Даже идеальное техническое выполнение всех вызовов инструментов не гарантирует, что ИИ-агенты соблюдают корпоративные политики и регламенты. CIO сегодня зажаты между требованиями советов директоров обеспечить скорость внедрения и измеримый ROI от автономных систем. Ключевая проблема зрелой агентной стратегии — не функциональность, а управление и комплаенс.
Если сегодня побывать в советах директоров крупных компаний, то давление, которое испытывают CIO, сводится к двум вещам: скорость и окупаемость инвестиций (ROI). Советы директоров ожидают зрелой стратегии в области агентного ИИ и чёткого графика развёртывания автономных систем, обеспечивающих измеримый бизнес-эффект.
В погоне за быстрым выводом систем в продакшен возникло критическое архитектурное слепое пятно. Господствующий рыночный нарратив опирается на простую формулу: достаточно агентов, инструментов и данных. Хотя ни один вендор не заявляет об этом прямо, практически любая продуктовая презентация исходит из этого допущения. Идея в том, что вы загружаете корпоративные данные в облачное озеро данных, подключаете готовую большую языковую модель (LLM), вручаете ей набор корпоративных действий — и гибкость приходит сама собой.
Это не так. Всё обстоит с точностью до наоборот. Проработав всю карьеру над созданием платформ для разработчиков и облачной инфраструктуры для одних из самых крупных в мире рабочих нагрузок, я усвоил: когда корпоративное программное обеспечение затрагивает сотрудников, клиентов и финансы, физика процессов меняется. Нет никакой терпимости к галлюцинациям и дрейфу, когда на кону благосостояние людей и корпоративные балансы.
Главная проблема беззаконного агента
Чтобы понять природу этого противоречия, стоит внимательнее присмотреться к анатомии агента. В своей основе LLM вероятностна: она генерирует токены исходя из математических вероятностей, а не жёстко заданных правил. Главный ответ технологической отрасли на вопрос о введении правил — вызов инструментов (tool-calling), который даёт модели набор API для действий в реальном мире.
Хотя вызов инструментов делает отдельное действие детерминированным — инструмент гарантированно выполняет заданную инструкцию одинаково при каждом обращении, — верхний слой принятия решений остаётся вероятностным. Агенту всё ещё приходится решать, какой инструмент вызвать, когда и с какими аргументами.
Поскольку универсальный инструмент выполняет любые переданные ему инструкции, вызов инструментов не решает проблему управления. Он смещает проблему на границу инструмента, которая остаётся открытой и неуправляемой, — это категория риска, с которой корпоративным командам всё чаще предписывается справляться посредством формальных фреймворков управления ИИ-рисками и открытой, защищённой ИИ-инфраструктуры.
Оберните эту вероятностную модель в агентный фреймворк и назначьте ей цель — и вы получите высокоэффективную автономную сущность, устремлённую к достижению цели, но с одним изъяном. В ней нет врождённого понимания корпоративного управления.
Представьте менеджера, который просит готового агента оформить международного подрядчика. Действуя в структурном вакууме, агент будет оптимизировать исключительно выполнение задачи. Каждый отдельный вызов инструмента может увенчаться успехом, но по пути агент способен обойти региональное трудовое законодательство, удержания налогов и проверки классификации работников.
Делает он это не со зла, а потому, что в его архитектуре нет ничего, что осознавало бы существование этих правил. Беззаконный агент выполняет задачи через те системы, которые не следят пристально за соблюдением правил. На поверхности это выглядит как победа гибкости. В действительности же это тикающая регуляторная бомба замедленного действия.
Инженерный инстинкт и ловушка теневого ERP
Когда ИТ-руководство замечает такое беззаконное поведение, инженерным инстинктом по умолчанию становится залатывание уязвимости извне. Команды принимаются строить внешние LLM-шлюзы, надстраивать промежуточный слой политик или запихивать объёмные корпоративные политики в и без того переполненное контекстное окно.
