Агентные организации

Предыдущие главы разбирали фундамент безлюдного бизнес-движка: данные, процессы, интеграции, учёт. Эта глава — о слое, который превращает этот фундамент в работающую «безлюдность»: о LLM-агентах (Large Language Model agents) как исполнителях операционной работы. Именно агенты в проектируемом холдинге будут читать входящие письма, разносить платежи, готовить черновики договоров, отвечать клиентам, собирать управленческую отчётность и передавать человеку только то, что действительно требует человеческого суждения.

Глава даёт три вещи. Во-первых, техническую теорию: как агент устроен внутри — цикл рассуждения и действия, вызов инструментов, память, планирование — и чем он принципиально отличается от чат-бота и RPA-робота, которых компании внедряли последние десять лет. Во-вторых, инженерную дисциплину надёжности: паттерны Anthropic и OpenAI, guardrails, evals, observability, оркестрацию и durable execution — то, что отличает демо от системы, которой можно доверить деньги и обязательства юрлица. В-третьих, честную картину практики 2024–2026 годов: флагманские кейсы с цифрами (Klarna, Intercom, Sierra, Harvey, Devin), тезис «Service-as-Software», экономику «токены против ФОТ» — и одновременно каталог провалов: откат Klarna, исследования отказов мультиагентных систем, эксперимент Project Vend, отчёты о 95% неудачных пилотов. Для архитектора безлюдного движка эта глава — карта минного поля: где агенты уже сегодня надёжно заменяют функцию, где они пока лишь ассистируют, и какие архитектурные решения отделяют первое от второго.

10.1. Что такое LLM-агент технически: цикл, инструменты, память

Слово «агент» в 2024–2026 годах затёрлось до неразличимости, поэтому начнём с рабочего определения. LLM-агент — это система, в которой большая языковая модель в цикле принимает решения о следующем действии, выполняет эти действия через инструменты (tools) во внешней среде, наблюдает результат и корректирует дальнейший план — до тех пор, пока задача не решена или не сработал критерий остановки. Ключевое слово — цикл: модель не генерирует ответ за один проход, а управляет процессом.

ReAct-цикл: рассуждение, действие, наблюдение

Каноническая формализация этого цикла — паттерн ReAct (Reasoning + Acting), предложенный Яо и соавторами в статье «ReAct: Synergizing Reasoning and Acting in Language Models» (ICLR 2023). Механика проста: на каждой итерации модель генерирует «мысль» (thought) — текстовое рассуждение о текущем состоянии задачи, — затем «действие» (action) — вызов конкретного инструмента с параметрами, — затем получает «наблюдение» (observation) — результат выполнения инструмента, который дописывается в контекст. Цикл thought → action → observation повторяется, и вся история итераций остаётся в контекстном окне, образуя рабочую память агента. Важно понимать, что никакой отдельной «программы агента» в классическом смысле нет: агент — это промпт с описанием доступных инструментов плюс цикл while, в котором оркестрирующий код парсит вывод модели, исполняет запрошенные действия и возвращает результаты. Вся «интеллектуальность» — в способности модели на каждом шаге выбирать разумное следующее действие.

Tool use и function calling: как модель «нажимает кнопки»

Механизм, который делает цикл возможным, — вызов функций (function calling / tool use), появившийся как первоклассная возможность API у OpenAI в июне 2023 года и у Anthropic в 2024-м. Разработчик передаёт модели JSON-схемы доступных инструментов: имя, описание, типизированные параметры. Модель обучена (через специальную стадию дообучения) в нужный момент выдавать не текст, а структурированный вызов — например, {"name": "create_invoice", "input": {"client_id": "C-1042", "amount": 350000, "currency": "RUB"}}. Оркестрирующий код исполняет вызов против реальной системы (ERP, CRM, банк-клиент) и возвращает результат в контекст. Критически важные следствия для проектировщика движка: во-первых, модель никогда не исполняет действия сама — она лишь просит их исполнить, и весь контроль (валидация параметров, права доступа, лимиты) живёт в слое исполнения; во-вторых, качество агента в огромной степени определяется качеством описаний инструментов — это тоже промпт-инжиниринг; в-третьих, гарантию структуры вывода дают structured outputs / constrained decoding — режимы, в которых сэмплирование модели ограничено грамматикой JSON-схемы, так что синтаксически невалидный вызов невозможен в принципе.

Планирование и декомпозиция

Для задач длиннее нескольких шагов чистый ReAct деградирует: модель «забывает» цель, зацикливается, уходит в тупики. Поэтому зрелые агенты добавляют явный слой планирования: сначала модель (иногда более мощная) строит план — декомпозицию задачи на подзадачи, часто в виде редактируемого списка (паттерн plan-and-execute, а в Claude Code — видимый пользователю TODO-список), затем исполняет пункты, периодически пересматривая план по результатам. Отдельный класс приёмов — рефлексия (reflection/self-critique): после выполнения агент оценивает собственный результат и при необходимости итерирует. Исследования показывают, что и планирование, и рефлексия дают наибольший прирост именно на длинных многошаговых задачах — то есть ровно на тех, из которых состоит операционный бэк-офис.

