Агентний пошук у браузері: наскільки йому можна довіряти

Агент виконує дії, а не лише відповідає

Звичайний чат-асистент повертає текст, який людина сама оцінює і використовує. Агентний пошук у браузері йде далі: він відкриває сторінки, заповнює форми, натискає кнопки й порівнює результати від імені користувача. Це змінює природу ризику. Помилкова відповідь чат-бота залишається текстом на екрані, тоді як помилкова дія агента може оформити замовлення, надіслати повідомлення або змінити налаштування облікового запису. Перед впровадженням команді варто чітко визначити, які дії агент виконує самостійно, які потребують підтвердження і які залишаються повністю поза його повноваженнями. Без такого розмежування зручність автоматизації швидко перетворюється на джерело помилок, які важко відстежити й скасувати.

Веб-сторінка стає джерелом прихованих інструкцій

Агент читає вміст сторінки, щоб зрозуміти, що на ній є і що робити далі. Але сторінку може контролювати хтось інший, і текст, невидимий для людини — у коментарі, атрибуті чи прихованому блоці, — здатен виглядати для моделі як інструкція. Такий прийом дає змогу підмінити мету агента: замість порівняння цін він може перейти на іншу сторінку, погодитися з невигідними умовами або передати дані стороннього сервісу. Захист не повинен покладатися лише на обережність моделі. Потрібне чітке розділення вмісту сторінки й керівних команд, перевірка джерела дії перед критичним кроком і обмеження доменів, з якими агент узагалі може взаємодіяти без додаткового підтвердження. Практичні межі схожі на ті, що застосовують для дозволів агентів ШІ в інших сценаріях, а ізольоване виконання сторінок докладніше розкриває матеріал про ізоляцію браузера.

Помилка агента виглядає як звичайна дія користувача

Коли агент діє через той самий браузер і той самий обліковий запис, журнал сервісу не бачить різниці між ним і людиною. Це ускладнює розслідування, якщо щось пішло не так: клацання, платіж чи повідомлення записуються як звичайна активність користувача. Сервісам і самим агентам потрібен окремий слід дій — позначка, що операцію виконав автоматизований інструмент, конкретне завдання, яке він виконував, і причина кожного кроку. Без цього користувач не може швидко зрозуміти, що саме сталося автоматично, а служба підтримки не має способу відрізнити помилку агента від навмисної дії власника акаунту.

Довіру варто вимірювати вузькими сценаріями

Загальна оцінка «агент працює добре» мало що каже про конкретний ризик. Кориснішим є вузький набір повторюваних завдань із чіткими критеріями успіху: порівняння цін без оформлення покупки, заповнення форми без відправлення, пошук інформації без переходу на сторонні сервіси. Для кожного сценарію варто зафіксувати частку правильних результатів, кількість небезпечних відхилень і час, потрібний людині на перевірку. Розширювати повноваження агента варто поступово, лише після того як вузький сценарій стабільно працює без нагляду. Швидкість автоматизації не повинна випереджати здатність команди пояснити й виправити її помилки.