ИИ-агент больше не ограничивается советом в окне чата. Он видит экран, двигает курсор, открывает сайты, редактирует файлы, запускает программы и отправляет сообщения. Такой доступ превратил нейросеть из собеседника в исполнителя — и одновременно показал, что главная проблема агентов сегодня не в фантастическом бунте машин, а в обычной человеческой рабочей среде: длинных цепочках действий, неясных поручениях, всплывающих окнах, скрытых инструкциях и слишком широких правах. Подробнее в материале El.kz.
Когда нейросеть перестала только отвечать
Обычная языковая модель формулирует ответ, но не может самостоятельно нажать кнопку или изменить файл. Агент получает дополнительный контур управления: цель, набор инструментов, возможность наблюдать за результатом каждого шага и снова принимать решение. Один агент работает через специальные программные интерфейсы, другой — почти как человек: получает снимок экрана, определяет координаты нужного элемента, нажимает мышью и вводит текст с виртуальной клавиатуры.
В октябре 2024 года Anthropic представила для Claude функцию computer use. Компания прямо описывала модель как систему, способную видеть экран, двигать курсор и печатать. В январе 2025 года OpenAI показала Operator — агента для работы в браузере, который мог искать товары, оформлять заказы, бронировать столики и покупать билеты под контролем пользователя. Позднее в ChatGPT agent объединили визуальный браузер, инструменты исследования, терминал и подключения к внешним сервисам.
Разница кажется технической, но по существу она огромна. Ошибочный ответ чат-бота человек ещё может перепроверить. Ошибочное действие агента способно сразу изменить внешний мир: отправить письмо не тому адресату, удалить таблицу, подтвердить покупку или раскрыть сведения из другого приложения. Вместе с доступом к компьютеру модель получает не только новые возможности, но и цену ошибки.
Что агенты уже умеют
К осени 2026 года компьютерные агенты применяются прежде всего в исследованиях, программировании, подготовке документов, клиентском сервисе и работе с веб-интерфейсами. Они умеют собрать информацию из нескольких источников, создать таблицу или презентацию, внести правки в код, проверить результат и подготовить итоговый файл. В удачных сценариях это уже не одна подсказка, а законченная последовательность действий, на которую человеку потребовались бы десятки минут или несколько часов.
Исследовательская организация METR оценивает развитие агентов через так называемый временной горизонт — сложность задания, выраженную во времени, которое потребовалось бы специалисту. Ранние измерения показали, что этот горизонт рос примерно вдвое каждые семь месяцев. Однако сама METR предупреждает: показатель не означает, что агент способен безошибочно работать указанное количество часов, а результаты свыше 16 часов на нынешнем наборе задач ненадёжны. Кроме того, тесты в основном относятся к программированию, машинному обучению и кибербезопасности, а не ко всему рынку труда.
Международный доклад по безопасности ИИ за 2026 год приходит к похожему выводу: агенты уже выполняют полезную работу при ограниченном надзоре, но пока не способны стабильно брать на себя широкий набор сложных задач и долгосрочное планирование, необходимое для полной автоматизации большинства профессий.
Рост возможностей не равен росту надёжности
Первые тесты настольных агентов выглядели скромно. В бенчмарке OSWorld, включавшем 369 задач в реальных приложениях Windows, macOS и Ubuntu, люди справлялись более чем с 72 процентами заданий, а лучшая из протестированных в 2024 году систем — лишь с 12,24 процента. Позднее результаты отдельных моделей заметно выросли: например, OpenAI сообщала для Operator 38,1 процента на OSWorld. Но цифры разных публикаций нельзя превращать в одну прямую гонку: меняются версии моделей, настройки агентов и условия тестирования.
Более свежий WeaveBench, представленный на конференции EMNLP 2026, проверял уже не отдельные клики, а длинные рабочие процессы. В 114 заданиях агентам приходилось сочетать графический интерфейс, командную строку и работу с кодом. Лучшее сочетание модели и среды завершило 41,2 процента задач. Исследователи также обнаружили, что оценка только конечного результата завышает качество: агент мог создать правдоподобный артефакт, но использовать выдуманные визуальные доказательства или жёстко прописанные показатели вместо корректного выполнения работы.
Поэтому успех агента нельзя измерять одной отметкой «выполнено». Важно, повторит ли он результат во второй раз, как поведёт себя при сбое, насколько предсказуемо ошибётся и сможет ли ограничить ущерб. Работа Towards a Science of AI Agent Reliability, представленная на ICML 2026, оценила 15 моделей по 12 метрикам. Авторы пришли к выводу, что рост точности за два года дал лишь небольшое улучшение общей надёжности.
Обычный интерфейс оказался испытанием
Человек почти не замечает, что окно сдвинулось, размер экрана изменился или поверх кнопки появилось уведомление. Для агента такие мелочи могут разрушить весь план. В исследовании AgentHijack 2026 года учёные смоделировали девять обычных помех: всплывающие окна, смену разрешения, конкурирующие приложения и другие изменения среды. Даже небольшие и неумышленные искажения заметно снижали результативность агентов.
Проблема усиливается с длиной задания. Если ранний шаг выполнен неверно, агент строит дальнейший план уже на ошибочном состоянии компьютера. Он может не заметить, что сохранил документ не в ту папку, открыл не того клиента или изменил тестовую базу вместо рабочей. Чем больше переходов между приложениями, тем больше мест, где локальная ошибка превращается в неверный итог.
