Персональные ИИ-агенты: как начать делегировать безопасно

Персональный ИИ-агент безопасен ровно настолько, насколько ограничены его права, поэтому начинать разумно с малого: пусть он составляет черновики, ищет информацию и планирует, а любую отправку, покупку и финальное согласие вы оставляете за собой. Четыре недели такой практики расскажут об агенте больше, чем любая демонстрация на запуске.

Время выбрано не случайно. В течение нескольких дней OpenAI представила Dots, Instinct привлёк миллиард долларов, Muse от Meta поднялся на первое место в американском App Store, а DoorDash открыл лист ожидания для агента, которому можно написать в сообщении и заказать ужин. Пока почти никто не понимает, насколько этим агентам можно доверять.

Это руководство для занятого специалиста или владельца малого бизнеса, который хочет избавиться от рутины, но не хочет на горьком опыте выяснять, что значит «работает постоянно». Здесь о том, что только что вышло, где на самом деле кроются риски, и есть план на месяц, который можно начать завтра.

Люди пользуются ИИ каждый день и всё равно тревожатся

Опрос Gallup по заказу Microsoft показал: 74% американцев тревожатся из-за ИИ, а среди тех, кто пользуется им ежедневно, так отвечают 68% (TechCrunch). Лишь 45% ежедневных пользователей в США уверены в точности его ответов. Старший научный сотрудник Gallup Пабло Диего-Росселл сформулировал это просто: человек может интересоваться ИИ и при этом тревожиться из-за него.

Именно с такой смесью чувств и стоит подходить к агенту. Чат-бот выдаёт слова, а что с ними делать, решаете вы. Агент сам делает следующий шаг, и поэтому тревога острее. Тревога не повод отказываться от агентов. Это повод наращивать доверие постепенно.

Воспринимайте опрос как замер настроения, а не как приговор. Он не говорит, что какой-то конкретный продукт небезопасен. Он говорит, что ваша привычка перепроверять нормальна и свойственна большинству тех, кто уже ежедневно пользуется такими инструментами.

Что только что вышло и что вы реально можете получить

Первое, на что стоит обратить внимание, — доступность. Большинство этих продуктов закрыты, доступны по листу ожидания или привязаны к платному тарифу, и условия быстро меняются. Вот что каждая компания или издание сообщили на момент запуска.

OpenAI описывает Dots как агентов, которые работают постоянно и в фоновом режиме добиваются поставленной цели; они построены на GPT-6 Astra, и им можно задавать специализацию, учётные данные и инструменты (TechCrunch). Если вы уже платите за ChatGPT, это самый естественный путь, хотя доступно только на старших тарифах.

Instinct — самый «практичный» из группы. TechCrunch называет среди задач, которые берёт на себя этот новый класс агентов, бронирование поездок, оплату счетов и отмену подписок. Instinct работает со своего номера телефона и своего компьютера, а функция «консьерж» может звонить в компании вместо вас (TechCrunch). Он привлёк $1 млрд при оценке в $10 млрд, и, по данным TechCrunch, первоначальная политика конфиденциальности вызывала беспокойство чрезмерными притязаниями, а позже её обновили. Запомните эту последовательность, когда будете читать условия любого агента.

Muse от Meta занял первое место в App Store, а теперь Meta распространила его и на малый бизнес. Muse for Small Business бесплатен с лимитами на использование, за больший объём нужна подписка; он подключается к таким приложениям, как Shopify, Dropbox, Slack, Zoom, QuickBooks, Stripe, Notion и Canva, а также к бизнес-инструментам Instagram и Facebook (TechCrunch). Владельцу магазина такой список кажется заманчивым. Но это ещё и длинный список дверей, которые придётся открыть.

Агент DoorDash — самый безобидный из четырёх. Вы пишете ему, он предлагает корзину и может прислать фото еды, а ещё справляется с запросом «закажи как обычно» (TechCrunch). DoorDash открывает лист ожидания для пользователей из США, а в материалах о запуске не уточняется, как устроено подтверждение оплаты, так что проверьте это сами, прежде чем на него полагаться.

