Агентный ИИ: когда система ИИ может планировать, использовать инструменты и действовать

Агентный ИИ — это система ИИ, в которой модель может преследовать цель на протяжении нескольких шагов, решая, что делать дальше, используя инструменты или другие возможности, наблюдая за результатами, обновляя своё рабочее состояние и продолжая до достижения условия остановки. Сама модель не является агентом. Работоспособному агенту также нужна среда выполнения или обвязка, которая управляет контекстом, выполнением инструментов, состоянием, разрешениями, согласованиями, ошибками и циклом между решениями и наблюдениями.

Что на самом деле означает агентный ИИ

Важный сдвиг от обычного генеративного ИИ к агентному ИИ — это контроль над процессом. Обычный ассистент может ответить на вопрос, используя полученный контекст. Агент может решить, что для ответа требуются дополнительные шаги: проверить файл, выполнить поиск в репозитории, запросить API, попросить уточнение, запустить тест, обновить тикет, делегировать подзадачу или повторить попытку после неудачного действия.

Это не требует неограниченной автономии. Агент может работать внутри узкой песочницы, под строгими разрешениями, с обязательным согласованием перед каждым значимым действием. Система всё равно остаётся агентной, если модель динамически выбирает среди разрешённых следующих шагов.

Поэтому архитектура важнее ярлыка. «Агент» должен описывать поведение системы: итеративное принятие решений на основе модели над инструментами, состоянием и обратной связью — а не просто чат-бота с более крупным промптом.

Простейший пример

Предположим, разработчик спрашивает систему ИИ: «Найди, почему набор тестов падает, и исправь ошибку». Одиночный вызов модели мог бы лишь предложить вероятные причины на основе данного ей текста.

Агентная система программирования может проверить репозиторий, найти падающий тест, прочитать соответствующие файлы, предложить изменение, отредактировать код, запустить тест, наблюдать сбой, пересмотреть реализацию и снова запустить тест.

Агентная часть состоит не просто в наличии инструментов оболочки и файлов. Она в том, что модель может использовать обратную связь от среды, чтобы выбрать следующий шаг, вместо следования одной полностью предопределённой последовательности.

Где останавливается простой пример

Не каждая многошаговая система ИИ является в равной степени агентной. Рабочий процесс может использовать несколько вызовов LLM и инструментов, при этом каждый шаг предопределён в коде. Другая система может позволить модели решать, какой инструмент вызвать, в каком порядке, сколько раз и когда остановиться.

Оба варианта могут быть полезны. Разница в том, где находится контроль. Предопределённые рабочие процессы передают больше контроля в код приложения. Агенты переносят больше тактических решений о процессе в цикл модель/среда выполнения.

Агент против рабочего процесса

Anthropic явно разделяет эти два паттерна: рабочие процессы оркеструют модели и инструменты через предопределённые пути кода, тогда как агенты позволяют моделям динамически управлять собственными процессами и использованием инструментов. Это не единственная возможная терминология, но это полезная архитектурная граница.

Агентное поведение — это спектр, а не бинарный ярлык

Называть каждую систему выше «агентом» может скрыть важные операционные различия. Чем сильнее контроль модели над последовательностью, длительностью и действиями, тем важнее становятся изоляция среды выполнения, разрешения, трассировка, условия остановки и оценка траектории.

Минимальная архитектура агентной системы

Модель — это не агент

Языковая модель производит выводы из входных данных. Сама по себе она не владеет файловой системой, не выполняет команды оболочки, не поддерживает долговременное состояние задачи, не обеспечивает соблюдение разрешений и не вызывает себя автоматически снова.

Эти возможности исходят от окружающей среды выполнения. Одна и та же модель может вести себя как простая чат-модель в одном приложении и как движок принятия решений внутри цикла агента в другом.

Использование инструментов центрально — но само по себе использование инструментов не делает систему агентом

Инструменты позволяют модели получать информацию и воздействовать на внешние системы. Примеры включают чтение базы данных, файловые операции, выполнение команд оболочки, веб-поиск, управление браузером, вызовы API, обновление тикетов или делегирование специализированным агентам.

Одиночный вызов модели может использовать один инструмент и всё же оставаться ограниченным ответом с поддержкой инструментов, а не долгоработающим агентом. Агентное поведение появляется, когда наблюдения инструментов питают адаптивный цикл, в котором модель выбирает, что делать дальше.

Дизайн инструментов важен, потому что инструменты — это контракт между рассуждением модели и внешней реальностью. Неоднозначные или пересекающиеся инструменты создают ошибки маршрутизации; большие неструктурированные выводы загрязняют контекст; инструменты с широкими побочными эффектами увеличивают радиус поражения.