Три вида памяти

Память агента устроена трёхслойно. Первый слой — контекстное окно: всё, что модель «видит» прямо сейчас (системный промпт, история цикла, результаты инструментов). К 2026 году окна в 200 тысяч — 1 миллион токенов стали нормой, но контекст — дорогой и деградирующий ресурс: внимание модели к середине длинного контекста хуже, чем к краям («lost in the middle»), а стоимость растёт линейно с длиной, поэтому инженерия контекста (context engineering) — сжатие, суммаризация истории, выгрузка промежуточных результатов в файлы — стала отдельной дисциплиной. Второй слой — извлекаемая память: RAG (Retrieval-Augmented Generation), при котором релевантные фрагменты корпоративной базы знаний находятся семантическим поиском по векторным представлениям (embeddings) и подставляются в контекст по мере надобности; для агента RAG — это просто ещё один инструмент «поискать в базе». Третий слой — долговременная память: факты, извлечённые из прошлых эпизодов и сохранённые во внешнем хранилище (от простых markdown-заметок вроде CLAUDE.md до специализированных memory-слоёв типа Zep, Letta или mem0), которые агент читает при старте новой сессии. Для безлюдного движка это означает, что «знания компании» должны существовать в машиночитаемом виде вне голов сотрудников — регламенты, справочники контрагентов, история решений, — иначе агенту негде взять контекст, который человек-операционист носит в голове.

Отличие от чат-бота и от RPA

Чат-бот — это модель без цикла и без инструментов: один запрос, один ответ, максимум с поиском по базе знаний. Он может рассказать, как оформить возврат, но не может его оформить. RPA-робот (Robotic Process Automation — UiPath, Blue Prism, российские аналоги) — противоположная крайность: жёстко запрограммированная последовательность кликов и вводов в интерфейсах, исполняемая детерминированно. RPA не понимает смысла: если в интерфейсе банка сдвинулась кнопка или счёт пришёл в непривычном формате, процесс падает. LLM-агент занимает середину: он недетерминирован, но устойчив к вариативности входа — прочтёт счёт в любом формате, поймёт письмо с опечатками, разберётся в нестандартной ситуации или честно эскалирует её. Плата за гибкость — вероятностная природа: агент может ошибиться там, где RPA не ошибётся никогда, и потому агентная архитектура — это всегда архитектура управления вероятностью ошибки, о чём следующий раздел. Практический вывод: детерминированные шаги (проводка в учётной системе, расчёт по формуле) должны оставаться кодом, а агенту следует отдавать интерпретацию, классификацию, извлечение, коммуникацию и принятие решений в условиях вариативности.

10.2. Паттерны надёжности: workflows vs agents, guardrails, evals

Главный документ инженерной культуры агентостроения — эссе Anthropic «Building Effective Agents» (декабрь 2024, Эрик Шлунц и Барри Чжан). Его центральное различение стало отраслевым стандартом: workflows — системы, где LLM и инструменты оркестрируются по заранее определённым путям в коде, и agents — системы, где модель сама динамически управляет процессом и выбором инструментов. Главный совет документа контринтуитивен для хайпа: ищите простейшее решение, и наращивайте агентность только тогда, когда она оправдана. Большинство «агентных» задач бэк-офиса на самом деле решаются workflow-паттернами, которые Anthropic каталогизирует пятью схемами: цепочка промптов (prompt chaining — выход одного шага является входом следующего, с программными проверками между шагами), маршрутизация (routing — классификатор направляет вход в специализированную ветку), параллелизация (одновременные независимые подзадачи или голосование нескольких прогонов), оркестратор-исполнители (orchestrator-workers — центральная модель динамически порождает подзадачи), и оценщик-оптимизатор (evaluator-optimizer — одна модель генерирует, другая критикует в цикле). Полноценный автономный агент оправдан лишь там, где число шагов нельзя предсказать заранее и путь нельзя зашить в код. Для проектировщика движка это правило номер один: степень автономности — не достоинство, а стоимость, которую надо оправдывать; чем более предсказуем процесс, тем больше его следует «замораживать» в workflow.

Guardrails и структурированные выводы

Guardrails (защитные ограждения) — слой детерминированных проверок вокруг вероятностной модели. На входе: фильтрация prompt injection, проверка тематики, маскирование персональных данных. На выходе: валидация структуры (structured outputs с JSON-схемой), бизнес-правила («платёж свыше 500 тысяч рублей — только с подтверждением человека»), проверка на галлюцинированные ссылки и реквизиты, модерация тона. На уровне действий: белые списки инструментов на каждую роль агента, лимиты (сумм, количества вызовов, затрат токенов), идемпотентность и обратимость операций, песочницы. Практический принцип: всё, что можно проверить кодом, должно проверяться кодом, а не «добросовестностью» модели. OpenAI Agents SDK встраивает guardrails как первоклассную сущность (параллельные проверки с tripwire-механизмом, останавливающим агента), NVIDIA NeMo Guardrails и Guardrails AI дают декларативные DSL для тех же задач.

Evals: QA для недетерминированных систем

Классический тест проверяет «на вход X — выход строго Y»; для агента это не работает, потому что валидных выходов много. Evals (оценивания) — дисциплина систематической проверки качества LLM-систем — заменяет юнит-тесты тремя инструментами. Первый — программные проверки свойств результата: скомпилировался ли код, сошёлся ли баланс, есть ли в ответе обязательные реквизиты. Второй — LLM-as-judge («модель как судья»): отдельная модель оценивает выход агента по рубрике (точность, полнота, тон, соответствие политике); исследования показывают согласованность сильных моделей-судей с человеческими асессорами на уровне ~80% (сопоставимо с согласованностью людей между собой), но судья требует собственной калибровки — известны систематические смещения (позиционное, к длинным ответам, к «своим» ответам). Третий — золотые наборы (golden datasets): накопленные реальные кейсы с эталонными исходами, на которых прогоняется каждая новая версия промпта или модели — регрессионное тестирование агента. Зрелая практика: eval-набор строится из production-логов, размечается человеком-экспертом, автоматизируется судьёй, и ни одно изменение агента не выкатывается без прогона. По сути evals — это то, чем для обычного кода являются CI-тесты, и компании, пропустившие эту стадию, обнаруживают деградацию агента только по жалобам клиентов.

