за клиента пройдёт его личный агент, что изменится в ценности, контроле и экономике нашего сервиса?»
Протоколы задают правила взаимодействия
Если личный агент должен обращаться к сайту, API или агенту компании, сторонам нужно договориться, как распознать агента и какие полномочия у него есть. Один из разрабатываемых подходов — Personal Agent Protocol, также называемый Poppy. Его развивают Meta, Sierra и партнёры. В опубликованном проекте протокола описана возможность начать с гостевого доступа, а для действий в аккаунте перейти к авторизации; клиент выбирает уровень доступа, а компания определяет доступные сценарии.
Важно не выдавать проект стандарта за уже повсеместно работающую инфраструктуру. На момент подготовки статьи Sierra называет Poppy черновой открытой спецификацией и приглашает участников к её развитию. Среди задуманных каналов — сайт, API и агент самой компании. Более точные разрешения для отдельных действий, уведомления и расширение платежных сценариев описывались как следующие направления работы.
Параллельно Decagon опубликовала PACT — отдельный открытый протокол, разработанный совместно с Instinct. Он строится на A2A и OAuth 2.0 и описывает, как компания может проверить личность агента и отдельно — какие действия клиент разрешил ему выполнять. Важно не смешивать названия и статус двух инициатив: Poppy — разрабатываемая группа партнёров спецификация взаимодействия персональных агентов с бизнесом; PACT — отдельная реализация подхода к проверяемым полномочиям и согласию.
Оба проекта отвечают на общий вопрос: как дать агенту возможность решить задачу клиента, не передавая ему безграничный доступ. Но стандарт сам по себе не гарантирует безопасность. Её определят конкретные права, ограничения на действия, проверка полномочий и то, насколько просто человеку понять и отозвать доступ.
Что заложить в продукт
Когда агент действует от имени клиента, полномочия становятся частью пользовательского опыта. Перед разработкой стоит решить:
- Что агент может делать без подтверждения? Например, искать информацию или собирать черновик.
- Какие действия требуют отдельного согласия? Отправка письма, изменение заказа или оплата могут иметь разные последствия.
- Как ограничить доступ? Разделять чтение и изменение данных, задавать минимально необходимые права и срок их действия.
- Как показать работу агента? Понятная история запросов, действий и решений позволяет пользователю проверить результат.
- Что произойдёт при ошибке? Нужны отмена действия, обращение к человеку и ясное распределение ответственности.
- Как агент взаимодействует с моделью бизнеса? Команда должна заранее оценить, сохраняются ли ценность, доход и качество сервиса, если часть пути проходит без привычных экранов.
Эти вопросы полезны не только для сервиса, который создаёт своего агента. Они нужны любому продукту, где клиент может поручить действие внешнему помощнику.
С чего начать команде
Выберите один сценарий с ограниченными последствиями и проверьте его на тестовых данных. Сначала агент может только читать информацию или готовить черновик. Зафиксируйте разрешённые действия, точку подтверждения, способ отмены и показатели качества: завершение задачи, ошибки, время до результата, долю вмешательств человека и нежелательные действия.
Затем проверьте крайние случаи: устаревшие данные, неоднозначную просьбу, сбой интеграции и попытку выполнить действие за пределами выданных полномочий. Только после этого расширяйте права и подключайте чувствительные данные.
Главный сдвиг — от вопроса «что умеет агент?» к вопросу «какие действия человек готов ему доверить и как продукт это доверие поддержит?». Выигрывает не самый самостоятельный агент, а сценарий, в котором пользователю понятны границы, подтверждения и результат.
Материалы и документы
- Выберите один сценарий, где ошибка не приведёт к существенным последствиям, и испытайте его на тестовых данных.
- Разделите разрешения на чтение и изменение; чувствительные действия оставьте за подтверждением человека.
- Определите, как увидеть, отменить и проверить действия агента, прежде чем расширять доступ.
Вопросы
Чем личный ИИ-агент отличается от чат-бота?
Чат-бот обычно отвечает в рамках диалога. Агент может использовать инструменты и выполнять поручение в несколько шагов, поэтому ему нужны ограничения и контроль действий.
Что такое Poppy и PACT?
Poppy — разрабатываемый Personal Agent Protocol для взаимодействия персональных агентов с компаниями. PACT — отдельный протокол Decagon и Instinct для проверки агента и полномочий, выданных клиентом.
Нужно ли разрешать агенту менять данные и совершать покупки?
Только если это необходимо для сценария. Начинайте с минимального доступа и требуйте подтверждение перед действиями с существенными последствиями.