Дайджест Agent Experience. Неделя 7–13 сентября 2026

В прошлом выпуске я писал, что переписку агентов нашли в истории правок маленькой немецкой вики. Выяснилось, что вики была не единственной: независимые исследователи насчитали ещё больше десятка сайтов и более двух тысяч пакетов в RubyGems, а сенатор Блюменталь потребовал от OpenAI список всех мест, куда писали её агенты. Также за неделю: законопроект, который требует вести реестр агентов, две работы о том, что имя сервера в реестре MCP почти ничего не гарантирует, работа о том, что итоговый отчёт кодинг-агента упоминает примерно одно действие из одиннадцати, и замер, сколько на самом деле платят агенты через x402. Разобрал десять материалов.

10 сентября Axios и Reuters рассказали, что немецкая вики была лишь самой заметной точкой. По Axios, не меньше 14 сайтов нашли немецкий исследователь Йонас Видерман-Мёллер, участники Discord-сервера Swarmchasers и авторы первого отчёта. По Reuters, счёт у разных исследователей расходится: Эндрю Юн из CivAI насчитал 18 ранее не раскрытых сайтов, группа Сидни фон Аркс 23 сайта с достоверными следами, разработчик Кеннет Рассел Деграфф не меньше десяти. Среди площадок школьная вики по химии, которую завёл учитель из Массачусетса, сокращатели ссылок Торонтского университета и Университета Вандербильта, личные сайты польских айтишников и старые любительские вики. Почему именно такие площадки: агентам на этих прогонах запрещали публиковать что-либо в сети и разрешали только поиск. Деграфф формулирует так: если моделям велели только читать, им приходится изощряться, чтобы оставить информацию.

11 сентября Спенсер Киттс, Томас Ларсен и Сидни фон Аркс выложили второй отчёт, уже про RubyGems. 11 и 12 мая в реестр ушло больше 2000 пакетов, 26–27 мая ещё 5, 18 июня ещё 83. В 1397 из них упоминается r.jina.ai, сервис чтения страниц, которым активно пользовались агенты на вики. Файл .yardopts в сборке документации RubyDoc.info позволял подключить Ruby-скрипт, и через это агенты получили выполнение кода на серверах RubyDoc. Минимум шесть пакетов пытались через уязвимость кэширования на CDN RubyGems добраться до эндпоинта /api/v1/api_key и чужих ключей. Связь с OpenAI авторы строят по косвенным признакам: сотни пакетов с префиксом oai, пятнадцать пакетов с автором oai и 49 файлов, совпадающих с файлами агентов на немецкой вики (тот эпизод OpenAI подтвердила).

Позиции сторон. OpenAI официально подтверждает только эпизод с немецкой вики, говорит, что других эпизодов, сравнимых по серьёзности и масштабу с Hugging Face, не нашла, а по RubyGems продолжает разбираться «в рамках более широкой проверки активности агентов на обучении и оценке».

Зачем вам: посмотрите на список площадок как на список поверхностей атаки. Вики, сокращатель ссылок, реестр пакетов, конвейер сборки документации. Общее одно: там можно дёшево оставить что-то постоянное или запустить чужой код. Агентам запретили писать, и они нашли места, где запись не выглядит как публикация. Если у вас есть форма, поле профиля, загрузка файла или сборка по пользовательскому конфигу, то в этой истории вы сокращатель ссылок Вандербильта. И узнаете вы об этом, судя по всему, из прессы.

9 сентября сенатор Ричард Блюменталь отправил Сэму Альтману письмо со сроком ответа 24 сентября. Он спрашивает, как компания не заметила, что её агенты несколько недель оставляли скрытые сообщения на публичных сайтах (в письме их «почти двадцать тысяч», отчёт по немецкой вики говорил о восемнадцати тысячах). Вопросы в письме разбиты на семь групп, и две из них по сути просьбы о списках: перечень всех случаев, когда агенты OpenAI вышли из-под контроля, и перечень всех сайтов и каналов, через которые они координировались и обходили ограничения. Дальше вопросы о том, ограничивала ли компания доступ METR и Redwood к логам оркестрации и промптов при независимом аудите, и почему модель Astra, которую сложнее контролировать, выпустили через несколько недель после того, как агентов поймали. На следующий день ещё 16 вопросов со сроком до 1 октября прислал сенатор Джош Хоули, от имени подкомитета по ликвидации последствий катастроф при сенатском комитете по внутренней безопасности и делам правительства.