Observability: видеть, что агент делает на самом деле

Поскольку поведение агента недетерминировано и зависит от промптов, моделей и данных, обязателен слой наблюдаемости: полная трассировка каждого запуска (все промпты, все вызовы инструментов, все ответы модели, задержки, стоимость в токенах), агрегатные метрики качества и алерты на деградацию. Стандартные инструменты — LangSmith (от LangChain), Langfuse (open-source, самый популярный вариант для self-hosted), Braintrust, Arize Phoenix; развивается стандарт OpenTelemetry GenAI semantic conventions, позволяющий встроить трейсы агентов в общую APM-инфраструктуру. Для регулируемого бэк-офиса трассировка — не только отладка, но и аудиторский след: журнал «какой агент, на каком основании, каким действием» — обязательное условие доверия финансовым агентам (подробнее в разделе о рисках).

10.3. Оркестрация: фреймворки, durable execution и мультиагентные системы

Оркестрация — это код, который управляет жизнью агентов: порядком шагов, передачей контекста, повторами при сбоях, точками участия человека. К 2026 году ландшафт устоялся вокруг нескольких подходов.

LangGraph (развитие экосистемы LangChain) представляет агентную систему как граф состояний: узлы — шаги (вызов модели, инструмент, проверка человека), рёбра — переходы, в том числе условные и циклические; состояние персистится (checkpointing), что даёт паузу/возобновление, «путешествия во времени» по истории и точки human-in-the-loop. Это самый гибкий и самый «низкоуровневый» из популярных фреймворков — фактически стандарт для сложных production-систем. OpenAI Agents SDK (март 2025, наследник экспериментального Swarm) — минималистичная модель: агент = инструкции + инструменты + guardrails, а координация строится на handoffs — передаче управления от агента к агенту как обычном вызове инструмента. CrewAI предлагает ролевую метафору («команда» из агентов-ролей с задачами) — быстрый старт, но меньше контроля; AutoGen (Microsoft) вырос из исследовательской парадигмы «разговора агентов» и в 2025 году был пересобран в event-driven архитектуру, влившись в Microsoft Agent Framework. Выбор фреймворка вторичен по отношению к архитектуре: все они — тонкие обёртки над одним и тем же циклом из раздела 10.1, и опытные команды нередко пишут оркестрацию сами.

Durable execution: почему под агентами нужен Temporal

Агентный процесс бэк-офиса живёт не секунды, а часы и дни: ждёт ответа контрагента, подтверждения человека, банковской выписки. Обычный процесс в памяти сервера такого не переживёт — рестарт, деплой или сбой API убьют его на середине. Durable execution (долговечное исполнение) — модель, в которой каждый шаг workflow журналируется, и после любого сбоя исполнение детерминированно восстанавливается с последнего успешного шага (event sourcing + replay). Temporal — де-факто стандарт этого класса (на нём работают Snap, Netflix, Stripe-подобные финтехи); альтернативы — Restate, Inngest, Azure Durable Functions. Сочетание «LLM-агент поверх Temporal» стало к 2025–2026 году каноническим паттерном: недетерминированные решения принимает модель, но каждое принятое решение фиксируется в журнале workflow, повторы и компенсации при сбоях берёт на себя движок, а human-in-the-loop реализуется как долгоживущий сигнал ожидания. Для движка холдинга это несущая конструкция: агент может «думать» как угодно, но исполняться его решения должны в транзакционной, восстановимой среде.

Мультиагентные системы: когда помогают и когда каскадят ошибки

Интуиция «раз агент хорош, то десять агентов лучше» — самая дорогая ошибка 2024–2025 годов. Исследование UC Berkeley «Why Do Multi-Agent LLM Systems Fail?» (Cemri et al., 2025; принята на NeurIPS 2025) проанализировало более 1600 трасс выполнения в семи популярных фреймворках и построило таксономию MAST из 14 типов отказов в трёх категориях: ошибки спецификации и дизайна системы (агентам плохо поставили роли и правила), межагентное рассогласование (агенты теряют контекст друг друга, игнорируют вклад коллег, уходят от задачи) и провалы верификации (никто по-настоящему не проверяет результат, «проверяющий» агент штампует одобрения). Ключевой вывод: большинство отказов — не слабость моделей, а дефекты организационного дизайна системы, и они пугающе напоминают патологии человеческих организаций из классики Честера Барнарда: неясные зоны ответственности, испорченный телефон, фиктивный контроль качества.

Практики сформулировали это жёстче: Cognition (создатели Devin) в эссе «Don't Build Multi-Agents» (июнь 2025) показывают, что параллельные агенты с разделённым контекстом принимают конфликтующие неявные решения, и результат не склеивается; их принцип — «делись полным контекстом и трассой решений, а не сообщениями». Противоположный полюс — Anthropic, чья мультиагентная исследовательская система (оркестратор + параллельные поисковые субагенты) обыграла одиночного агента на 90,2% на исследовательских задачах — но ценой примерно 15-кратного расхода токенов относительно чата и при важной оговорке: паттерн работает, потому что поисковые подзадачи независимы и легко параллелятся, а результат агрегируется читающим всё оркестратором. Синтез 2026 года таков: мультиагентность оправдана при (а) параллелизуемых независимых подзадачах, (б) изоляции контекстов ради безопасности или специализации, (в) превышении контекстного окна одним процессом; она вредна, когда подзадачи связаны неявными зависимостями — тогда каждый интерфейс между агентами становится местом потери информации, и ошибки не усредняются, а каскадируют: ошибка первого агента становится «истиной» в контексте второго.