Возможность инструмента, разрешение и полномочия — это разные вещи

Эти слои часто сливаются в прототипах. Модель видит инструмент возврата средств и поэтому кажется способной выдавать возвраты. В продакшене инструмент всё равно должен независимо от запроса модели проверять счёт, пользователя, транзакцию, сумму, политику и условия согласования.

Среда выполнения или обвязка — это фактическая система исполнения

Текущая документация OpenAI по агентам явно выделяет различие сред выполнения. Разные среды выполнения могут управлять оркестрацией, состоянием, инструментами, песочницами и исполнением в разных местах, тогда как модель остаётся лишь одной частью системы.

Agents SDK описывает цикл, который многократно вызывает текущую модель, проверяет вывод, выполняет запрошенные инструменты или передачи управления и продолжается, пока модель не вернёт окончательный ответ или не достигнет другой реальной точки остановки.

Это означает, что решения об архитектуре агента включают: где выполняется оркестрация, где хранится состояние, кто выполняет инструменты, какая песочница содержит побочные эффекты и кто отвечает за повторные попытки, тайм-ауты и возможность возобновления.

Планирование полезно, но явный план не обязателен

Агентов часто описывают как системы, которые «планируют». На практике планирование может быть явным или неявным. Агент может сначала создать видимый многошаговый план или выбирать по одному следующему действию за раз и пересматривать его после каждого наблюдения.

Для задач с высокой неопределённостью краткосрочное планирование может быть безопаснее, поскольку среда может сделать длинный план недействительным. Архитектурное требование — это способность выбирать и пересматривать действия на основе цели, текущего состояния и новых данных.

Обратная связь от среды делает цикл полезным

Агент становится операционно значимым, когда может наблюдать, сработало ли его действие. Вывод инструментов, результаты тестов, ответы API, состояние файловой системы, состояние браузера и записи приложений предоставляют внешние доказательства, которые система может использовать для пересмотра своего следующего решения.

Руководство Anthropic по агентам подчёркивает этот цикл обратной связи: агенты используют инструменты, получают достоверные данные из среды, оценивают прогресс и продолжают работу или запрашивают ввод человека.

Состояние агента — это не то же самое, что контекст модели

Длительная задача может требовать состояния, которое не может или не должно оставаться в контексте модели: идентификаторы задач, контрольные точки, артефакты, одобрения, идентификаторы внешних объектов, счётчики повторных попыток и статус рабочего процесса.

Среда выполнения может сохранять это долговременное состояние вне окна модели и восстанавливать контекст, необходимый для следующего шага. Это позволяет держать видимый модели контекст сфокусированным, сохраняя непрерывность и возможность возобновления.

Память необязательна и не является определением агента

Агент может успешно работать без долговременной памяти, если вся задача помещается в один ограниченный запуск. Память становится полезной, когда информация должна сохраняться между сессиями, задачами или длительными горизонтами выполнения.

RAG, память, состояние и контекст решают разные задачи. Рассмотрение векторной базы данных как «памяти агента» или истории диалога как «машины состояний» обычно скрывает важные границы жизненного цикла и полномочий.

Инженерия контекста становится динамичной в агентах

Каждый вызов инструмента может порождать новый контекст. Каждый шаг также может сделать предыдущую информацию устаревшей. Поэтому сильная среда выполнения агента перестраивает или курирует контекст по мере выполнения, а не воспроизводит всё бесконечно.

Определения инструментов, состояние задачи, извлечённые данные, наблюдения и память конкурируют за внимание модели. Долго работающим агентам нужны обрезка, сжатие или загрузка по требованию, чтобы контекст оставался релевантным текущему решению.

Инструменты чтения и инструменты с побочными эффектами имеют разный риск

Человек в цикле — это механизм контроля, а не противоположность агентному ИИ

Агент не перестаёт быть агентным из-за того, что человек одобряет значимые шаги. Модель по-прежнему может автономно исследовать, рассуждать, искать и готовить действие, пока среда выполнения требует подтверждения человека перед выполнением.

Текущие рекомендации OpenAI по безопасности агентов явно советуют одобрения для операций с инструментами в рабочих процессах с повышенным риском. Anthropic также подчёркивает контрольные точки и человеческое суждение там, где агенты сталкиваются с препятствиями или значимыми решениями.

Полезный архитектурный вопрос не «человек или автономность?», а какие решения можно делегировать, какие требуют проверки и какие должны оставаться детерминированными?

Агентам нужны явные условия остановки

Восстановление — часть поведения агента

Агенты работают в средах, которые дают сбои: API истекают по таймауту, файлы меняются, учётные данные истекают, веб-страницы перемещаются, а инструменты возвращают некорректный вывод. Поэтому полезная агентная система нуждается в поведении восстановления, а не только в цикле инструментов по счастливому пути.