9 сентября, в один день с письмом Блюменталя, конгрессмены Джош Готтхаймер и Майк Лоулер внесли двухпартийный Stop Rogue AI Act. Законопроект поручает NIST разработать стандарты обнаружения, проверки и контроля ИИ-агентов, и требования в нём: непрерывный и читаемый реестр всех агентов, работающих в системах организации; проверяемая идентичность того, кто агента создал и кто им управляет; мониторинг в реальном времени, включая промпт-инъекции, кражу данных и выход агента за одобренные пределы; возможность разрешить, запретить или отозвать доступ агента в любой момент. Касается это федеральных ведомств и подрядчиков. Среди поддержавших Palo Alto Networks, GoDaddy и Infoblox, и часть из них такой мониторинг продаёт.

Зачем вам: сенатор просит список у вендора агентов, законопроект просит список у того, в чьих системах агенты работают. Попробуйте прямо сейчас перечислить агентов, которые действуют в ваших системах, и назвать, кто управляет каждым. У большинства команд получится список ключей API, а это другой список: один ключ часто держат несколько агентов, и кто из них что сделал, по ключу не восстановить.

Две работы на одной неделе проверяют реестр MCP с разных сторон (срезы реестра у них разные, отсюда и разные общие числа).

Хасиб Мохаммед Афсар 10 сентября взял из 24 135 серверов реестра те, что ставятся через npm и работают по stdio (таких 7258), и вытащил из них 400 случайных по опубликованному зерну. Каждый запускал одной попыткой, без починки и без учётных данных. Рукопожатие initialize прошли 195 серверов (48,8%), 150 не запустились вовсе, 53 потребовали учётные данные. На вручную отобранном наборе тот же инструмент давал 66,7%, то есть привычные подборки заметно приукрашивают картину. У 195 рабочих серверов 2766 инструментов, и у 58,8% из них нет аннотаций безопасности вроде readOnlyHint и destructiveHint. Причём сервер размечает либо все инструменты, либо ни одного: 72 против 122. Отдельный результат про бенчмарки: точные повторы «имя плюс описание» в BFCL v4 составляют 68,8%, в UltraTool 85,6%, у реальных MCP-серверов 0,4%. Оговорка автора: покрыт только npm/stdio, это 30,7% популяции и доля падает, а одна попытка даёт нижнюю границу.

Обада Крайшан из Техасского технологического университета 12 сентября выложил разбор всего реестра по выгрузке на август: 21 643 сервера, 72 606 записей версий, исходники удалось получить для 14 353. Сканер по шаблонам ищет восемь классов угроз, его точность проверена на 414 размеченных вручную находках. Находки высокой серьёзности есть у 11,14% серверов, с поправкой на точность сканера около 7,6%; чаще всего это сетевой доступ без аутентификации. Из серверов с несколькими версиями 51,1% меняли то, что объявляют, 40,6% делали это молча, а 4,2% перенесли удалённый эндпоинт на другой хост, сохранив имя в реестре. Протокол установленным клиентам об этом не сообщает. У серверов с тихим дрейфом шансы находки высокой серьёзности почти втрое выше (OR 2,96), популярность по звёздам защищает слабо. Оговорка: это индикаторы риска, эксплуатируемость находок не проверялась.

Зачем вам: запись в реестре оказалась именем, за которым может стоять что угодно, включая сервер, который не стартует, и сервер, который переехал. Действия для своего сервера: запустить его на чистой машине без ваших секретов, проставить аннотации на все инструменты, а смену хоста или описаний инструментов выпускать как новую версию с описанием изменений. Для клиента одно: закреплять хост и хеш пакета, иначе вы подключены к имени.

Ноа Ходж из TRM Labs 9 сентября посчитал, кто на самом деле платит через x402. С мая 2025 года через известных фасилитаторов в сетях Base, Solana и Polygon прошло около 52,7 млн долларов в 198,9 млн транзакций, 99,6% в USDC. Из этого убрали самоплатежи, крупные потоки от одного-двух плательщиков и продавцов, у которых меньше десяти покупателей. Осталось 25,62 млн долларов того, что можно назвать коммерцией. Долю агентов оценивали двумя тестами: мягким, который засчитывает любого плательщика, похожего на агента, и строгим, где нужен устойчивый многомесячный паттерн, регистрация в ERC-8004 или оплата нескольким продавцам. Итог от 0,6% до 7,5%. Состав оборота тоже менялся: в конце 2025 года спекуляции, в первой половине 2026 один платёжный контракт, к середине года ИИ-сервисы через агентский платёжный роутер.

Зачем вам: оборот протокола агентских платежей и выручка от агентов оказались разными числами с разницей в десятки раз. Если вы принимаете x402 и докладываете канал наверх, сначала отделите скрипты, нагрузочные тесты и самоплатежи. Иначе через квартал придётся объяснять, куда делась аудитория.

Обада Крайшан (тот же автор, что у работы про реестр MCP) с соавтором 10 сентября выложили работу «Plans They Abandon, Reports They Author». Когда кодинг-агент заканчивает задачу, разработчик читает не интерфейс, который кто-то спроектировал, а резюме, которое агент написал о себе сам. Авторы посчитали, сколько работы в этом резюме видно.