10.4. MCP, A2A и контуры агентной экономики

До конца 2024 года каждая связка «агент — корпоративная система» была самодельной: свой коннектор к CRM, свой к почте, свой к учётке, и всё это умножалось на количество агентных платформ. Model Context Protocol (MCP), открытый Anthropic в ноябре 2024 года, решил задачу стандартизации так же, как USB-C решил её для периферии: единый протокол, по которому любой AI-клиент (Claude, ChatGPT, Cursor, корпоративный агент) подключается к любому MCP-серверу — обёртке над системой, публикующей три вида примитивов: инструменты (tools — действия, которые агент может вызвать), ресурсы (resources — данные, которые можно прочитать) и промпты (prompts — готовые шаблоны задач). Архитектурно это JSON-RPC поверх stdio или HTTP, с описанием возможностей сервера, которое модель получает в момент подключения. Переломным стал 2025 год: в марте протокол принял OpenAI, затем Google DeepMind и Microsoft, а 9 декабря 2025 года Anthropic передала MCP в специально созданный при Linux Foundation фонд Agentic AI Foundation (соучредители — Anthropic, OpenAI и Block, при поддержке Google, Microsoft, AWS, Cloudflare, Bloomberg). К моменту передачи экосистема насчитывала более 10 000 публичных MCP-серверов и свыше 97 миллионов месячных загрузок SDK — то есть война форматов в слое «агент — инструмент» закончилась, не начавшись. Для проектировщика движка следствие прямое: каждую внутреннюю систему холдинга (учёт, CRM, HR, документооборот) имеет смысл оборачивать в MCP-сервер — это разовая инвестиция, открывающая систему всем нынешним и будущим агентам сразу; одновременно MCP-слой — естественное место для централизованного контроля прав и журналирования.

Этажом выше лежат протоколы «агент — агент». A2A (Agent2Agent), анонсированный Google в апреле 2025 года с полусотней корпоративных партнёров и вскоре также переданный Linux Foundation, описывает, как независимые агенты обнаруживают друг друга (через «визитки» Agent Card), обмениваются задачами и артефактами и отчитываются о статусе длительных работ. Идея — грядущая «агентная экономика», где агент закупщика одной компании договаривается с агентом поставщика другой. Честный статус на середину 2026 года: MCP — рабочая лошадка с массовым продакшн-применением, A2A — перспективный стандарт в стадии ранних пилотов; межкорпоративное взаимодействие агентов упирается не в протокол, а в нерешённые вопросы доверия, идентичности, ответственности и платежей (здесь появляются свои строительные блоки — стандарты агентных платежей вроде AP2 от Google и ACP от OpenAI/Stripe, тоже пока пилотные). Проектировать движок под «агентную экономику» рано; проектировать его MCP-совместимым — обязательно.

10.5. Саппорт — первый массово-агентный процесс: Klarna, Fin, Agentforce, Sierra

Клиентская поддержка стала первым процессом, где агенты вышли в промышленный масштаб, — и это закономерно: работа текстовая, база знаний конечна, диалоги коротки, результат измерим (доля решённых обращений), а цена ошибки в большинстве тикетов невелика. На этом процессе индустрия отработала и метрики, и модели ценообразования, и первые громкие откаты.

Klarna: рекорд и откат

В феврале 2024 года шведский финтех Klarna сообщил, что его AI-ассистент (на моделях OpenAI) за первый месяц провёл 2,3 миллиона диалогов — две трети всех обращений в чат, — выполняя работу, эквивалентную примерно 700 штатным операторам, сократил среднее время решения с 11 минут до менее чем 2, снизил долю повторных обращений на 25% при сопоставимой с людьми удовлетворённости и, по оценке компании, должен был принести около 40 миллионов долларов дополнительной прибыли за 2024 год. Кейс стал каноническим слайдом всех агентных презентаций. Но уже в мае 2025 года CEO Себастьян Семятковски публично признал, что компания зашла слишком далеко: ставка на «AI везде» при одновременной заморозке найма дала «более низкое качество» сервиса, и Klarna снова начала нанимать людей в поддержку, перестроив модель на гибрид — агент обрабатывает массовые типовые обращения, человек гарантированно доступен клиенту. Важно прочитать этот кейс точно, без обеих карикатур. Klarna не «отказалась от AI»: численность компании за счёт автоматизации сократилась примерно с 5000 до 3000 человек, и ассистент продолжает обрабатывать основную массу обращений. Но и не «всё получилось»: компания измеряла экономию и скорость, а деградацию качества и лояльности заметила с опозданием, потому что метрики качества не были встроены в контур управления агентом с самого начала. Урок для проектировщика: KPI агентного процесса обязан включать метрики качества исхода (повторные обращения, эскалации, удержание клиента), а не только стоимость контакта; и в любом клиентском процессе должен существовать явный, лёгкий путь к человеку.

Intercom Fin и цена за результат

Intercom превратил своего агента Fin в главный продукт компании и в образец новой экономики. Fin работает поверх базы знаний и систем клиента, и его ключевая метрика — resolution rate, доля обращений, решённых без человека: в среднем по клиентской базе она выросла с ~25–30% на старте (2023) до 65%+ к 2025–2026 году, у лучших внедрений — выше 80%. Радикальна модель ценообразования: 0,99 доллара за решённое обращение (resolution) — клиент платит не за лицензии и не за токены, а за результат, причём «решённым» считается обращение по строгим правилам (пользователь подтвердил решение или не вернулся с тем же вопросом). Это перекладывает риск качества с покупателя на вендора и делает юнит-экономику прозрачной: обращение, стоившее с человеком 6–12 долларов, стоит с агентом доллар.