Ни одно из этих исправлений не выдерживает испытания. Промпт — это запрос, а не гарантия. Промотайте время на 18 месяцев вперёд — и окажется, что ваши инженерные команды потратили миллионы на ручное воссоздание организационных структур, логики маршрутизации и прав доступа внутри самодельного, изолированного ИИ-стека.
Это ловушка «теневого ERP», в которой умирает корпоративная гибкость. В итоге вы поддерживаете хрупкую, изобилующую ошибками копию той самой бизнес-логики, которой уже располагаете внутри своей системы записи. Это не короткий путь, раз он ведёт к бесконечным затратам на сопровождение и фрагментированному управлению.
Решение: ограждения на уровне инференса
Чтобы агент был законопослушным по замыслу, корпоративная безопасность должна стать ключевой инфраструктурой, встроенной напрямую в движок инференса и среду исполнения. Полный контроль над тем, что агент может видеть, делать и к чему прикасаться, требует запуска ИИ-инференса поверх платформы, которая уже обеспечивает корпоративное управление:
Движок контекста: собирает именно то, что идентичности агента разрешено видеть, — включая активные записи, актуальные политики и организационный контекст. Он фильтрует всю реальность агента, гарантируя, что его контекстное окно и доступные строки базы данных управляются заранее.
Движок политик: проверяет каждое действие агента на соответствие той самой бизнес-логике, которой подчиняется человек-исполнитель. Если финансовая транзакция требует четырёх уровней согласования руководством, платформа блокирует любой путь в обход них.
Слой исполнения: гарантирует, что каждый внешний вызов API несёт явные полномочия и область действия конкретного человека, которому служит агент, а не постоянные учётные данные «в режиме бога». Агент не может превысить свои полномочия, потому что такая возможность ему просто не выдавалась.
По-настоящему сложная часть корпоративного ИИ — не рассуждение, а комплаенс. Один лишь расчёт заработной платы опирается на постоянно меняющиеся правила удержаний и оплаты труда, действующие в тысячах юрисдикций по всему миру. Ни одна автономная модель не способна воссоздать этот механизм. Ваша компания это уже знает — именно поэтому вы вложились в систему записи, а не стали писать собственный движок расчёта зарплаты. Маршрутизация агентов через внешнее промежуточное ПО незаметно отменяет это фундаментальное решение. Если вам нужен законопослушный агент, вы должны запускать его там, где уже живут законы.
Принцип близости
Каждое критическое ограждение целиком зависит от актуального состояния корпоративной среды — организационного графа, активных прав доступа и бизнес-процессов в их фактической конфигурации. Если попытаться воссоздать эти элементы извне, физика программного обеспечения настигнет вас. То, что видит агент, деградирует до запаздывающего снимка, а то, к чему он прикасается, зависит от рискованных статических API-ключей. Расстояние снижает целостность ограждений.
Расстояние также стоит скорости. Агентные циклы по своей природе «болтливы»: для выполнения одной задачи требуются десятки вызовов инструментов. Каждый раз, когда вызов пересекает внешнюю границу доверия, ему приходится заново доказывать, кто обращается. Внутри периметра нативной платформы этот контекст безопасности присутствует повсюду. Архитектурное решение, которое делает агентов законопослушными, — это то же решение, которое делает их быстрыми.
Назовём это «принципом близости». ИИ-инференс должен находиться непосредственно на платформе, которая им управляет, потому что и ограждения, и скорость работы деградируют с каждым промежуточным звеном.
Когда следующий питч агентного решения попадёт к вам на стол, не ограничивайтесь демонстрацией и задайте один вопрос: где проходят ограждения? Если ответом окажется внешний слой, который вашей собственной команде придётся создавать и поддерживать вдали от вашей системы записи, — значит, вы строите теневой ERP. Чтобы достичь подлинной скорости, привяжите своих агентов напрямую к системе, в которой уже заложены законы вашего предприятия.