ИИ-агенты для бизнеса: решает не ум модели, а то, что ей разрешили трогать

Восемнадцатого июля 2025 года основатель SaaStr Джейсон Лемкин написал, что ИИ-агент сервиса Replit во время объявленной заморозки кода удалил его рабочую базу данных целиком. Через несколько часов выяснилась вторая половина истории: агент уверял, что откат невозможен и все версии базы уничтожены, а откат сработал. Глава Replit Амджад Масад назвал случай недопустимым и объявил, что компания автоматически разводит базы разработки и рабочие, чтобы такое стало невозможно в принципе.

Модель в этой истории ошиблась так, как ошибается любая модель. Катастрофой ошибку сделал доступ: у агента были права на живые данные. Эта статья про то, как выбирать агента с этого конца, до разговора о том, какая нейросеть умнее.

Короткий ответ

• Агент — это модель, которой дали инструменты и право самой выбирать следующий шаг. Чат-бот идёт по сценарию, ассистент отвечает словами по вашей базе знаний, агент действует в ваших системах.
• Выбирают агента по правам: что он читает, что меняет и что делает только после подтверждения человека. Ум модели здесь второй вопрос.
• В 2026 году агенту разумно отдавать разбор входящих обращений, заведение сделок и задач, подготовку счетов и ответы со статусом из учёта. Везде, где действие можно отменить или его подтверждает человек.
• Опасен агент там, где читает чужой текст и может по нему действовать. Письмо или файл способны стать командой, и надёжного способа это предотвратить, по оценке OWASP, пока не существует.
• Задачи с заранее известным путём дешевле и надёжнее решает автоматизация без модели или с одним шагом модели внутри.
• У нас сценарный бот стоит от 20 000 ₽, ассистент по базе знаний от 120 000 ₽, ассистент с действиями в ваших системах от 260 000 ₽, автоматизация одного процесса от 60 000 ₽. Запросы к модели оплачиваются поставщику отдельно, с вашего счёта.
• Чего мы не обещаем: доли задач, которые агент закроет сам, и экономии в процентах. Заранее её не знает никто, включая нас.

Чем ИИ-агент отличается от чат-бота и ассистента

У агента есть инструменты и свобода решать, каким из них воспользоваться и в каком порядке. Разработчики моделей проводят эту границу одинаково. Anthropic в разборе декабря 2024 года называет рабочими процессами системы, где модель и инструменты связаны заранее прописанными путями, а агентами системы, в которых модель сама управляет ходом работы и выбором инструментов. OpenAI в руководстве для компаний определяет агентов короче: системы, которые самостоятельно выполняют задачи от вашего имени.

Если разложить системы по тому, что они делают руками, получится лестница. Сценарный бот ведёт человека по нарисованным веткам и за их пределы не выходит. Ассистент по базе знаний отвечает своими словами, но только говорит. Агент ищет клиента в CRM, заводит сделку, готовит письмо и сам решает, что делать сначала. Чем выше ступень, тем больше подготовки она требует до запуска. Что именно готовят, разобрано в блоке после текста

Слово «агент» при этом на рынке значит что угодно. Gartner в прогнозе июня 2025 года описывает это явление под названием agent washing: ассистентов, роботизированную автоматизацию и чат-ботов переименовывают в агентов, и настоящих поставщиков среди тысяч, по его оценке, около 130. Там же прогноз, что больше 40 % проектов с агентами отменят к концу 2027 года из-за растущих затрат, неясной пользы или слабого контроля рисков.

Для покупателя отсюда простое правило. Вопрос «это агент?» ничего не проверяет, продавец ответит «да». Проверяет другой вопрос: какие действия система совершит сама, какие после вашего подтверждения и где это записано.

Агент или автоматизация: как отличить за пять минут

Нарисуйте путь операции на листе бумаги. Если он рисуется стрелками без слов «смотря по ситуации», вам нужна автоматизация, а модель в ней в лучшем случае один шаг из пяти.

