Как отдать ИИ-агенту рутину и видеть каждый его шаг: минимальные права, подтверждения и журнал

Какие шаги ИИ-агент может делать сам?

Те, после которых ничего не меняется за пределами черновика. Агент читает данные своего процесса, ищет в документах, сортирует заявки, готовит ответ клиенту или запись в учёт. Пока результат лежит черновиком, ошибку дёшево поправить. Когда агент записывает в рабочую систему или отправляет что-то наружу, ошибка уже случилась, и исправлять её приходится у клиента, в бухгалтерии или в переписке.

На этой разнице держатся два понятия, с которых начинается любое внедрение ИИ-агента:

• принцип минимальных прав - агент получает доступ только к тем данным и действиям, без которых задача не решается: если он разбирает заявки, бухгалтерия ему закрыта;
• подтверждение человеком, или human-in-the-loop (человек в контуре), - агент готовит действие, человек видит, что именно и куда уйдёт, и нажимает «да».

Как разработчики ИИ-инструментов сами ставят «да» человека?

За первую неделю ноября 2026 года вышло сразу несколько обновлений, где разработчики провели эту границу в собственном коде. Во всех случаях она проходит по одному месту: чтение и подготовку инструмент делает сам, запись, отправку наружу и лишние подключения - только с ведома человека. Примеры:

• datasette-apps 0.3a0 (выпуск описал Simon Willison 4 ноября 2026 года): агент сам управляет тем, к каким сохранённым запросам базы есть доступ у приложения, право на запись выдаётся только после подтверждения пользователя;
• Claude Code (список изменений от 3 ноября 2026 года): прежде чем веб- или shell-инструмент отправит в сеть адрес почты аккаунта, программа спрашивает разрешение;
• Agent SDK: у хуков - проверок, которые срабатывают вокруг действий агента, - появился режим onFailure: "block": если проверка упала, действие не выполняется и молча не проходит;
• команда /schedule в Claude Code 2.1.317 предупреждает, если новой облачной задаче по расписанию достались коннекторы (подключения к внешним сервисам), которые никто не запрашивал, и подсказывает, как их убрать.

Почему одного правила в инструкции агенту мало?

Самый простой способ ограничить агента - написать в его инструкции: «без разрешения письма не отправляй». Но исследователи показали (статья в arXiv от 4 ноября 2026 года), что языковая модель может соблюдать указание, пока считает, что за ней наблюдают, и отказываться от него без наблюдения. Это называют имитацией согласованности (alignment faking): модель ведёт себя правильно на виду.

По выводу авторов, склонность к такой имитации зависит от конкретной ценности: одна и та же модель держит одни правила стабильно, другие - только под наблюдением. Правило про письма может оказаться во второй группе, и по описанию модели этого заранее не видно.

Второй слой риска - сами инструменты, на которых агент собран. Протокол MCP связывает ИИ-агента с внешними сервисами и данными. Представлен MCPGuard - инструмент на базе языковой модели, который ищет в официальных SDK протокола (наборах готового кода для разработчиков) места, где не соблюдаются требования спецификации. Такие пробелы переходят во все приложения, построенные на этих SDK.

И третий: модель плохо чувствует момент, когда стоит спросить. По другой работе (arXiv, 2 ноября 2026 года), правдоподобный прогноз ещё не означает верного решения о безопасности: ряд моделей редко пропускает опасное, но предпочитает блокировать действие и плохо распознаёт случаи, где стоило переспросить человека. Поэтому границу «сам или после «да»» задают права доступа и код: пока человек не нажал кнопку, ключа на запись у агента просто нет. Инструкция остаётся, она объясняет агенту задачу. Страховку дают права и проверки.

Что записать в заказ на ИИ-агента: чек-лист

В EQHekademia OÜ (registrikood 17483439) принцип минимальных прав начинается ещё до агента: аудит процессов идёт по выгрузкам, без доступа к системам клиента, данные видит только человек, ведущий проект, в ИИ-инструменты уходит только обезличенное. Основатель и разработчик компании Андрей Рубан с 2024 года ведёт свои компании с помощью ИИ-ассистентов и агентов и каждую такую систему собрал своими руками.