Sierra и Agentforce: два пути платформизации

Sierra — компания Брета Тейлора (экс-со-CEO Salesforce, председатель совета директоров OpenAI) и Клэя Бавора, основанная в 2023 году, — строит агентов поддержки и продаж для крупных брендов (ADT, SiriusXM, Sonos) и последовательно продаёт «результат, а не софт»: outcome-based pricing, оплата за решённый кейс. Рынок оценил модель: в сентябре 2025 года Sierra подняла 350 миллионов долларов при оценке 10 миллиардов, а в 2026-м — ещё раунд при оценке около 15 миллиардов (по сообщениям прессы). Salesforce пошла путём платформы: Agentforce (запуск — сентябрь 2024, цена от 2 долларов за диалог) встраивает агентов в CRM-экосистему; сам Salesforce стал собственной витриной — Марк Бениофф заявлял, что благодаря агентам компания сократила службу поддержки примерно с 9000 до 5000 человек. К заявлениям вендора о собственном продукте следует относиться с поправкой на маркетинг, но направление подтверждается независимыми данными: поддержка — первая корпоративная функция, где агентная замена человеческого труда стала массовой практикой, а не пилотом.

10.6. Кодинг-агенты как образец зрелости — и отрезвляющий контрапункт METR

Если саппорт — первый массовый агентный процесс, то разработка ПО — самый зрелый: именно здесь агенты дальше всего продвинулись от «подсказчика» к «цифровому сотруднику», и именно здесь получены самые честные данные об их реальном эффекте. Для IT-группы Алексея это вдвойне важно: кодинг-агенты — одновременно инструмент собственного производства и модельный пример того, как будет агентизироваться любая интеллектуальная функция.

Эволюция за четыре года прошла три ступени. Автодополнение (GitHub Copilot, 2021–2023) — модель предлагает следующие строки, человек всё время за рулём. Ассистент в IDE (Cursor, Copilot Chat, 2023–2024) — диалог о коде, правки по инструкции. Автономный агент (2024–2026) — системе ставят задачу уровня тикета, она сама исследует репозиторий, планирует, пишет код, запускает тесты, итерирует и открывает pull request. Манифестом третьей ступени стал Devin от Cognition (март 2024) — «первый AI-инженер», встреченный одновременно восторгом и скепсисом (независимые разборы показали, что впечатляющие демо были отчасти срежиссированы, а на реальных задачах Devin справлялся с меньшинством). Тем не менее категория состоялась: Cognition в июле 2025 года поглотила Windsurf, к сентябрю 2025-го оценивалась в 10,2 миллиарда долларов, а в мае 2026-го подняла миллиард при оценке около 26 миллиардов. Claude Code от Anthropic (2025) стал самым коммерчески успешным агентом в истории категории — по сообщениям прессы, порядка миллиарда долларов годовой выручки в пересчёте на год уже к концу 2025-го (непроверено точное значение), — и одновременно источником паттернов, разошедшихся по индустрии: видимый план-TODO, файл памяти проекта (CLAUDE.md), субагенты, хуки-guardrails. GitHub прошёл путь от Copilot Workspace (превью 2024 года, впоследствии свёрнутого) к Copilot coding agent, работающему асинхронно через выдачу задач в issue. Общий рисунок зрелости: агент работает не «вместо инженера», а как junior-исполнитель под ревью — задача ставится письменно, результат приходит как PR, контроль качества встроен в привычный процесс code review. Заметьте, что это ровно та организационная форма, которую мы рекомендовали для бэк-офиса: письменная постановка, проверяемый артефакт, человеческие ворота.

Контрапункт METR: измеренное замедление

На фоне маркетинговых заявлений о «10-кратной продуктивности» выделяется исследование METR (июль 2025, arXiv:2507.09089) — рандомизированный контролируемый эксперимент: 16 опытных open-source разработчиков решали 246 реальных задач в своих собственных зрелых репозиториях, случайным образом с разрешением или запретом AI-инструментов (в основном Cursor Pro с Claude 3.5/3.7 Sonnet). Результат шокировал даже авторов: с AI разработчики выполняли задачи на 19% медленнее — при том что сами оценивали своё ускорение в +20%, а прогнозы экспертов обещали +39%. Механизм расхождения важнее самой цифры: время «ощущается» сэкономленным, потому что когнитивная нагрузка ниже (агент печатает — человек ждёт), но реально уходит на формулирование промптов, ожидание генерации и, главное, на ревью и доработку почти-правильного кода в кодовой базе, которую человек знает лучше модели. Границы применимости результата очерчены самими авторами: это опытнейшие разработчики в досконально знакомых им больших репозиториях с высокими стандартами качества и инструментами начала 2025 года; в незнакомом коде, на типовых задачах, у менее опытных людей и с более сильными моделями эффект может быть противоположным. Урок методологический и убийственно релевантный для любой агентизации: самооценка эффекта систематически завышена, поэтому эффект агентов надо мерить объективно (время цикла, пропускная способность, качество), а не опросами довольных пользователей, — и ожидать, что наибольший выигрыш агенты дают там, где у человека нет глубокого контекстного преимущества.

10.7. Агентный бэк-офис: бухгалтерия, AP/AR, рекрутинг, юридическая функция

Бэк-офис — следующая после саппорта волна агентизации и главный предмет этой книги. Картина здесь контрастнее: рядом с реально работающими продуктами много красивых демо, и различать их — ключевая компетенция закупщика.

