ИИ-агент приносит настоящую пользу, когда получает право действовать: обновлять CRM, создавать возвраты, отправлять сообщения или запускать рабочие процессы. Тогда же ошибка перестает быть неудачным текстом и становится бизнес-событием. Защищает не бесконечная кнопка «Разрешить», а технически исполнимая карта полномочий.
Начинайте с действия, а не с модели. Формулировка «дать доступ к CRM» бесполезна. Прочитать лид, подготовить заметку, изменить стадию сделки, выгрузить контакты и удалить воронку — пять разных прав с разным радиусом последствий.
Почему подтверждение не равно контролю
Чат-бот возвращает ответ человеку. Агент выбирает инструмент, совершает действие, изучает результат и продолжает цикл. Поэтому цена сбоя меняется. Неверный ответ можно не использовать. Неверное действие способно отправить письмо, изменить цену, раскрыть данные, потратить деньги или остановить сервис.
Платформы уже добавляют корпоративные роли, журналы и этапы согласования. Например, в описании агентов рабочего пространства OpenAI перечислены ролевой доступ, журналы аудита и человеческое подтверждение сообщений или обновления записей. Это необходимые возможности, но бизнесу все равно придется определить границы: какие объекты, действия, суммы и получатели допустимы.
27 августа 2026 года NIST опубликовал материал об идентичности агентных систем. Авторы отмечают две связанные проблемы: передача агенту человеческих учетных данных создает пробелы в ответственности, а чрезмерное количество запросов человеку вызывает усталость от согласований. Иначе говоря, сто окон подтверждения могут быть слабее одного хорошо выбранного контрольного рубежа.
Рабочая схема отделяет рутину от решений с реальными последствиями. Рутину система выполняет внутри жестких лимитов. Исключение получает человек, который видит точные данные и понимает предметную область. Запрещенная операция не появляется в интерфейсе агента вообще.
Собственная идентичность агента
Не используйте логин директора, общий пароль администратора или API-ключ с полными правами. Создайте отдельную служебную учетную запись или идентичность агента, если целевая система это позволяет. Укажите владельца процесса, назначение, среду и дату пересмотра доступа.
В концептуальном документе NIST об идентификации и авторизации программных и ИИ-агентов вместе рассматриваются identity, authorization, аудит, non-repudiation и защита от prompt injection. Практическая запись о действии должна отвечать на вопросы: какой агент работал, кто или что запустило задачу, какая версия политики сработала, что изменилось и получен ли результат.
- Отдельная роль. Один агент или тесно связанный процесс использует собственные учетные данные.
- Владелец. Конкретный человек отвечает за границы, пересмотр, инциденты и отключение.
- Минимальные привилегии. Только нужные системы, объекты, поля и операции.
- Быстрый отзыв. Команда умеет остановить агента, не блокируя работу всей компании.
Разделяйте среду разработки, тестирования и production. Не кладите секреты в инструкцию модели, базу знаний или найденные документы. Даже внутренний агент читает недоверенные письма, тикеты, файлы и сайты. Периметр компании не превращает их содержимое в безопасную инструкцию.
Семь параметров разрешения
Запись «интеграция с CRM» не определяет доступ. Разрешение должно быть достаточно точным для обычной программной проверки:
Агент: crm-followup-prod
Действие: создать задачу менеджеру
Объект: открытые лиды SMB, назначенные EMEA-команде
Поля: срок, исполнитель, ссылка на источник
Лимит: 100 задач в час; одна открытая задача на лид
Время: будни 09:00–19:00 по времени отдела
Согласование: не нужно внутри лимита; team lead за пределами
Доказательство: инициатор, исходное сообщение, параметры, ID задачи| Параметр | Контрольный вопрос | Пример границы |
|---|---|---|
| Исполнитель | Какой агент и от чьего имени? | Сортировка лидов, не общий токен администратора |
| Действие | Читать, создать, изменить, отправить, удалить? | Создать задачу; контакт не редактировать |
| Ресурс | Система, объект, запись и поле? | Открытые лиды; три доступных для записи поля |
| Масштаб | Сколько, как часто, на какую сумму? | 100 в час; refund до €25 |
| Направление | Куда уходят данные или сообщение? | Только CRM; запрет внешнего экспорта |
| Контекст | Состояние, время, источник, условие? | Оплаченный заказ; рабочая смена онлайн |
| Доказательство | Что фиксируется до и после? | Параметры, правило, согласовавший, квитанция, ID отката |
Риск определяется не одним глаголом. Добавить внутренний тег одной записи обычно легко отменить. Массовая разметка базы способна запустить рассылки и испортить сегментацию. Небольшой возврат бывает рутинным, но сотни возвратов за час уже похожи на инцидент. Поэтому лимиты должны проверяться и на одну операцию, и на агрегат за период.