Восстановление может включать повтор с ограничениями, выбор другого инструмента, повторное чтение текущего состояния, запрос к пользователю, откат частичного действия или эскалацию к человеку.

Повторные попытки также требуют учёта идемпотентности. Повтор чтения обычно малорискован; повтор платежа или отправки сообщения может создать дублирующие побочные эффекты.

Агентный ИИ не требует нескольких агентов

Один агент с чётким набором инструментов часто проще и легче для оценки, чем мультиагентная архитектура. Несколько агентов полезны, когда специализация существенно улучшает изоляцию инструментов, изоляцию политик, ясность промпта, ответственность или читаемость трассировки.

Текущие рекомендации OpenAI по оркестрации явно советуют по возможности начинать с одного агента и добавлять специалистов только тогда, когда контракт или граница ответственности существенно меняются.

Мультиагентные системы добавляют новые проблемы: качество делегирования, дублирование контекста, конфликтующее состояние, семантика передачи управления, идентичность, стоимость и обработка распределённых сбоев.

Агентные протоколы — это слои взаимодействия, а не сам агент

Такие протоколы, как MCP и A2A, могут сделать агентную архитектуру совместимой, но они сами по себе не создают цикл агента. MCP может предоставлять инструменты и ресурсы. A2A может соединять независимо реализованных агентов. Приложению всё ещё нужны среда выполнения, авторизация, состояние, оценка и доменная логика.

Именно поэтому возможности протокола должны оставаться отдельными от бизнес-полномочий. Обнаружение инструмента через MCP не доказывает, что текущему субъекту разрешено его использовать. Получение задачи через A2A не доказывает, что удалённый агент может выполнить каждое запрошенное действие.

Траектория — часть надёжности агента

Финального ответа недостаточно как доказательства для агентной системы, потому что агент может прийти к правильному результату через небезопасный или недопустимый путь. Он может использовать неавторизованный инструмент, пропустить обязательную проверку, повторить побочный эффект, опереться на устаревшее состояние или случайно добиться успеха.

Поэтому оценка требует трассировок выполнения: решений, вызовов инструментов, одобрений, наблюдений, изменений состояния и итогового результата. Текущие рекомендации OpenAI по безопасности советуют использовать оценщиков трассировок и evals; руководство Anthropic 2026 года по оценке агентов аналогично рассматривает многошаговые траектории использования инструментов как полноценные объекты оценки.

Более сильный вопрос о надёжности звучит так: достиг ли агент приемлемого результата через приемлемую, восстановимую и аудируемую траекторию?

Агентные системы увеличивают поверхность безопасности

Наблюдаемость агента должна следовать за циклом

Традиционная наблюдаемость сервисов фиксирует запросы, задержку и ошибки. Наблюдаемости агента нужна дополнительная модель выполнения: какой агент был активен, какая версия модели приняла решение, какой контекст был доступен, какой инструмент был выбран, какие аргументы были отправлены, какой результат вернулся и почему выполнение остановилось.

Для чувствительных систем сами трассировки требуют контроля доступа и политики хранения, потому что промпты, выводы инструментов и артефакты могут содержать конфиденциальные данные.

Как оценивать агентную систему

Когда агент уместен

Надежным подходом по умолчанию является начало с самого простого работающего решения и увеличение агентной сложности только тогда, когда гибкость дает измеримую ценность. Агенты обменивают предсказуемость, задержку и стоимость на адаптивное выполнение.

Доказательства оригинальной реализации

Aaasaasa AI Client: модель, среда выполнения и разрешения разделены

Aaasaasa AI Client явно разделяет агента/клиента, провайдера, модель, расположение среды выполнения и разрешения. Его документация по архитектуре рассматривает разрешения как центральную политику инструментов/рабочего пространства, а не как свойство модели.

Одно и то же приложение может предоставлять Direct Chat без инструментов файловой системы или оболочки, в то время как среда выполнения Codex работает в выбранном рабочем пространстве и профиле разрешений. Это демонстрирует ключевую границу агентной архитектуры: изменение поверхности среды выполнения/инструментов меняет то, что система может делать, даже если доступ к модели остается доступным.

Репозиторий также различает локальную среду выполнения Codex и расположение модели: локальная среда выполнения может вызывать облачную модель. Это предотвращает распространенную ошибку отождествления «агент работает локально» с «вывод выполняется локально».

Реализация отключает встроенные пути выполнения, семантика одобрения которых не удовлетворяет требуемой модели разрешений. Это поддерживает принцип, согласно которому возможности агента не должны обходить авторизацию среды выполнения только потому, что базовая платформа может выполнять инструменты.