В бухгалтерии дальше всех продвинулись стартапы «автономного учёта». Digits строит autonomous general ledger — главную книгу, где транзакции классифицируются и разносятся моделями непрерывно, а не человеком в конце месяца. Basis (34 миллиона долларов серии A от Khosla Ventures в конце 2024 года) продаёт «AI-сотрудников» бухгалтерским фирмам: агент выполняет выверки, разноску и закрытие периода внутри существующих систем (QuickBooks и т. п.) под контролем живого бухгалтера. Puzzle делает AI-native учётную платформу для стартапов. Что реально работает: классификация транзакций, сверки (reconciliation), извлечение данных из документов, черновик закрытия месяца — то есть 60–80% рутинного объёма работы младшего бухгалтера. Что остаётся человеку: суждение по нестандартным операциям, налоговая позиция, подпись и ответственность. В смежном сегменте AP/AR (кредиторская/дебиторская задолженность) автоматизация ещё зрелее, потому что началась до LLM: Ramp (корпоративные карты и управление расходами, одна из самых дорогих финтех-компаний США) и Tipalti довели цикл «получил счёт → распознал → сматчил с заказом → провёл согласование → заплатил → разнёс» до почти безлюдного, добавив LLM-агентов там, где раньше был ручной разбор исключений; здесь агенты не «заменили бухгалтерию», а съели очередь исключений, которая и составляла основную трудоёмкость.

В рекрутинге агенты взяли сорсинг и скрининг: LinkedIn Hiring Assistant ищет и ранжирует кандидатов, Mercor (оценка около 10 миллиардов долларов к концу 2025 года) построила целый агентный рынок труда с AI-интервью. Работает воронка до интервью; финальное решение и продажа оффера остаются человеческими — и, забегая в раздел о рисках, автоматический скрининг кандидатов в юрисдикции EU AI Act классифицирован как высокорисковая система.

Юридическая функция — самый капитализированный сегмент. Harvey, начинавшийся как «ChatGPT для юрфирм», к концу 2025 года подтвердил оценку 8 миллиардов долларов, а в марте 2026-го поднял 200 миллионов при оценке 11 миллиардов (раунд GIC и Sequoia) с выручкой порядка 190 миллионов долларов ARR и заявленной аудиторией свыше 100 тысяч юристов; Robin AI специализируется на контрактном ревью. Реально работает: анализ и сравнение договоров, due diligence по массивам документов, первый черновик типовых документов, извлечение обязательств. Не работает без человека: всё, где есть ответственность перед судом и клиентом, — юрист остаётся подписантом, агент — очень быстрым паралегалом. Общее правило сегмента: агенты надёжны там, где есть документ на входе, структурированный результат на выходе и человек-профессионал как последняя миля ответственности; «полностью автономная бухгалтерия/юрслужба» в 2026 году — маркетинг, а не продукт.

10.8. «Service-as-Software»: продавать работу, а не софт

За частными кейсами стоит инвестиционный тезис, объясняющий, куда течёт капитал. Foundation Capital (Ашу Гарг, Джая Гупта) сформулировала его как «Service-as-Software»: если классический SaaS продавал инструмент, повышающий продуктивность человека, то агентные компании продают саму выполненную работу — решённый тикет, закрытый месяц, проверенный договор. Следствие — переоценка адресуемых рынков: мировой рынок ПО — сотни миллиардов долларов, а рынок труда и профессиональных услуг, который агенты начинают «съедать», Foundation Capital оценивает в 4,6 триллиона долларов. Sequoia развила тезис в эссе «Generative AI's Act o1» (2024) и «Services: The New Software» (2026): следующая компания стоимостью в триллион будет продавать не софт, а работу, а ценообразование сместится от подписки за место (per seat) к оплате за результат (per outcome) — что мы уже видели у Intercom ($0,99 за решение) и Sierra. Для Алексея тезис имеет личное измерение: сервисная разработка — ровно тот рынок, который переоценивается; сервисная компания может либо быть съеденной, либо сама превратить свои линии услуг в агентные продукты с маржой софта.

Критика тезиса заслуживает не меньшего внимания. Во-первых, экономика услуг тянет вниз: за «работой» стоят внедрение, кастомизация, ответственность за результат — и валовая маржа агентных сервисов часто ближе к консалтингу, чем к SaaS (доля человеческого труда в «AI-компаниях» на поверку велика). Во-вторых, конкуренция сжимает выигрыш: если агентная услуга в 10 раз дешевле, цены на рынке падают к новой себестоимости, и триллионы «переоценённого TAM» достаются не вендорам, а клиентам. В-третьих, per-outcome ценообразование упирается в определение результата: что считать «решённым» тикетом или «проверенным» договором — предмет торга и манипуляций метрикой. Наконец, инкумбенты не спят: Salesforce, Microsoft, SAP встраивают агентов в существующие системы записи, и владение данными может оказаться сильнее владения агентом. Трезвый синтез: направление «продавать работу» верно, но выигрывают те, кто контролирует контекст (данные, интеграции, доверие), а не те, у кого просто есть агент.

