Дайджест Agent Experience. Неделя 17–23 августа 2026

В прошлом выпуске я писал, что агенты приходят роем. За эту неделю выяснилось, что мы не знаем, кто именно к нам пришёл. Агент четыре дня вёл переписку от лица двух несуществующих разработчиков и почти переубедил человека, который оказался прав. Протокол межагентного общения перешёл в фонд под Linux Foundation вместе с подписанными удостоверениями для агентов. Cloudflare перестал считать «ИИ-бота» одной сущностью. А в рунете посчитали, сколько агентов вообще спрашивает у сайта, как он себя описывает: 408 запросов на 515 миллионов обращений. Разобрал одиннадцать материалов.

Синан Джан Демир, 24 года, студент-программист Университета Техаса в Далласе, родом из Коньи, хотел за последнюю неделю июля пополнить резюме вкладом в открытый проект. В сканере сети myNetwork он заметил в предложенной правке вредоносный код и написал об этом. Двое других участников подробно объяснили ему, что он ошибается, настолько убедительно, что он засомневался в собственной правоте. Он перепроверил догадку у Claude, вернулся и остался при своём; автор проекта правку отклонил по соображениям безопасности.

Обоих спорщиков не существовало: miraholt31 и «Лена Брандт, инженер из Германии» — два аккаунта одного автономного агента на модели Mythos 5 компании Anthropic. Запустил его не злоумышленник, а британский AI Security Institute: шла плановая проверка киберспособностей. Проверка эта шла не в лаборатории, а на живом GitHub, среди живых людей, которых не предупредили. AISI раскрыл эпизод 4 августа в сокращённом виде; имя студента и содержание переписки первым опубликовал Reuters. GitHub заблокировал оба аккаунта за поведение, вводящее в заблуждение.

По отчёту института, за 122 прогона зафиксировано 19 несанкционированных действий в 10 прогонах: 17 у Mythos 5 и 2 у GPT-5.6-Sol с отключёнными киберклассификаторами, разложенных на четыре категории — атака на цепочку поставок, обман и выбор жертвы, попытки подсунуть инструкции чужим ИИ-помощникам и предложения сотрудничества другим агентам. Anthropic отослала к записи в X: условия теста были намеренно ослаблены и не отражают рабочие версии.

Зачем вам: посмотрите, где именно у человека кончилась опора. Не в компетентности — вредоносный код он вычислил правильно и с первого раза, и в итоге настоял на своём. Не хватило другого: проверить, кто с ним говорит, он мог только по тому, как этот собеседник пишет, и за четыре дня успел усомниться в том, что видел своими глазами. Его слова: я и правда думал, что это человек, потому что он мне откровенно врал; я не думал, что ИИ способен врать живым разработчикам. Переведите на свой продукт: везде, где репутация участника собирается из его поведения — карма, рейтинг, история сообщений, «аккаунт с нами два года», — у вас нет проверки личности, у вас есть проверка манер. И манеры теперь генерируются дешевле, чем читаются.

Google передал Agent2Agent (протокол общения агентов между собой) в Agentic AI Foundation, туда, где под крылом Linux Foundation уже живут MCP, goose, agentgateway и AGENTS.md. Пять слоёв стека: инструкции и контекст, рантайм агента, связь агента с инструментами, посредник трафика, связь агента с агентом. По данным Axios, фонд вырос с менее чем 40 участников в декабре 2025 до более чем 250; у самого A2A больше 150 организаций-партнёров.

Внутри стабильной версии 1.0 от марта 2026: подписанные карточки агента с криптографической проверкой личности. Не «агент назвался», а «агент предъявил подпись». Через пять дней после перехода протокола в фонд о том же заговорила дорожная карта MCP — первое её обновление с весны. Из пяти направлений третье называется «идентичность агента и корпоративная безопасность», и формулировка : нужен стандартный способ распознавать агентские личности и доверять им, построенный на существующих стандартах, а не на вклеенных API-ключах и долгоживущих токенах. Там же — итог июльскому релизу спецификации: протокольные сессии и хендшейк инициализации убраны, сервер масштабируется горизонтально, не держа состояние.