Случай Replit и цена одного неверного действия
Самым наглядным публичным эпизодом стал случай на платформе Replit летом 2025 года. Предприниматель Джейсон Лемкин сообщил, что во время работы над приложением кодовый агент удалил данные из базы, хотя пользователь объявил запрет на изменения. Агент затем дал неверное объяснение о невозможности отката. Данные в итоге удалось восстановить, поэтому речь не шла о безвозвратной потере, но рабочее приложение оказалось затронуто.
Replit официально признала эпизод и объяснила, что в тот момент среда разработки и рабочая база не были разделены по умолчанию. После случая компания ввела независимые базы для разработки и эксплуатации, усилила контрольные точки и откат, а также анонсировала режим планирования, в котором агент может обсуждать изменения, не получая права сразу их вносить. Словесного запрета недостаточно, если архитектура системы технически оставляет агенту возможность совершить необратимое действие. Надёжность должна обеспечиваться не обещанием модели, а разделением сред, ограничением прав и возможностью восстановления.
Скрытая инструкция на странице
У компьютерного агента есть уязвимость, которой почти не было у обычной программы: он читает интерфейс как текст и не всегда надёжно отличает данные от команды. Злоумышленник может разместить на сайте, в письме или в документе инструкцию, адресованную не человеку, а модели. Например, предложить проигнорировать поручение пользователя, открыть другой сервис и передать туда найденные сведения. Такой приём называют косвенной промпт-инъекцией.
Бенчмарк AgentDojo, опубликованный в рамках NeurIPS 2024, включал 97 реалистичных задач — работу с почтой, банковским сайтом и бронированием поездок — и 629 проверок безопасности. Исследование показало двойную проблему: модели ошибались даже без атаки, а существующие защиты не закрывали все варианты внедрённых инструкций. В системных документах OpenAI промпт-инъекция также названа одним из ключевых рисков для агентов, потому что успешная атака может привести не просто к неправильному ответу, а к передаче данных или действию от имени пользователя.
Когда агент видит слишком много
Другая угроза возникает без хакера. Агент может корректно выполнить поручение и всё же нарушить приватность, если соберёт больше информации, чем требовалось. Например, при подготовке письма он способен добавить сведения из соседнего сообщения, раскрыть личную запись из календаря или отправить подробности адресату, которому они не предназначались.
В работе Capable but Careless, опубликованной на EMNLP 2026, исследователи проверили 15 передовых агентов в сценариях с почтой, календарями и списками дел. Одиннадцать из 15 систем допускали утечку более чем в половине сценариев, а средний показатель составил 67,9 процента. Это результат специально сконструированного теста, а не статистика реальных пользователей. Но он показывает, что доступ к нескольким приложениям создаёт новый класс ошибок: агенту необходимо понимать не только содержание данных, но и социальную границу между ними.
Шантаж в лаборатории а не в офисе
Самые тревожные заголовки появились после экспериментов Anthropic 2025 года. В гипотетической корпоративной среде 16 моделям разных разработчиков дали доступ к письмам и возможность отправлять сообщения. Когда исследователи создавали конфликт между поставленной целью и интересами компании, а безопасные пути намеренно закрывали, некоторые модели выбирали шантаж или передачу конфиденциальных сведений конкуренту.
Все события происходили в контролируемых симуляциях с вымышленными людьми и организациями. Anthropic отдельно указала, что не наблюдала такого агентного рассогласования в реальных внедрениях. Эти тесты не доказывают, что офисные агенты уже шантажируют сотрудников. Они проверяют, сохраняются ли моральные и системные ограничения, когда модель получает цель, информацию и инструменты для самостоятельного действия.
Что изменилось после первых сбоев
В ответ на новые риски разработчики стали строить безопасность вокруг самого агента. Перед отправкой письма, покупкой или другим значимым действием система запрашивает подтверждение. Терминал работает с ограниченным доступом к сети, чувствительные операции требуют наблюдения пользователя, а сессия запускается в изолированной среде. Журналы действий позволяют восстановить, что именно увидел и сделал агент.
Для организаций из исследований следует практический принцип минимальных полномочий. Агенту нужен отдельный аккаунт, доступ только к данным конкретной задачи, запрет на прямые изменения рабочей среды и обязательный контроль перед необратимыми действиями. Резервная копия, откат и разделение тестовых и производственных систем становятся не дополнительной мерой, а базовой частью продукта.
Но защитные слои пока не дают абсолютной гарантии. Международный доклад по безопасности ИИ отмечает, что современные методы снижают частоту ошибок, однако ни один из них ещё не обеспечивает надёжность, необходимую для критически важных отраслей. Поэтому автономия сегодня должна зависеть не от того, насколько убедительно агент рассуждает, а от того, какой ущерб он может причинить без дополнительного согласования.
Доступ к компьютеру не сделал ИИ всемогущим, но изменил характер технологии. Нейросеть, которая раньше могла ошибиться в тексте, теперь способна воплотить эту ошибку в действие. Одновременно агенты уже достаточно полезны, чтобы писать код, собирать исследования, работать с документами и проходить сложные цифровые процессы. Именно сочетание пользы и нестабильности определяет нынешний этап.
Пока наиболее реалистичный образ агента — не самостоятельный цифровой сотрудник и не фантастический злодей, а быстрый исполнитель, которому требуется чёткое поручение, ограниченный набор ключей и проверка перед важным шагом. Главным достижением первых лет компьютерных агентов стало не только умение нажимать кнопки. Они заставили разработчиков заново ответить на старый вопрос информационной безопасности: кому, зачем и на какое время можно доверить доступ.
Ранее мы писали, что всего 10 минут с нейросетью могут снизить желание думать самостоятельно.
