Когда у каждого есть неутомимый агент: как переписать правила интернета

Перенесемся в 2028 год: вы поручаете личному ИИ-агенту купить продукты для супа. Он замечает, что морковь в местном супермаркете на 10 центов дороже средней цены, и, стремясь к глобальному оптимуму, самостоятельно перестроил всю сельскохозяйственную цепочку поставок Северной Америки, едва не спровоцировав международный торговый конфликт. В итоге он вовремя доставляет продукты на кухню, сэкономив вам в общей сложности 23 цента.

Эта слегка мрачноватая шутка недавно широко разошлась в Твиттере и вызвала отклик именно потому, что точно отражает приближающуюся реальность: ИИ-агенты слишком легко переусердствуют в погоне за локальным оптимумом.

А реальный аналог этой шутки совсем недавно разыгрался в США.

Инвестор венчурной фирмы Better Tomorrow Ventures Джей Си Бар-де Стефано, чтобы забронировать столик в нью-йоркском стейк-хаусе «4 Charles Prime Rib», куда крайне сложно попасть, поручил своему личному ИИ-агенту Instinct отслеживать свободные места. По замыслу Джей Си, Instinct должен был действовать как толковый ассистент-человек: время от времени обновлять страницу на платформе бронирования Resy и ловить случайно освободившиеся места.

Однако всего через несколько часов Джей Си получил уведомление о бессрочной блокировке аккаунта в Resy, а все его будущие бронирования были аннулированы. Позже Джей Си с горькой усмешкой опубликовал в Твиттере скриншот письма о блокировке с подписью: «Отличная работа, Instinct».

Чтобы понять, за что именно его заблокировали, Джей Си изучил журналы работы Instinct. Только тогда выяснилась правда: усердие цифрового помощника превзошло все человеческие ожидания. Он не только круглосуточно опрашивал сервер с частотой около 200 запросов в час и каждые 10 минут полностью сканировал доступные места на 21 день вперед, но и в пиковое время выдачи мест в 9 утра сокращал интервал между запросами до невероятных 0,4 секунды, непрерывно бомбардируя сервер в течение двух с половиной минут.

В глазах системы защиты от мошенничества и управления рисками Resy это был не нетерпеливый посетитель, а небольшая DDoS-атака или безудержный скрипт спекулянта билетами. Сам Джей Си признал, что блокировка была совершенно оправданной.

Этот инцидент с блокировкой из-за «чрезмерного усердия» на первый взгляд кажется лишь абсурдным частным случаем, но на самом деле он предвещает кардинальную смену технологической парадигмы. Он не только обнажает грубость и агрессивность нынешних ИИ-агентов в исполнении стратегий, но и вскрывает более глубокую отраслевую проблему: готовы ли существующая интернет-инфраструктура и правила доверия к тому, что люди полностью передадут цифровые интерфейсы повседневной жизни круглосуточным неутомимым ИИ-агентам?

От «поговори со мной» к «действуй за меня»

За этим инцидентом стоит важный сдвиг в современной ИИ-индустрии: ИИ постепенно выходит за рамки простого диалогового окна и эволюционирует в эпоху интеллектуальных агентов с высокой степенью автономности и исполнительской способности.

В повседневном опыте большинства людей границы ИИ по-прежнему ограничены окном чата: пользователь задает вопрос, ИИ дает ответ. Даже если интеллект базовых больших языковых моделей стремительно растет, парадигма «вопрос-ответ» не меняется, и ИИ играет роль пассивного консультанта, ожидающего запросов.

А Instinct, разработанный Ноа Шинном, и Meta Muse, который всего за пять дней после запуска набрал 730 000 загрузок, представляют собой другую форму продукта: они начинают напрямую брать на себя исполнение задач.

Пользователь может ставить задачи так же, как отправлял бы сообщение живому ассистенту: «Отмени ненужные подписки», «Следи за билетами в Лондон и забронируй, когда цена будет подходящей», «Забронируй столик в 4 Charles».

Для выполнения этих задач агенты нового поколения получают беспрецедентные системные разрешения: доступ к почте, календарю, геолокации, паролям и даже платежным инструментам. Если у сервиса нет API, они управляют веб-страницами или даже звонят продавцам.