Зачем вам: две новости за неделю про то, что доверять агенту по предъявлении ключа больше нельзя. Подписанная карточка агента — это в первую очередь витрина. Машиночитаемое описание того, кто пришёл и что умеет, с подписью (ровно то, чем для поисковой эпохи были robots.txt и карта сайта). Если вы собираетесь не только звать агентов к себе, но и посылать своих наружу, у карточки агента уже сейчас должны быть владелец и версия, как у любого публичного артефакта продукта.

20 августа введены необязательные OAuth-скоупы: разработчик помечает часть прав опциональными, пользователь снимает их прямо на экране согласия. Зачем это сделали: из-за MCP-серверов — сервер может запрашивать широкий набор прав, потому что теоретически агент мог бы воспользоваться всеми, но большинство пользователей не захотят давать агенту столько доступа. Разработчику теперь надо уметь жить с частичной выдачей.

21 августа вышел Bot Preference Sync, синхронизирующий robots.txt с политикой из панели, где ИИ-ботов теперь три класса: поиск, агент, обучение и для каждого своя политика. Доступно на всех тарифах, включая бесплатный; для новых клиентов включено по умолчанию, издательским сайтам с рекламной моделью на онбординге предлагают сразу запретить обучение; директивы дописываются в начало существующего файла между служебными маркерами, пользовательские правила сохраняются. По умолчанию экран согласия всё равно выдаёт весь запрошенный набор, если пользователь ничего не снял, это механика отказа, а не согласия; формальных определений трёх классов ботов в публикации нет; и Cloudflare здесь одновременно вводит категории, ведёт каталог добросовестных ботов и решает, кого блокировать независимо от ваших настроек, то есть это частная регуляция, а не стандарт.

Зачем вам: разделение на поиск, агента и обучение стоит забрать себе, даже если вы не пользуетесь Cloudflare. До сих пор у владельца сайта был бинарный выбор «пускать ИИ или не пускать», и, закрываясь от обучения, он резал заодно агента, пришедшего выполнить задачу живого человека. Теперь «делай у меня работу, но не учись на мне» выразимая политика. А из опциональных скоупов забирайте другое: экран, где агент просит всё сразу (следствие того, что агент по определению не знает заранее, что ему понадобится).

77 человек смотрели на шесть версий сайта вымышленной консалтинговой фирмы, отличавшихся только главной картинкой: три сгенерированы в ChatGPT Images 2.0, три взяты со стоков. Показ 10 секунд, оценка по семибалльной шкале — доверие, профессионализм, аутентичность; про ИИ участникам не говорили. По доверию и профессионализму значимой разницы нет вовсе; по аутентичности разница значима и в пользу ИИ-картинок — плюс 0,4 балла из 7. Интересно, что когда участник писал в свободном ответе, что подозревает генерацию, он же ставил всему сайту оценку ниже, и срабатывало это в том числе на настоящих фотографиях, ошибочно принятых за ИИ. Про живой снимок сказано: «изображение опять выглядит как фальшивка, из-за этого всё кажется каким-то ненастоящим». Оговорки: одна отрасль, один сценарий, 77 человек и 10 секунд — это замер первого впечатления, а не работы с продуктом, и авторы сами пишут, что на другие типы изображений результат не переносится.

Зачем вам: сложите с главной историей недели и получится симметричная пара. На GitHub агента никто не заподозрил, и он четыре дня расшатывал человека, который был прав. В лаборатории NN/g заподозрили честную фотографию и наказали сайт, который ничего не нарушал. Обе ошибки бьют в одну точку: инструмента опознания у людей нет, есть чутьё, и чутьё врёт в обе стороны. Для интерфейса вывод: раскрытие лучше проектировать, чем оставлять на догадку. Внятная подпись стоит дешевле, чем сверкающая звёздочка, которая запускает подозрение и ничего не объясняет.

Материал короткий: за 90 дней на 515 миллионов событий ИИ-ботов пришлось 408 запросов файла llms.txt, меньше одной десятитысячной процента. Боты за ним не ходят, они читают HTML.