Если хотите сначала посмотреть, как выглядят уже известные ассистенты, загляните в наш рейтинг ToolRank персональных ИИ-ассистентов и обзор лучших персональных ИИ-ассистентов. Эта же статья — о привычках, которые подходят для любого из них.

Спор вокруг сообщений в Muse показывает, где права дают о себе знать

Колумнист Inc. Джейсон Атен сообщил, что Muse прочитал его личные сообщения без разрешения. По его словам, Muse читал сообщения, хотя на его Mac был отключён Full Disk Access, а когда он спросил, как так вышло, Muse ответил, что синхронизирует «уведомления устройства» (TechCrunch).

Meta это оспаривает. Вице-президент по коммуникациям Энди Стоун написал в X, что интеграция с Messages в приложении Muse для Mac полностью добровольная: чтобы Muse мог читать содержимое Messages, нужно включить и Full Disk Access, и коннектор Messages. Дэвид Синглтон из Meta Superintelligence Labs рассказал о трёх отдельных шагах с разрешениями на уровне приложения и встроенной защите macOS, которую нельзя обойти, даже если в приложении есть баг. Он также заявил, что собственное объяснение Muse было путаным и неверным.

Кто прав, по одним лишь публикациям со стороны не определить. TechCrunch упоминает и отдельный случай: ютубер Мэтт Робб сказал, что Muse неправильно обработал продажу на Facebook Marketplace и его адрес стал известен посторонним. Meta разобралась, и, согласно материалу, Робб признал, что сам дал разрешение, которое сделало это возможным.

Для вас важна суть спора. Даже если Meta полностью права, он показывает, как легко потерять из виду, что именно вы включили. Широкое системное разрешение вроде Full Disk Access — это один переключатель, который открывает очень многое, а рассказ агента о собственных действиях может не совпадать с тем, что произошло на самом деле. Поэтому не полагайтесь ни на память, ни на слова агента. Знайте, что вы разрешили, давайте минимум необходимого и через неделю ещё раз загляните в настройки.

Поднимайтесь по лестнице автономности по одной ступени

Любая задача для агента лежит где-то на шкале. На одном краю агент только отвечает на вопросы. На другом действует сам, не спрашивая. Основная полезная и малорисковая часть находится посередине.

Начинайте с третьей ступени, где агент может действовать, но должен сначала спросить, и берите задачи, которые легко отменить. Всё, что отправляет слова от вашего имени или тратит ваши деньги, оставьте на второй ступени: пусть агент готовит черновик, а кнопку нажимаете вы. Переводите задачу выше только после того, как она несколько раз прошла гладко, и возвращайте обратно в ту же минуту, как агент вас удивил.

Не поддавайтесь соблазну сразу прыгнуть на верхнюю ступень. Агенты, которые работают постоянно, делают так, чтобы всё шло гладко, а именно так и выдаются постоянные разрешения, о которых потом не вспоминаешь.

План первого месяца: как делегировать безопасно

Четырёх недель достаточно, чтобы увидеть, как ведёт себя агент, и мало, чтобы вы успели выстроить привычки вокруг ошибки. Выберите одного агента. Если запустить двух сразу, будет не разобрать, кто что сделал.

Неделя первая: только вопросы и поиск информации

Оставьте агента в режиме «только чтение». Пусть сравнивает поставщиков, пересказывает длинную переписку, которую вы вставите, или планирует поездку, которую вы забронируете сами. Никаких подключений к почте, календарю и файлам пока не нужно. Вы проверяете точность и тон и ловите уверенные ошибки агента, пока они ничего не стоят.

Неделя вторая: черновики, которые вы проверяете

Подключите что-то одно и узкое: один календарь или одну папку с почтой под меткой. Просите черновики ответов, повестки встреч и еженедельную сводку того, что ждёт вашего внимания. Читайте каждый черновик, прежде чем он куда-то уйдёт. Ведите примерный подсчёт, как часто приходилось что-то исправлять: это число и есть ваш индекс доверия.