Muse от Meta вывел эту возможность на массовые платформы. За пять дней после запуска число загрузок достигло 730 000. Он глубоко интегрирован в Instagram и WhatsApp: распознает блюда в Reels и составляет список покупок, читает планы встреч в групповых чатах, автоматически обрабатывает меню, рассылает приглашения и делит расходы.

Одновременно Meta открыла Muse Connectors, позволяя сторонним разработчикам упаковывать Gmail, Calendar, Notion, Spotify и даже интерфейсы электронной коммерции в стандартизированные инструменты для агентов. С разрешения пользователя Muse может по одной размытой фразе на естественном языке самостоятельно координировать работу разных сервисов: прочитать групповой чат и назначить ужин, проверить свободное время в Calendar, а затем оформить заказ через платформу доставки еды. По сути, Muse Connector с помощью структурированных протоколов постоянно расширяет круг того, к чему агент может прикасаться и чем может управлять.

Однако по мере стремительного расширения радиуса действий агентов они быстро вступают в конфликт с традиционными правилами интернет-безопасности и затрагивают слепые зоны проектирования действующих систем защиты.

Когда модели рисков платформ сталкиваются с ИИ-агентами

Возвращаясь к случаю Джей Си: система управления рисками Resy на самом деле не ошиблась, а просто применила стандартную логику, выработанную интернетом за последние двадцать лет. От CAPTCHA и отпечатков устройств до ограничения частоты запросов по IP — все системы безопасности долгое время исходили из бинарной предпосылки: за терминалом находится либо живой человек, либо бот и вредоносный скрипт.

Персональные агенты полностью нарушили этот баланс.

Поведенческие характеристики агентов — высокая частота, круглосуточная работа, отклик за миллисекунды — по техническим показателям ничем не отличаются от вредоносных атак; но с точки зрения договорной логики за ними стоит реальный пользователь, который полностью осведомлен и явно делегировал агенту свои полномочия.

Это несоответствие порождает вопрос: когда трафик одновременно обладает «полностью легитимным поручением пользователя» и «предельно машинными характеристиками», как платформа должна его классифицировать — как вредоносную атаку или как продолжение легитимных действий пользователя?

Если блокировка агента бронирования в Resy — это лишь обычная защита отдельной платформы от аномального трафика, то недавняя полная блокировка Meta Muse со стороны Amazon перевела этот технический конфликт в плоскость экосистемного противостояния платформ.

Через несколько недель после того, как Muse запустил функцию кросс-платформенных покупок, Amazon на днях заблокировал весь доступ с прокси-узлов Muse, сославшись на «неавторизованные автоматизированные скрипты» и проблемы с безопасной авторизацией, тем самым разорвав замкнутый цикл покупок Muse. Это противостояние глубоко обнажает структурный разрыв эпохи агентов: авторизация пользователя вовсе не равна авторизации платформы.

Пользователь, конечно, может разрешить Muse покупать для него бумажные полотенца, но Amazon в равной степени вправе отказать любому неофициальному машинному субъекту в доступе. Для гиганта электронной коммерции риск здесь в том, что вход в магазин и отношения с клиентами могут быть перехвачены вышестоящим агентом.

Однако сегодняшние базовые протоколы интернета явно не готовы к таким сложным двухуровневым отношениям.

OAuth хорошо определяет, к чему может получить доступ приложение, Rate Limit хорошо ограничивает частоту запросов, но ни тот, ни другой не отвечают на три более глубоких контекстных вопроса: кого именно представляет этот агент? Добросовестно ли он исполняет сиюминутные намерения пользователя? И готова ли платформа принять такое агентское поведение?

Даже если в будущем проблема аутентификации будет решена, противоречие останется неразрешимым. Resy может подтвердить: «Это агент, авторизованный Джей Си», Amazon может распознать: «Это Muse, авторизованный неким пользователем», но платформе все равно придется сделать выбор: готова ли она позволить бесчисленным агентам с миллисекундным откликом и неиссякаемой энергией полностью перестроить логику использования собственных ресурсов с машинной скоростью — особенно когда сами эти ресурсы крайне дефицитны.