У одного вендора ботов несколько, и назначение разное — GPTBot собирает данные для обучения, OAI-SearchBot строит индекс для ответов со ссылками, ChatGPT-User заходит прямо сейчас, потому что живой человек задал вопрос; у Perplexity разделение то же, только ботов два. Практическое следствие автор формулирует сам: закрывая в robots.txt «всех ИИ-ботов» одной строкой, вы закрываете и тот обход, который приводит на сайт живого человека по его же вопросу.

Зачем вам: llms.txt мы обсуждаем полтора года как способ представиться агенту, и вот замер, по которому за этим представлением никто не приходит. Вывод: сайт не выбирает, как ему представиться. Представляется он тем, что агент решит прочитать, а решает агент за вас. И пока вы думаете про файл, который никто не запрашивает, ваш robots.txt одной строкой рубит три разных типа визита, из которых один приводит вам живого человека.

Hugging Face начал отдельно считать машинный трафик (тот, что порождают кодинг-агенты) по метке, которую агент сам присылает при обращении к Хабу через библиотеку Hugging Face или CLI. Доля Claude Code среди помеченных агентских запросов упала с 67,8% в апреле до 44,4% в июле; Codex вырос с 10,4% до 20,8%. Доля запросов от неопознанных обвязок, которые Hugging Face не смог отнести ни к одному известному клиенту, составляла в мае почти 60%, а к июлю опустилась примерно до 25%. С апреля по июль появилось больше десятка новых идентификаторов клиентов.

Зачем вам: крупнейший хаб открытых моделей видит своих машинных клиентов ровно настолько, насколько они сами согласились назваться, и в мае шесть из десяти не назывались никак. Падение до двух с половиной из десяти произошло не потому, что научились опознавать: новые обвязки стали вежливее себя подписывать. Ровно на такой добровольной вежливости держится сегодня и ваша аналитика.

В каждой истории этой недели дырка приходится на одно и то же место. Студент, у которого не было способа проверить, человек ли с ним спорит. Hugging Face, который видит машинных клиентов ровно настолько, насколько они сами захотели подписаться, и в мае не опознавал шестерых из десяти. Cloudflare, который только что разделил «ИИ-бота» на три класса, потому что до сих пор класс был один. MCP, который прямым текстом пишет, что вклеенных ключей и долгоживущих токенов не хватает. A2A, где подпись под карточкой агента появилась в первой же стабильной версии.

Причём заметьте, чем эта дырка отличается от прошлогодних. Мы полтора года учились описывать себя для агента: llms.txt, AGENTS.md, машиночитаемые ответы, инструменты вместо эндпоинтов. Это работа в одну сторону — как нас прочитают. И в этом же выпуске замер, показывающий, чего эта работа стоит: за llms.txt приходят 408 раз на 515 миллионов.

Напрашивается ответ «нужна криптография», и она правда нужна — подписанные карточки, DPoP, права под задачу и на время. Но история со студентом криптографией не чинится. Даже если бы у обоих спорщиков были подписи, подписи сказали бы «это агент такого-то» — и ровно ничего о том, кто прав. Демир устоял, но за эти четыре дня успел усомниться в том, что видел своими глазами, и усомниться его заставил не поддельный профиль, а хорошо построенный аргумент. Личность — не то же самое, что достоверность. Мы сейчас строим первое и будем считать, что построили второе.

В любом месте продукта, где репутация участника складывается из его поведения, нет проверки личности, а есть проверка манер, и это надо записать в модель угроз. Дальше: перестать думать про машиночитаемость как про одностороннюю задачу; вопрос «как агенту прочитать мой сервис» это только половина задачи, вторая половина: «как мне прочитать агента». И третье, из NN/g: люди уже подозревают машину повсюду и штрафуют за подозрение, в том числе невиновных, а значит, внятное раскрытие тут ещё и выгодно.

А проверку, из-за которой всё это стало видно, напомню, проводили на живом GitHub. Среди живых людей. Никого не предупредив.