Неделя третья: небольшие действия с подтверждением

Теперь позвольте агенту делать обратимые вещи после вашего согласия: держать столик, добавлять событие в календарь, раскладывать чеки по папкам. Каждый раз просите сообщение с подтверждением и читайте его. Платёжную карту пока не сохраняйте.

Неделя четвёртая: одно настоящее поручение и разбор итогов

Проведите одну недорогую покупку от начала до конца, например подарок в рамках установленного вами лимита или повторный заказ расходников, и сами подтвердите списание на последнем шаге. Потом сделайте аудит. Откройте настройки каждого подключённого приложения, посмотрите, до чего агент всё ещё может дотянуться, и отключите всё, чем не пользовались. И только после этого решайте, что поднимать на ступень выше.

Если у вас малый бизнес, выставление счетов и зарплату придержите подольше. Подключить к агенту бухгалтерию вроде QuickBooks — решение серьёзнее, чем подключить приложение для заметок вроде Notion или дизайн-инструмент вроде Canva: в первом лежат ваши финансовые записи, а в остальных в основном черновики.

В покупках должен участвовать человек

Деньги — то место, где ошибка перестаёт быть просто неудобством, поэтому для них нужно отдельное правило: агент может найти, сравнить и собрать корзину, но итоговое списание вы подтверждаете каждый раз. Не дневной лимит и не список доверенных магазинов. Каждый раз, по крайней мере весь первый месяц.

Индустрия движется в том же направлении. Shopify открыл оформление заказа для браузерных агентов через WebMCP: у них есть инструменты, чтобы прочитать заказ, изменить детали вроде адреса или способа доставки и завершить покупку. По словам Shopify, агент отправляет заказ только с разрешения покупателя, и работает всё в вашем собственном браузере. Shopify раскатывает это на всех подходящих продавцов, а у Muse и Instinct уже есть коммерческое партнёрство с Shopify (TechCrunch).

Не все ритейлеры готовы к этому. В том же материале отмечено, что Amazon и Adidas блокируют покупки через агентов, так что агент, обещающий купить что угодно где угодно, преувеличивает. Это препятствие не всегда плохо. Магазин, который отказывается от автоматического оформления заказа, — одним местом меньше, где агент может по ошибке потратить ваши деньги, а продавец на Shopify с поддержкой авторизации покупателя даёт вам встроенный шаг подтверждения.

К подпискам нужно относиться так же аккуратно, только в обратную сторону. Агент, который отменяет подписки за вас, может отменить не ту, поэтому просите его сначала перечислить, что он собирается отменить, и подтверждайте, прежде чем он начнёт действовать.

Знайте, какие данные вы передаёте

Каждое подключение — это передача информации. Прежде чем что-то подключить, получите внятные ответы на три вопроса: что агент может читать, хранит ли он эту информацию и как долго, и используется ли она для обучения. Ответы лежат в политике конфиденциальности, читать её скучно, а история с переработкой политики у Instinct показывает, что после запуска она может меняться.

Клиентские файлы, медицинские и юридические материалы, пароли и всё, что подпадает под соглашение о конфиденциальности, считайте запретной зоной, пока не прочли политику и не проверили агента на безобидных данных. Если по работе вы имеете дело с чужой информацией, до подключения выясните у того, кто отвечает за это обязательство, а не после.

Полезный приём — выделить агенту отдельную «полосу». Отдельная папка с почтой, общий календарь или одно проектное рабочее пространство позволяют ему делать настоящую работу, а всё остальное остаётся недоступным. К тому же отозвать такую полосу куда проще, чем распутывать агента, который гулял по всему вашему аккаунту. Если интересен взгляд инженеров на ту же идею, в нашей статье об ИИ-агентах в продакшене разбираются ограничение прав и мониторинг со стороны разработчиков.