Матрица из четырех режимов
Для каждой фактической операции оцените влияние на клиента, финансы, персональные данные, юридические обязательства и публичную репутацию. Добавьте обратимость и максимальный масштаб ущерба. После этого назначьте режим. Модель не выбирает режим и не расширяет собственные границы.
| Режим | Правило | Примеры | Контроли |
|---|---|---|---|
| 1. Наблюдать | Разрешить чтение узкого набора | Остаток, статус, сводка обращений | Идентичность только для чтения, фильтр полей, журнал |
| 2. Подготовить | Создать закрытый черновик | Письмо, заметка в CRM, предложение возврата | Нет внешнего эффекта, источники, срок действия |
| 3. Действовать в границах | Выполнить только при прохождении политики | Тег, внутренняя задача, пауза объявления | Список разрешенного, лимиты, защита от повторов, мониторинг, отмена |
| 4. Подтвердить или запретить | Человек видит точную операцию; часть функций недоступна | Контракт, новая цена, платеж, массовое удаление | Сильная идентификация, сравнение изменений, разделение ролей, квитанция |
Полностью исключите из набора инструментов возможность выдать себе новые права, прочитать секреты, отключить аудит, изменить управляющую политику или превратить узкую функцию в произвольный код. Исключительный случай можно провести через штатный административный процесс вне агента.
Проверяйте заявленную обратимость. Backup не отзовет уже отправленное письмо, публичную публикацию, банковский перевод или утекшие данные. Для изменения записей сохраняйте прежнее состояние. Используйте idempotency key, чтобы повтор запроса после timeout не создал вторую операцию.
Экран подтверждения, который читают
Вопрос «Разрешить доступ к CRM?» перекладывает неизвестность на пользователя. Покажите точные параметры: получателя и финальный текст, изменяемые поля, сумму и валюту, количество объектов, источник запроса, правило эскалации и автоматические последствия.
- Что изменится? Точный diff или итоговые значения, а не пересказ агента.
- На каком основании? Исходное поручение и использованные записи.
- Каков масштаб? Сумма, адресаты, число объектов и последующие автоматические действия.
- Почему нужен человек? Нарушенный порог или исключение из политики.
- Что произойдет дальше? Внешний эффект, окно отмены и ответственный.
Согласование должно терять силу при изменении адресата, цены, количества, документа или версии политики. Решение по одному набору параметров нельзя применять к следующему вызову инструмента с другими аргументами.
Уменьшайте число окон политикой, а не потерей прозрачности. Однотипные черновики можно проверять пакетом, исключения направлять предметному специалисту, а безопасные действия собирать в ежедневный отчет. В статье об изоляции агентных продуктов Anthropic сообщил, что в одном продуктном контексте пользователи одобряли около 93% запросов на разрешение. Это не показатель для всех компаний, но хорошая иллюстрация того, как быстро контроль превращается в ритуал.
Правила вне языковой модели
Модель может предложить действие, определить тему или объяснить ситуацию. Она не должна быть единственным арбитром собственного доступа. OWASP в руководстве об Excessive Agency рекомендует узкие инструменты, минимальные permissions, человеческое согласование значимых действий и проверку авторизации в downstream-системах.
Между агентом и CRM, ERP, платежным провайдером или почтой нужен детерминированный шлюз правил. Он сверяет идентичность агента, контекст пользователя, действие, ресурс, лимиты, текущее состояние, запись согласования и версию правила. Целевая API или база данных также обязана отклонить лишние права. Инструкция модели «не возвращай больше €25» полезна для поведения, но не является контролем доступа.
Гранулярный инструмент лучше универсального: create_support_note(customer_id, text) вместо run_sql(query), issue_refund(order_id, amount, reason) вместо свободного управления браузером. Так проще валидировать вход, вести аудит, тестировать запреты и отзывать функцию.
Внешний документ способен содержать скрытую команду для агента. В обзоре о надежных агентах Anthropic подчеркивает, что многослойная защита от инъекций в запрос не дает гарантии. Поэтому письмо, тикет или страница могут служить данными для предложения, но не источником новых полномочий.
Четыре бизнес-сценария
Продажи и CRM
Агент читает только назначенные команде лиды и готовит заметку. Внутри лимита он создает задачу следующего контакта с разрешенным типом. Внешнее сообщение от имени менеджера проходит предварительный просмотр. Экспорт контактов, смена владельца и массовое удаление не входят в набор инструментов.