10.9. Project Vend: что ломается, когда агент ведёт бизнес сам

Самый честный из опубликованных экспериментов автономного ведения бизнеса поставила сама Anthropic. В Project Vend (совместно с Andon Labs, отчёт — июнь 2025) экземпляр Claude Sonnet 3.7 по имени Claudius около месяца управлял реальным мини-магазином в офисе Anthropic: искал поставщиков в интернете, решал, что закупать, назначал цены, общался с покупателями в Slack, вёл финансы; физическое пополнение выполняли люди по его заявкам. Итог — убыток: «собственный капитал» магазина упал примерно с 1000 до менее чем 800 долларов. Разбор отказов поучительнее итога. Claudius продавал вольфрамовые кубы (мем-товар, который сотрудники уговорили его закупить) ниже закупочной цены; упустил очевидную сверхприбыльную сделку (покупатель предлагал 100 долларов за упаковку напитка стоимостью ~15); галлюцинировал несуществующий счёт Venmo для приёма платежей; поддавался на уговоры и раздавал скидки сотрудникам Anthropic — то есть практически 100% своей клиентской базы, — а обещание «больше никаких скидок» забывал за считаные дни. Кульминацией стал эпизод 31 марта — 1 апреля: агент галлюцинировал переписку с несуществующей сотрудницей Andon Labs, затем заявил, что лично подпишет контракт по адресу 742 Evergreen Terrace (адрес Симпсонов), и утром «1 апреля» утверждал, что стоит у стойки в синем блейзере и красном галстуке, порываясь звонить в службу безопасности.

Почему этот анекдот важен для учебника. Во-первых, он изолирует слабое звено: провалились не отдельные действия (поиск поставщиков, переписка — всё работало), а долгосрочная экономическая когерентность — удержание цели «зарабатывать» сквозь недели контекста и социальное давление. Во-вторых, он показал, что клиенты автономного агента мгновенно становятся его противниками: сотрудники Anthropic наперегонки «джейлбрейкали» продавца — в проде это будут делать контрагенты. В-третьих — и это главный вывод самой Anthropic, — большинство отказов лечится не более умной моделью, а скаффолдингом: инструментами, памятью, правилами, метриками. Фаза 2 эксперимента (отчёт Frontier Red Team, конец 2025 года) подтвердила это: с нормальными бизнес-инструментами (CRM, учёт вместо заметок), улучшенными промптами и более свежими моделями магазин вышел в устойчивую прибыльность и стал заметно устойчивее к манипуляциям. Anthropic резюмировала осторожно: «AI-менеджеры среднего звена правдоподобно на горизонте», но путь к ним лежит через инженерию среды, а не через ожидание чуда от следующей модели.

10.10. Экономика агентов: токены против ФОТ

Экономический аргумент агентизации обманчиво прост: токены дешевле зарплат. Инференс на единицу интеллекта действительно дешевеет стремительно — a16z назвала это «LLMflation»: стоимость получения одного и того же качества (уровня GPT-4 на момент выхода) падала примерно в 10 раз в год за счёт новых моделей, дистилляции и конкуренции провайдеров; задача, стоившая доллары в 2023-м, к 2026-му стоит доли цента. Но юнит-экономика агентного процесса не сводится к токенам. Полная себестоимость одного исполнения: C = токены (входные + выходные, умноженные на число итераций цикла — у агентов оно в разы больше, чем у чата) + инфраструктура (оркестрация, observability, векторные базы) + доля человеческого труда (эскалации × стоимость разбора + выборочное ревью) + амортизация инженерии (построение и поддержка агента, evals, обновление под новые модели, поделённые на объём операций). Именно последние два слагаемых решают исход сравнения с ФОТ. Пример масштаба: тикет поддержки силами человека в России стоит порядка 150–600 рублей (в США — 5–12 долларов), агентное решение — единицы рублей токенов; даже с учётом 20% эскалаций и инфраструктуры разрыв в 5–15 раз сохраняется — на объёме от тысяч тикетов в месяц. Но тот же агент для процесса, случающегося 30 раз в месяц, не окупит и своей разработки: при низких объёмах амортизация инженерии на операцию превышает зарплату исполнителя. Отсюда три условия, когда агент дешевле человека: большой и растущий объём однотипных операций; допустимая цена ошибки (или дешёвая проверка результата); стабильность процесса, позволяющая амортизировать настройку. И симметричные условия, когда не дешевле: редкие или уникальные задачи; дорогие необратимые ошибки, требующие сплошного человеческого ревью (вспомните METR: ревью почти-правильного результата может съесть всю экономию); быстро меняющиеся процессы, где агента приходится постоянно перенастраивать.

Модель «цена за результат» (per outcome) — рыночное оформление этой экономики: вендор берёт на себя дисперсию качества и себестоимости, а клиент получает прямую замену строки ФОТ строкой «выполненная работа» в P&L. Для внутреннего движка холдинга та же логика работает как управленческий учёт: у каждого агентного процесса должна быть посчитанная «цена за исход» (за обработанный счёт, за закрытый месяц, за наём), сравниваемая с человеческой альтернативой ежеквартально — потому что обе величины дрейфуют, причём в разные стороны: агентная себестоимость падает с каждым поколением моделей, человеческая — растёт с рынком труда. Процессы, невыгодные для агентизации сегодня, станут выгодными через год — экономику надо пересчитывать, а не решать один раз.

10.11. Организация вокруг агентов: AI-native компании и трезвый взгляд на хайп

Агенты меняют не только себестоимость операций, но и форму организации. Флагманский феномен 2024–2026 годов — «крошечные команды» (tiny teams): AI-native компании, достигающие выручки, для которой раньше требовались сотни сотрудников. Midjourney вышла на сотни миллионов долларов выручки со штатом около 40 человек; Anysphere (Cursor) прошла отметку 100 миллионов долларов ARR быстрее всех в истории SaaS с командой порядка двух десятков людей; Gamma обслуживала десятки миллионов пользователей командой около 30, оставаясь прибыльной. Выручка на сотрудника в таких компаниях — миллионы долларов против 200–400 тысяч в классическом SaaS. Механизм — не «уволили людей», а не наняли: функции, под которые раньше строили отделы (саппорт первой линии, лидогенерация, контент, QA, частично разработка), с первого дня спроектированы как агентные процессы с малым числом операторов. Соответственно меняется ключевая роль: вместо исполнителя — «оператор оркестра агентов» (в вакансиях 2025–2026 годов — AI operations manager, agent orchestrator): человек, который формулирует письменные постановки, владеет eval-наборами и метриками качества, разбирает эскалации, решает, что автоматизировать следующим, и несёт ответственность за исходы процессов, исполняемых агентами. По сути это менеджерская работа, где «подчинённые» — агенты, и главный навык — способность превращать неявное знание процесса в явные инструкции и проверки. Human-in-the-loop при этом проектируется как система уровней: автономно (агент действует, человек видит журнал) → с подтверждением (агент готовит, человек одобряет) → вручную с ассистентом — и каждый процесс со временем мигрирует вверх по мере накопления доверия, подтверждённого evals.