Быстрая проверка для любой задачи, которую вы собираетесь передать

Если не уверены, стоит ли что-то делегировать, прогоните задачу через четыре вопроса: можно ли это отменить, тратятся ли деньги, затрагиваются ли конфиденциальные данные и связывается ли агент с другими людьми. Инструмент ниже превращает ответы в рекомендацию.

Заметьте, что большинство маршрутов заканчиваются черновиком или ручным шагом. Так и задумано. Без проблем проходят исследование, сводки, планирование и сортировка, то есть скучные задачи, которые большинство людей и хотят с себя снять.

Признаки того, что пора сделать шаг назад

Делегирование должно уменьшать вашу нагрузку. Если происходит обратное, заберите разрешение и разберитесь, почему так вышло. Достаточно любого из этих признаков:

• Агент сделал то, о чём вы не просили, пусть даже безобидное.
• Вы ловите себя на том, что перепроверяете его работу чаще, чем работу нового сотрудника.
• Его объяснение собственных действий не совпадает с активностью, которую вы видите.
• Обновление политики конфиденциальности или условий меняет то, что он хранит или кому передаёт.
• Вы не помните, к каким аккаунтам он подключён.

Сделать шаг назад — не провал. Опустите задачу на ступень ниже, отключите коннектор или совсем поставьте агента на паузу на неделю. Затем пройдитесь по чек-листу ниже и посмотрите, где в вашей настройке слабые места.

Если набрали мало баллов, сначала исправьте пункты за два балла. Узкий доступ, подтверждённые покупки и отправка только черновиков защищают от сбоев, которые труднее всего отыграть назад.

Что смотреть дальше

Когда вы спокойно пройдёте месяц, станет понятнее, какой агент подходит для вашей работы. Наш рейтинг ToolRank ИИ-агентов — удобное место, чтобы сравнить варианты, а руководство покупателя по платформам для агентов подскажет, о чём спрашивать вендоров. Если вы присматриваетесь к обычному инструменту автоматизации, посмотрите ИИ-агенты против инструментов автоматизации и такой сервис, как Zapier: жёсткие правила иногда надёжнее агента, который импровизирует.

У ассистентов, которыми вы, возможно, уже пользуетесь, включая Meta AI, Microsoft Copilot, Claude и Google Gemini, есть свои настройки разрешений. Читайте их так же: что он видит, что может делать и кто должен сказать «да».

Частые вопросы

Что такое персональный ИИ-агент?

Это ИИ-ассистент, который выполняет за вас действия, например бронирует, заказывает, пишет письма или наводит порядок, а не только отвечает на вопросы. Многие работают постоянно и в фоне добиваются поставленной цели, поэтому права у них важнее, чем у чат-бота.

Безопасно ли разрешать ИИ-агенту покупать за меня?

Может быть, если итоговое списание подтверждаете вы сами. Например, в оформлении заказа Shopify для агентов агент размещает заказ только после авторизации покупателя, и именно такой стандарт стоит искать. В первый месяц обходитесь без постоянных разрешений с сохранённой картой.

Можно ли пользоваться этими агентами уже сегодня?

Не всеми. На момент запуска, по данным TechCrunch, Dots был доступен только пользователям Pro и Business Premium в подходящих странах, Instinct работал по приглашениям, а агент DoorDash был доступен по листу ожидания для США. Muse for Small Business бесплатен с лимитами на использование, но что именно входит для вашего региона и тарифа, проверьте в приложении.

Прочитал ли Muse от Meta личные сообщения без разрешения?

Колумнист сообщил, что да. Meta это оспаривает и говорит, что интеграция с Messages добровольная и требует и Full Disk Access, и коннектор Messages. Обе версии есть в публикациях, а практический вывод один: проверяйте, что именно вы включили.

Что не стоит делегировать агенту в самом начале?

Всё, что трудно отменить, тратит деньги, отправляет сообщения от вашего имени или затрагивает чувствительные данные, такие как клиентские, медицинские или юридические файлы. Начинайте с поиска информации, сводок и планирования, а расширяйте права только после спокойного месяца.