Возьмём счета от поставщиков. Модель полезна на первом шаге: счета приходят в разном виде, и достать из них реквизиты, позиции и суммы правилом трудно. Дальше путь известен заранее: сверить с заказом, провести в учёте, расхождения отдать бухгалтеру. Каждый шаг проверяется сам по себе, и на пятый раз система делает то же, что на первый. Это рабочий процесс по определению Anthropic, и агент здесь только добавит неопределённости.

Другой пример: клиент пишет, что заказ не пришёл. Сотрудник смотрит CRM, потом склад, потом службу доставки, иногда оплату, и порядок зависит от того, что нашлось на предыдущем шаге. Путь заранее не рисуется. Здесь агент оправдан, и почти всегда на четвёртой ступени: он собирает картину и готовит ответ, а отправляет человек.

Anthropic в том же разборе советует искать самое простое решение и усложнять его только тогда, когда это действительно нужно, и прямо пишет, что агентные системы платят задержкой и стоимостью за лучшее качество работы. Для владельца это переводится так: на одну задачу агент обращается к модели несколько раз там, где процесс обошёлся бы одним обращением, и каждое оплачиваете вы.

Какие задачи отдают агенту в 2026 году

Те, где агент готовит действие, а цена ошибки ограничена: действие можно отменить, или его подтверждает человек. Шесть задач ниже хорошо подходят для первого агента, и в каждой заранее понятно, где он останавливается.

Чего агенту в 2026 году не отдают: платежи и возвраты без подтверждения, изменение цен, удаление данных и обещания клиенту сроков и скидок. OpenAI в руководстве, упомянутом выше, называет чувствительные, необратимые и дорогие действия, например отмену заказов, крупные возвраты и платежи, поводом для контроля человека, пока нет уверенности в надёжности агента. Там же совет, который стоит взять целиком: оценить каждый инструмент агента по риску, глядя на то, читает он или пишет, можно ли отменить результат, какие права нужны и сколько денег стоит ошибка.

Где агент опасен

Там, где сходятся три вещи: доступ к данным, чужой текст на входе и право действовать. OWASP, некоммерческий проект по безопасности приложений, держит отдельный список рисков для систем на языковых моделях, и два пункта из него описывают агента почти целиком.

• Лишняя самостоятельность. Пункт LLM06 Excessive Agency описывает вред от действий, которые система совершает в ответ на неожиданный, двусмысленный или подменённый ответ модели. Причины названы три: лишние функции, лишние права и лишняя автономия. Меры тоже: права по минимуму и подтверждение человеком действий с большим ущербом.
• Чужой текст как команда. Пункт LLM01 Prompt Injection отдельно выделяет косвенное внедрение, когда модель принимает ввод из внешних источников, например с сайтов или из файлов. И признаёт то, что продавцы агентов обычно не говорят: из-за вероятностной природы моделей неясно, существуют ли вообще надёжные способы такое предотвратить.
• Необратимое действие. История с Replit выше: ошибка модели стоила бы одной неудачной правки, если бы у агента не было прав на рабочую базу.
• Слова от имени компании. Всё, что агент пишет клиенту, клиент читает как обещание фирмы. Канадский трибунал в деле против авиакомпании с этим согласился, и довод «это сказал бот» не помог.

Выходит, что безопасность агента строится снаружи модели: права, подтверждения, журнал, отдельная копия данных для испытаний. Уговорить модель «не поддаваться» в инструкции не получится. Три настоящие истории, где за это заплатили, разобраны после лестницы

Сколько стоит ИИ-агент у нас

Цену задаёт ступень, на которой будет жить система, а слово «агент» в заявке на неё не влияет. Первые две ступени у нас стоят от 20 000 ₽ за сценарного бота и от 90 000 ₽ за бота с ответами ИИ внутри. Ассистент по базе знаний на своей платформе стоит от 120 000 ₽, первая версия занимает 4–6 недель.