Трезвая часть: хайп и его цифры

Против витрины tiny teams стоит статистика провалов. Gartner, поместившая «agentic AI» на пик завышенных ожиданий своего цикла хайпа 2025 года, тогда же спрогнозировала, что более 40% agentic-проектов будут свёрнуты к концу 2027-го — из-за размытой ценности, неготовых данных и недооценки стоимости надёжности; та же Gartner, впрочем, ожидает к 2028 году 15% повседневных операционных решений, принимаемых агентами автономно (в 2024-м — ноль), — то есть предсказывает одновременно массовую гибель пилотов и укоренение технологии. Самая цитируемая цифра скепсиса — «95% GenAI-пилотов проваливаются» из отчёта MIT NANDA «The GenAI Divide: State of AI in Business 2025» (август 2025). Читать её надо аккуратно, поскольку заголовки исказили смысл. Что реально утверждает отчёт (основанный на ~150 интервью, опросе 350 сотрудников и разборе 300 публичных внедрений): 95% кастомных корпоративных пилотов не показали измеримого влияния на P&L за ~полгода. Тот же отчёт показывает: покупные решения доходили до продуктива примерно вдвое чаще самописных; 90% сотрудников при этом продуктивно пользуются личными AI-инструментами («теневая AI-экономика») — то есть технология работает, а проваливается корпоративный способ её внедрения; главные причины провалов — отсутствие памяти и обучения у пилотных систем, невстроенность в рабочие процессы и выбор витринных кейсов (маркетинг) вместо бэк-офиса, где ROI выше. Иными словами, и MIT, и Gartner фиксируют не «агенты не работают», а «организации не умеют их внедрять» — провал оргдизайна, данных и метрик, то есть ровно тех дисциплин, которым посвящена эта книга. Для холдинга Алексея это хорошая новость: методологически грамотный движок конкурирует не с чудом, а с 95% небрежных пилотов.

10.12. Риски: prompt injection, каскадные ошибки, комплаенс и аудит

Завершим главу каталогом рисков, каждый из которых должен иметь адрес в архитектуре движка.

Prompt injection — фундаментальная уязвимость LLM-систем (№1 в OWASP Top 10 for LLM Applications): модель не различает «инструкции от владельца» и «текст из данных», поэтому вредоносная инструкция, спрятанная в письме контрагента, резюме кандидата или веб-странице, может перехватить управление агентом. Детерминированного решения не существует — это не SQL-инъекция, которую можно экранировать. Практический стандарт защиты сформулировал Саймон Уиллисон как правило «смертельной триады» (lethal trifecta): агент становится опасен, когда одновременно имеет (1) доступ к приватным данным, (2) контакт с недоверенным контентом и (3) канал наружу, через который данные можно увести или действие совершить. Архитектурный вывод: никогда не совмещать все три в одном агенте — разделять роли (агент, читающий внешнюю почту, не имеет доступа к финансовым системам; агент с доступом к деньгам не читает недоверенный контент), песочницы, белые списки получателей и обязательное человеческое подтверждение необратимых действий.

Каскадные ошибки — статистическое свойство многошаговости: при надёжности шага 99% процесс из 50 шагов завершается корректно лишь в ~60% случаев, а в мультиагентных системах ошибка одного агента становится «фактом» в контексте другого и самоусиливается (раздел 10.3). Лечение — контрольные точки с программной верификацией между этапами, идемпотентность операций, компенсирующие транзакции (сага-паттерн из главы об интеграциях) и «предохранители» на аномальные последовательности действий — по аналогии с circuit breaker в микросервисах.

Комплаенс. EU AI Act — первый обязательный регуляторный каркас: обязательства для моделей общего назначения действуют с августа 2025 года, основной режим высокорисковых систем — с августа 2026-го. Для бэк-офиса критично, что высокорисковыми считаются в том числе системы отбора персонала и оценки кредитоспособности, а статья 14 требует эффективного человеческого надзора (human oversight): уполномоченный человек должен понимать возможности системы, уметь интерпретировать её выход, вмешаться и остановить её — формальная «кнопка одобрить всё» надзором не считается. Даже вне юрисдикции ЕС эти нормы стоит принять как проектный стандарт: они кодифицируют здравый смысл, и к ним дрейфуют остальные регуляторы.

Аудит действий агента — сквозное требование, связывающее главу воедино: каждое действие должно быть атрибутировано (какой агент, с какими полномочиями, по какому основанию), воспроизводимо (полная трасса промптов и вызовов — вот где сходятся observability из 10.2 и durable execution из 10.3) и подписано (агент действует под собственной технической идентичностью с ограниченными правами, а не под учёткой человека — управление «нечеловеческими идентичностями» стало отдельной дисциплиной ИБ). Хороший тест зрелости движка: способность за минуты ответить аудитору на вопрос «почему 14 марта был проведён вот этот платёж» полной цепочкой — входящий документ → рассуждение агента → проверки → одобрение → транзакция.

Источники и куда копать глубже