Поддержка интернет-магазина
После проверки клиента агент может получить статус заказа и подготовить ответ. Небольшой автоматический возврат допустим только по сознательно принятому правилу: подходящий статус, один возврат на ID заказа, лимит на операцию и сутки, квитанция провайдера и оповещение об аномалии. Остальное эскалируется. Практический первый процесс описан в плане AI-поддержки магазина.
Финансовые операции
Разрешите извлекать данные счета и готовить сверку. Изменение реквизитов, новый получатель, выпуск платежа, налоговая трактовка и закрытие периода остаются в существующем финансовом контроле. Автор предложения не должен подтверждать собственную операцию.
Разработка
Агент читает нужные логи, создает patch в отдельной ветке и запускает тесты в изолированной среде. Production deploy проходит обычный review. Секреты вне scope недоступны; ослабить тесты, branch protection или мониторинг ради успешного результата нельзя.
Постепенное расширение автономности
До третьего этапа протестируйте неоднозначное поручение, повтор события, вредоносный текст в тикете, устаревшее согласование, измененную цену, недоступную API, тайм-аут после записи, частичный сбой пакета, действие вне рабочего окна и попытку повысить привилегии. При сомнении авторизация должна отказать, а клиентский процесс — предложить понятный запасной путь.
У каждого разрешения должен быть срок пересмотра. Возвращайтесь к матрице после изменения модели, коннектора, API, полей, владельца и самого процесса. Операционной команде нужен аварийный выключатель без нового развертывания и ручной способ завершить бизнес-задачу во время паузы.
Контрольные метрики
Доля автоматизации поощряет расширение прав, поэтому ее недостаточно. Собирайте сбалансированный набор:
- успешные действия внутри политики без исправления;
- доля согласований и отказов с причинами по классам действий;
- число запросов на ответственного и медианное время решения;
- программные блокировки, попытки расширить границы и результаты тестов на инъекции;
- дубли, откаты, частичные сбои и операции без квитанции;
- бизнес-результат: скорость, ошибки, маржа, клиентский эффект;
- время отзыва одного агента и восстановления одной операции по журналу действий.
Если люди подтверждают 99% предложений, это может означать отличную подготовку или бесполезный контрольный рубеж. Проверьте выборку, поговорите с ответственными и выясните, влияет ли показанная информация на решения. Ноль отказов и правок — повод проверить интерфейс, а не автоматически праздновать качество.
Частые вопросы
Какие действия ИИ-агента требуют подтверждения?
Операции с существенными клиентскими, финансовыми, юридическими, приватными, безопасностными или публичными последствиями — особенно необратимые и массовые. Узкие обратимые действия можно выполнять автоматически только внутри лимитов, которые проверяет код.
Достаточно ли оставить человека в контуре?
Нет. Пользователь может устать, не понять запрос или согласиться по привычке. Нужны отдельная идентичность агента, минимальные привилегии, гранулярные инструменты, авторизация в целевой системе, лимиты, аудит, мониторинг, откат и тесты отказа.
Как избежать усталости от подтверждений?
Не спрашивать о каждом шаге. Безопасные обратимые операции пропускать только в заранее принятых границах, запрещенные блокировать программно, а человеку показывать исключения с точными параметрами. Однотипные черновики объединять, низкорисковые результаты выносить в отчет.
Можно ли дать агенту аккаунт сотрудника?
Не делитесь учетными данными. Предпочтительнее отдельная идентичность агента или служебного аккаунта с минимальными правами и сохраненным контекстом пользователя, который инициировал действие. Конкретная архитектура зависит от возможностей платформы.
Где должны применяться права ИИ-агента?
На нескольких уровнях, с детерминированной проверкой на шлюзе инструментов и в целевой системе. Инструкция модели направляет поведение, но API-права, роли базы, политика, лимиты и записи согласования решают, будет ли выполнена операция.
Автономность — это бюджет полномочий
Цель не в том, чтобы навсегда привязать человека к кнопке. Человеческое внимание следует тратить на решения, где важны контекст и ответственность. Остальное можно автоматизировать после того, как компания назвала точную операцию, ограничила масштаб, вынесла policy за пределы модели и научилась восстанавливать историю.
Rendframe может разложить процесс на действия, спроектировать матрицу разрешений и подтверждений, реализовать шлюз правил и журнал действий и провести контролируемый пилот на реальных случаях. Начните с шаблона ТЗ на AI-ассистента, изучите услугу AI-автоматизации или пришлите нам схему одного процесса и текущих доступов.