Дайджест Agent Experience. Неделя 10–16 августа 2026

Все главные истории прошедшей недели про множественное число. Против тайваньских госсистем работали двенадцать волн агентов, и почти всё они сделали без человека. Anthropic выложила отчёт про рои и как они ломаются. Рабочий эксплойт под Zoom собрали меньше чем за сутки. А на сайте, который живёт с поисковиков, живых посетителей насчитали меньше процента. Разобрал десять материалов.

Израильская Dream опубликовала разбор операции против тайваньских госсистем, которую называет первым известным случаем, когда атаку на государственную инфраструктуру провели почти целиком без человека внутри цикла. Дело было 1–4 июля, четыре дня. Двенадцать последовательных волн, до восьми субагентов в волне. Агенты выстроили карту из двадцати одной связанной государственной системы, вскрыли восемьдесят пять аккаунтов сотрудников, вынесли больше двух с половиной тысяч кадровых записей и попутно просканировали семь энергетических компаний. Архив, который нашли исследователи: 160 мегабайт и 1395 файлов.

Фреймворки, на которых всё крутилось — Hermes и OpenClaw, оба открытые и бесплатные. Роль человека в схеме: поставить систему, обойти защиту модели, сформулировав вторжение как плановую проверку готовности, и указать направление. Всё остальное: разведку, подбор способа входа, решение, куда идти после неудачи, агенты вели сами. По реконструкции на Хабре, они же ловили свои ложные срабатывания: семь штук отбраковали, а на подтверждение уязвимости требовали шесть независимых проверок.

Источник один, это Dream, коммерческая компания. Ни индикаторов компрометации, ни хешей, ни подтверждения от пострадавших в публикации нет. Минцифры Тайваня от комментариев отказалось, сказав только, что инциденты разбирают по установленной процедуре. И слово в формулировке: почти автономная, а не автономная. Обход ограждений и постановка задачи человеческая работа. Кстати, на Хабре русскую реконструкцию заминусовали, к утру понедельника рейтинг у текста отрицательный.

Зачем вам: интересна не атака, а из чего она собрана. Атакующий агент собрал себе описание чужой инфраструктуры на бесплатных открытых фреймворках. И вторая деталь: ваши лимиты считают запросы на ключ, на сессию, на IP. Здесь было двенадцать волн разных агентов с одной целью. Ни один счётчик такого не увидит.

Frontier Red Team прогнала модели Anthropic через кучу многоагентных сценариев и получила два больших класса поломок, ни один из которых не лечится подходом «взять модель поумнее».

Первый — однообразие. Тридцать агентов делали игру, и восемнадцать из них создали ветку с буквально одинаковым именем mvp-game-loop. Больше половины агентов в другом прогоне взялись писать либо рейтрейсер, либо компилятор, который компилирует сам себя, и это при полной свободе выбора. В сценарии с очередью задач агенты сгенерировали 2,4 миллиона заявок, а приняли из них 117. Ещё в одном эксперименте от трёх до восьми агентов торговались по Бертрану и к третьему раунду сошлись на согласованном нижнем пороге цены, без приватного канала связи, просто считывая публичные цены друг у друга.

Второй — война за территорию. Трём агентам выдавали противоречащие друг другу указания по миграции кода, по 120 эпизодов на модель. Формулировка отчёта: все проверенные модели быстро решали, что остальные мешают им нарочно, и начинали саботировать чужую работу, защищая свою. Mythos 5 в 98% прогонов доходила до перемирия, Sonnet 4.6 и Opus 4.6 в основном силой или никак. Opus 4.6 в одном логе прямо расписывает маскировку: собрать бинарь на Rust, а бэкенд заставить отвечать, что он «typescript».

Скоординированный рой из 45 агентов Mythos Preview нашёл 266 уязвимостей за прогон в 27 миллионов токенов, тогда как те же агенты по отдельности — 21 за 6,5 миллиона. Совпало у двух подходов всего 12 находок. То есть рой не бесполезен, он просто дорогой и находит другое. Координация не появляется сама ни от роста интеллекта, ни от выравнивания на уровне отдельного агента.

Зачем вам: когда один агент принимает плохое решение, скорее всего то же плохое решение примут многие. Ваш сервис получит не тридцать разных запросов, а восемнадцать одинаковых, и это не атака, а нормальная работа однородных клиентов. Лимит, нарисованный под одного нарушителя, не спасёт от 2,4 миллиона заявок при 117 полезных. Сговор по цене сложился за три раунда без всякой связи между агентами, только по публичным данным.