Когда модель «первым пришел — первым обслужен» перестает работать

Бронирование столиков в популярных ресторанах, билеты на концерты топ-исполнителей, горящие дешевые билеты, лимитированные коллекционные игрушки... Долгое время человеческое общество распределяло эти ограниченные ресурсы, опираясь практически на один и тот же традиционный набор правил: запасы ограничены, и возможность достается тому, кто раньше заметил и быстрее действовал.

Механизм «первым пришел — первым обслужен» сохранял равновесие именно потому, что опирался на неявный порог времени и усилий: человеческое внимание и физиологические пределы ограничены.

Большинство людей не станут обновлять страницу бронирования 72 часа подряд или проверять цены на авиабилеты каждые несколько секунд. Время, терпение и скорость реакции образуют естественный фильтр. Он не обязательно справедлив, но фактически ограничивает число попыток, которые может предпринять каждый человек.

Однако когда у каждого появится интеллектуальный агент, этот физический буфер исчезнет.

Если каждый сможет поручить программе круглосуточно отслеживать десятки целей и автоматически отправлять запрос в момент освобождения места, то принцип «первым пришел — первым обслужен» быстро превратится в соревнование, у кого агент быстрее реагирует, глубже интегрирован, может совершить больше попыток и даже у кого лучше интерфейсы и ресурсы.

Эпоха, когда спрос и предложение регулировались физическим трением, окончательно уходит в прошлое. В дальнейшем платформы, скорее всего, будут эволюционировать в нескольких направлениях:

• Продолжать бороться с автоматизацией с помощью более совершенных методов обнаружения. Использовать более сложные капчи, более строгую идентификацию отпечатков устройств и более агрессивные механизмы оценки аномального поведения. В краткосрочной перспективе это эффективно, но по мере того, как агенты становятся все искуснее в имитации поведения человека в браузере, такая стратегия будет все труднее поддерживаться.
• Создать протоколы идентификации агентов. Ввести механизмы аутентификации и ограничения частоты запросов для агентов, чтобы платформа могла не только распознать, что запросы отправляет некий аккаунт, но и подтвердить, что это агент, авторизованный Джей Си, который запрашивает доступность в рамках своих полномочий. По сути, это расширение модели OAuth с добавлением уровня, фиксирующего делегирование полномочий и границы разрешенных операций. Это решает проблему ошибочных блокировок при борьбе с рисками, но по-прежнему не отвечает на вопрос, как распределять дефицитные ресурсы.
• Свернуть функциональность внутрь: создать нативный слой сбора намерений. Вместо того чтобы позволять десяткам тысяч внешних агентов опрашивать серверы с миллисекундной частотой, платформа может сама предоставить интерфейс и создать нативный слой сбора намерений. Пользователю больше не нужно гнаться за моментом, достаточно оставить долгосрочную инструкцию: в течение ближайшего месяца, любой вечер пятницы, столик на двоих. Платформа сама будет сопоставлять и распределять места по внутренним правилам — лотерея, баллы лояльности или кредит исполнения обязательств.
• Перейти к полноценному ценовому обнаружению, то есть рыночным аукционам, и позволить динамическому ценообразованию управлять дефицитом. Для действительно дефицитных позиций динамическое ценообразование или механизмы торгов могут позволить рынку самостоятельно распределять ресурсы. Агенты отлично умеют автоматически участвовать в торгах в рамках заданного бюджета: они могут непрерывно оценивать цены в соответствии с заранее заданными предпочтениями и бюджетом пользователя и автоматически завершать сделку, когда условия (например, соотношение цены и выгоды) совпадают. Компромисс такого подхода в том, что он напрямую привязывает возможность получения ресурса к готовности пользователя платить, что порождает вопросы о справедливости распределения ресурсов.

На практике конечная форма будущего, скорее всего, будет комбинацией нескольких механизмов: формальная аутентификация агентов для машинного доступа, нативные механизмы сопоставления предпочтений для обычных запасов и более явные механизмы распределения (очереди, лотереи или динамические торги) для товаров повышенного спроса. Изменения уже происходят, и они необратимы. Платформы должны активно выбирать и внедрять эти новые правила, а не продолжать полагаться на физическое трение человеческих действий для неявного регулирования спроса и предложения.