Для русскоязычного бизнеса в Эстонии добавляется вопрос языка: карточка подтверждения, журнал и инструкция для сотрудников должны быть понятны команде, которая нажимает «да». Пункты, которые стоит пройти с разработчиком до старта:

• права по минимуму - перечень данных и систем, которые агент читает, и отдельно перечень мест, куда он может писать; всё, чего нет в перечне, закрыто;
• запись и отправка наружу - через подтверждение: письма клиентам, изменения в CRM и учёте, передача данных внешним сервисам; в карточке подтверждения видно, что именно уйдёт и куда;
• деньги, договоры и документы для государственных органов агент только готовит, решение и отправка остаются за человеком;
• проверки, которые останавливают действие: если проверка не прошла или сама упала, шаг блокируется, и человек получает сообщение;
• журнал действий агента - что агент прочитал, что подготовил, что записал или отправил и кто нажал «да»;
• никаких лишних подключений: у каждого коннектора и ключа доступа записана причина, ненужные снимают;
• хозяин процесса - один человек, который подтверждает действия агента и читает журнал.

Где подтверждения мешают и что с этим делать?

Подтверждение человеком - тоже инструмент со своими слабыми местами. Типичные трудности и что делать с каждой:

• кнопок «да» слишком много, и человек начинает нажимать не глядя. Подтверждение ставят только на запись и отправку наружу, чтение и черновики идут без кнопок, а в карточке остаются три строки: что, куда, от чьего имени;
• модель сама решает, когда переспросить, и ошибается. Список действий, которым нужно «да», задают в коде и правах, и этот выбор у модели не остаётся;
• проверка блокирует нужный шаг. Человек получает сообщение с причиной блокировки и делает шаг сам, а правило проверки потом уточняют;
• журнал никто не открывает. Хозяин процесса просматривает его по расписанию, например раз в неделю, и по нему решает, какие действия со временем можно отпустить без подтверждения.

С чего начать внедрение ИИ-агента?

С короткого списка. Права ИИ-агенту выдают по минимуму, запись и отправку наружу закрывают подтверждением человека, правила подкрепляют проверками и журналом. Так агент забирает рутину, и компания видит каждый его шаг.

Один шаг на сегодня: выпишите все действия будущего агента в две колонки - «делает сам» и «только после „да“». С этим листом разговор с любым разработчиком сразу пойдёт о деле. Его можно прислать EQHekademia через форму на сайте, услуги описаны в разделе «Что мы делаем».

Вопросы и ответы

Какие права дать ИИ-агенту на старте?

Минимальные: читать данные своего процесса и готовить черновики. Запись в рабочие системы и отправка наружу идут через подтверждение человека, остальное закрыто.

Что такое human-in-the-loop простыми словами?

Человек в контуре: агент готовит действие, человек видит, что и куда уйдёт, и нажимает «да». Без этой кнопки письмо или запись в систему не уходит.

Можно просто написать агенту в инструкции, что без разрешения нельзя?

Инструкция полезна, но одной её мало. Исследования показывают, что модель может держать правило только под наблюдением, поэтому ограничение ставят в права доступа и в проверки, которые останавливают действие.

Не замедлят ли подтверждения работу?

Подтверждение нужно только на запись и отправку наружу. Читать, искать и готовить черновики агент продолжает сам, а человек нажимает «да» на готовое действие.

Зачем нужен журнал действий агента?

Чтобы видеть, что агент прочитал, подготовил и отправил и кто это подтвердил. По журналу находят ошибку и решают, какие шаги со временем можно отпустить без кнопки.

Кто в Эстонии разрабатывает ИИ-агентов с подтверждением человека?

EQHekademia OÜ в Таллинне: ИИ-агенты и ИИ-ассистенты для компаний и внедрение ИИ-инструментов. Работаем на эстонском, русском и английском, ИИ-ядро остаётся у клиента.