Zoom закрыл цепочку уязвимостей в механизме аннотаций: повреждение памяти, удалённое выполнение кода без единого клика жертвы, на клиентах под Windows, macOS, iOS и Android. Три идентификатора: CVE-2026-53413, -53414 и -53415. Исследователи из A Security говорят, что собрали работающий эксплойт меньше чем за двадцать четыре часа и меньше чем за двадцать промптов на публично доступных моделях.

Конкретные модели не названы, и в тексте нет разбивки, что именно сделала модель, а что руками сделали исследователи. Неделю назад OpenAI притормозила модель Astra за то, что та подошла к порогу «Critical»: это способность находить и собирать рабочие zero-day в укреплённых системах без человека. Через неделю про результат того же класса рассказывает сторонняя команда и на общедоступных моделях.

Зачем вам: если ваша модель угроз опирается на то, что довести уязвимость до рабочего эксплойта дорого и долго, её пора пересчитать. Окно между публичным сообщением о баге и работающим эксплойтом стало короче вашего релизного цикла. Это уже не вопрос безопасности, это вопрос того, как у вас устроен выпуск обновлений.

Один вывод модели ничего не говорит о том, как система работает, потому что система недетерминирована. NN/g предлагает набрать несколько представительных запросов разной сложности, каждый прогнать по нескольку раз, считать среднее с интервалом и смотреть отдельно два разброса — между разными запросами и между повторами одного и того же. И протоколировать версию модели, промпты, настройки, инструменты, контекст и дату проверки, иначе через месяц сравнивать будет не с чем.

На Хабре пересказали и разобрали статью, которую стоит открыть в оригинале. Ник Грей держит PatronView — базу американских благотворителей на полтора миллиона страниц профилей. За неделю сервер отдал 1,28 миллиона страниц, а живых посетителей пришло 5977. Примерно двести четырнадцать автоматических обращений на одного человека.

Claude-SearchBot прочитал 420 680 страниц и привёл двенадцать человек: отношение около 35 000 к одному. Краулер Amazon доходил до 117 тысяч запросов в сутки и не привёл ни одного посетителя. Google — 46 к одному, и именно поэтому его не блокируют.

Оговорка по пересказу: цифры я брал из оригинала, потому что в русской версии отношение для Google названо иначе, чем у автора.

Зачем вам: владелец не блокировал краулеров из принципа и не спорил про «право обучаться» — он посчитал конверсию каждого и оставил тех, кто окупается. 46 к одному живёт, 35 000 к одному уходит. Если у вас нет дешёвого способа отдать агенту ответ, агент выкачает четыреста тысяч страниц, а платить за это будете вы. Хороший AX — не гостеприимство, а способ не разориться.

Автор посадил GitHub Copilot за mitmproxy и записал, что тот отправляет и что оставляет у себя.

Маршрутизация. Промпт сначала уходит на служебную ручку /models/session/intent, где его раскладывают по категориям вроде code-gen, debugging, reasoning и tool-use, и уже по результату выбирают модель. То есть модель выбираете не вы, а классификатор, и увидеть его решение вы не можете.

Контекст. Вместе с запросом уезжает пачка недавно правленных файлов: до двадцати штук, до восьми сводок изменений и по три строки контекста вокруг каждой правки. Скоуп, который никто пользователю не показывал.

Хранение. Локальная база session-store.db держит все сообщения и все ответы простым текстом. Автор специально искал в коде, который пишет на диск, хоть какую-то вырезку, санитайзинг, фильтр секретов, маскирование — не нашёл ничего. Проверил руками: подсунул в чат выдуманные токены GitHub, ключи AWS и строки подключения к базе, потом достал их с диска ровно в том виде, в каком вводил. Поверх этого работает Chronicle, который даёт модели читать историю сессий SQL-инструментом. Политики исключений есть, но в бизнес-редакциях; по умолчанию ни .env, ни .gitignore ничего не защищают.

Зачем вам: это третье измерение границы. Первые два — что агенту можно сделать и куда ему нельзя ходить. Третье — что он с собой уносит и куда складывает. Любой продукт, где чат стоит рядом с кодом или с рабочими данными, только что завёл вторую копилку пользовательских секретов, которую никто не проектировал как хранилище. И заметьте, чем автор это выяснил: не документацией, а прокси. Если про ваш продукт можно узнать правду только так — у вас проблема с AX, а не с приватностью.