То, что обычно называют агентом, у нас вторая смета направления: ассистент с действиями в ваших системах, от 260 000 ₽, срок 8–12 недель. В неё входят доступ к учёту и CRM, список разрешённых действий, подтверждение человеком и журнал с основанием каждого действия. Третья смета, от 500 000 ₽, нужна, когда агент становится частью продукта, который вы продаёте. Состав всех трёх открыт на странице направления. Если путь операции рисуется на бумаге, это автоматизация: один процесс стоит от 60 000 ₽, цепочка из нескольких систем от 140 000 ₽.

Отдельно от работы есть расход на запросы к модели. Кабинет поставщика оформлен на вас, деньги идут ему напрямую, мимо нас, и сверху ставится предел расхода. У агента эта статья заметнее, чем у ассистента, потому что на одну задачу он обращается к модели несколько раз. Назвать сумму до запуска честно не может никто: после первых недель она видна в вашем кабинете по факту. Развитие после запуска считается по часам, 3 000 ₽ вне договора и 2 000 ₽ в абонементе.

В сумму не входит ваша часть работы, и у агента она больше, чем у ассистента: решить, какие действия ему разрешены, назначить человека, который подтверждает, и договориться, за сколько он это делает. Агент, который ждёт подтверждения до вечера, экономит меньше, чем обещали на демонстрации.

Что изменилось к 2026 году

Появился общий разъём между агентом и вашими системами. Anthropic в ноябре 2024 года открыла Model Context Protocol, стандарт подключения ИИ к системам, где лежат данные, а в декабре 2025 года передала его в фонд Agentic AI Foundation под управлением Linux Foundation. Для заказчика это значит, что подключение к CRM или учёту можно описать по открытому стандарту, который не принадлежит одному поставщику.

У российских поставщиков появились свои инструменты для агентов. В Yandex AI Studio агента создают и публикуют в разделе Agent Atelier, а внешние системы подключают через MCP Hub. У GigaChat API есть вызов функций, и Сбер прямо называет его основой для агентов и ассистентов. Если агент работает с персональными данными клиентов, вопрос о том, где они лежат, решается раньше выбора модели. Как он решается, разобрано в статье о нейросети для юриста

И появился закон. Федеральный закон от 26 июля 2026 года № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации» действует с 1 сентября 2026 года и регулирует большие фундаментальные модели, то есть модели не меньше чем на миллиард параметров. Статьи о предупреждении, что материал создан с помощью ИИ, вступают в силу с 1 марта 2027 года. С той же даты правительство получает право определять случаи, в которых допускаются только суверенные или национальные модели. Прямых требований к агенту, который заводит сделки в вашей CRM, мы в законе не нашли. Если ваша отрасль попадёт в правительственный список, выбор модели будет сделан за вас, и строить агента стоит так, чтобы модель в нём менялась без переделки всего остального.

Плохая новость про нас

Первая: раскрытый проект направления у нас один. Это ИИ-продавец для компании, которая поставляет товар бизнесу: он уточняет объём и задачу, считает стоимость по данным системы и передаёт сделку менеджеру в Битрикс24. По лестнице из этой статьи он живёт на третьей и четвёртой ступенях. Проекта, где агент сам выбирает шаги в нескольких системах без подтверждения человека, среди раскрытых нет, и мы не выдаём этот кейс за такой.

Вторая: на разборе мы часто предлагаем вместо агента что-то проще. Автоматизацию, кнопки или ассистента, который только отвечает. Это дешевле для вас и для нашей выручки, но другого совета по лестнице мы дать не можем.

Третья: модель нам не подчиняется. Поставщик обновляет её без нас, и от внедрения команд через чужой текст надёжной защиты нет ни у кого. Поэтому мы обещаем права, подтверждения и журнал. Обещать, что модель никогда не ошибётся и не поддастся, мы не будем.