Source of Truth Research Engine: ограниченные агентные этапы исследования

Source of Truth Research Engine использует ограниченный конвейер исследований: обнаружение → получение → извлечение → проверка → противоречие → синтез. Задания исследования могут выполняться через среду выполнения ИИ, в то время как доказательства, источники, утверждения и противоречия остаются во внешнем постоянном хранилище.

Это намеренно более контролируемо, чем неограниченный автономный исследовательский агент. Этапы обеспечивают ограничения в отношении того, какая работа должна выполняться следующей, при этом позволяя управляемое моделью исследование внутри каждой ограниченной задачи.

Это различие является полезным доказательством для проектирования агентов: автономия может быть помещена внутрь структурированного конверта доставки, а не применяться единообразно ко всему процессу.

Распространенные режимы отказа агентного ИИ

Распространенные заблуждения

Практическая последовательность проектирования агента

Контрольный список архитектуры агентного ИИ

Краевые случаи и ограничения

Некоторые системы являются «агентными» лишь в узком смысле маршрутизации: модель выбирает одного специалиста или инструмент, а остальная часть рабочего процесса детерминирована. Это всё ещё может быть полезно, но не следует описывать это как эквивалент долго работающего автономного агента.

В областях с высокими последствиями автономия агента может намеренно ограничиваться. Система ИИ может изучать доказательства, готовить рекомендации и заполнять структурированные формы, в то время как человек остаётся единственным субъектом, которому разрешено совершить финальную транзакцию.

Некоторые среды хорошо подходят для агентов, потому что обратная связь объективна. Агенты для программирования могут запускать тесты; агенты для инфраструктуры могут проверять метрики; агенты для данных могут валидировать результаты запросов. Открытые области со слабой обратной связью требуют более осторожной оценки.

Агент может работать полностью локально, полностью через управляемые облачные сервисы или в гибридной архитектуре. Агентное поведение описывает поток управления, а не место размещения.

Термин «рассуждение» не следует использовать как доказательство того, что внутренний процесс агента корректен. Производственная гарантия должна опираться на наблюдаемые входы, действия, выходы, состояние и оценку, а не на непроверяемые утверждения о скрытых рассуждениях.

Что могло бы изменить этот ответ?

API поставщиков и агентные фреймворки будут продолжать развиваться, но архитектурная граница стабильна: модель предлагает решения, среда выполнения управляет циклом, инструменты соединяются со средой, разрешения ограничивают действия, а внешние наблюдения определяют, что фактически произошло.

По мере того как модели становятся надёжнее, системы могут безопасно делегировать более длинные горизонты или более сложное поведение восстановления. По мере улучшения проверки и авторизации во время выполнения некоторые этапы утверждения могут стать автоматическими. Это изменения уровня автономии, а не изменения фундаментальных слоёв ответственности.

Рекомендуемая архитектура также меняется в зависимости от последствий. Исследовательский агент, который только читает публичные источники, может допускать иные меры контроля, чем агент, который записывает производственную конфигурацию или переводит деньги.

Связанные канонические знания

Агентный ИИ находится над несколькими предварительными слоями: инженерия контекста определяет, что видит модель; архитектура источника истины определяет, какая информация является авторитетной; извлечение предоставляет внешние доказательства; архитектура среды выполнения определяет, что может выполняться.

Нижестоящие узлы включают вызов инструментов, MCP, A2A, идентичность агента, разрешения, аудируемость, участие человека в цикле, оркестрацию, память и многоагентные системы.

Статью о стеке протоколов следует поэтому читать после базовой концепции агента: протоколы стандартизируют границы вокруг агентов; они не определяют само агентное поведение.

Часто задаваемые вопросы

Глоссарий

Заключение

Агентный ИИ — это не просто более умная модель или чат-бот с большим количеством инструментов. Это системная архитектура, в которой модель участвует в итеративном цикле управления: решить, действовать, наблюдать, обновить и продолжить.

Модель обеспечивает гибкое принятие решений, но окружающая среда выполнения должна владеть реальностью исполнения: разрешениями, доступом к инструментам, состоянием, одобрениями, повторными попытками, бюджетами, условиями остановки, трассировкой и проверкой.

Наиболее полезный принцип проектирования поэтому таков: делегируйте тактический выбор модели только внутри явных технических и бизнес-границ. Агентная способность становится производственной способностью только тогда, когда автономия, полномочия и доказательства остаются разделимыми.

Первоисточники и актуальные рекомендации

Приведённые ниже источники поддерживают текущие архитектурные различия между агентами, рабочими процессами, циклами, инструментами, оркестрацией, безопасностью и оценкой. Разделы проекта являются оригинальными доказательствами реализации и явно ограничены тем, что демонстрируют репозитории.