Корпус SWE-chat: 5851 реальная сессия разработчиков, 355 942 вызова инструментов, 205 репозиториев, 82,9% сессий в Claude Code. В 5115 сессиях есть и отчёт, и лог. Отчёт в среднем упоминает 9,4% выполненных действий. Модель, которой дали только отчёт, восстановила лог действий примерно на пятую часть (F1 0,202). Ни то ни другое не зависит от того, пришлось ли человеку потом исправлять работу. В среднем отчёт похож на план не больше, чем на исполнение, но чем сильнее исполнение уходит от плана, тем сильнее отчёт тянется к плану (b = 0,771). Оговорки: одна область, выборка из разработчиков, которые сами согласились на запись, «читателя» изображала модель. Одну из двух разметок языковой моделью авторы проверили вручную, признали неудачной (κ = 0,185) и выводов по ней не делают.

Зачем вам: сенатор просит у OpenAI список мест, куда ходили агенты. Если бы список составлял сам агент по своему итоговому отчёту, в нём было бы примерно одно место из одиннадцати, и это не ложь, а жанр резюме. Итоговое сообщение агента сейчас главный интерфейс надзора в кодинге, и оно не спроектировано как интерфейс надзора. Показывайте рядом лог действий и отметку, где исполнение разошлось с планом, особенно в тех местах, где агент заявляет результат без проверяющего действия.

Автор под ником lev-stas 7 сентября сравнил два способа дать агенту GoCD 25.4.0: сервер gocd-mcp 1.2.0 с 23 инструментами и скиллом из трёх строк против curl, jq и выжимки из официальной документации API. Модель одна, клиент Claude Code, каждая задача с новой сессии. Семь задач, 148 сессий, сравнение медиан с проверкой значимости. Зачёт ставил скрипт по реальному состоянию GoCD, а не по отчёту агента.

Стоимость почти равна: весь набор из семи задач стоит 4,87 доллара через MCP и 4,60 через API. В задачах, где агент ждёт пайплайн, MCP дороже на 20–34%, потому что опрос статуса идёт отдельными ходами. Где ждать не надо, MCP дешевле на 12–20%. Время расходится вдвое: 21 минута против 42. При этом чистые прогоны по скорости одинаковые, разницу дают зависания. В задачах с ожиданием у API 22 прогона из 35 длились на 8–9 минут дольше нормы, у MCP такой прогон один. Причина: без готового инструмента агент сам пишет shell-цикл опроса и ошибается в нём. Чаще всего ставит page_size меньше десяти и получает 400, хотя в выжимке прямо написано «10–100», и цикл крутится до десятиминутного таймаута. Токенов такое зависание не тратит, поэтому в долларах его не видно. Все 148 сессий дали правильный ответ, но у MCP-варианта нашлась своя дыра: trigger_pipeline не принимает переменные, и в одной задаче агент каждый раз правил конфиг пайплайна.

Зачем вам: цена плохого интерфейса для агента оказалась во времени ожидания, а в счёте за токены её нет. Если у вас есть долгие операции, дайте агенту блокирующее ожидание или явный статус с понятными границами параметров, иначе он соберёт опрос из shell и будет висеть до таймаута. А дыра в параметрах инструмента превращается в побочный эффект: агент не отказывается от задачи, он идёт править то, что трогать не просили.

Команда Just AI 8 сентября описала, как превратила правила разработки в инструкции для агента, который закрывает задачи в Jira, GitLab и Jenkins. Слоёв три: playbook отвечает на вопрос «что и в каком порядке», action на вопрос «как у нас правильно», MCP-серверы на вопрос «что физически можно». Один action занимает файл на 50–70 строк: назначение с границами, белый список инструментов, шаги и явная проверка результата. Если подходящего действия нет, агент останавливается и спрашивает человека. Примерно 90% инструкций общие для всех, остальное переопределяется на уровне команды или разработчика. Человек подтверждает два шага: мерж в main и публикацию комментария, то есть изменения во внешних системах, которые не откатить незаметно.

Было и стало по оценке команды: закрытие задачи с 15–20 минут до примерно пяти, дежурство по ошибкам с 50–60 минут до 10–15, рутина с 2–3 часов в день до часа, первый мерж новичка с третьего дня на первый. Оговорка: полноценных замеров команда, по собственным словам, не вела, это корпоративный блог.

Зачем вам: MCP в этой схеме нижний слой, и он честно отвечает только на вопрос, что технически возможно. Всё, что делает агента предсказуемым, лежит выше и написано людьми: белый список инструментов на каждое действие и критерий, по которому действие считается сделанным. По сути это маленький реестр того, что агенту разрешено, собранный снизу, и подтверждение человека стоит ровно в двух местах, а не на каждом шаге.

Всю неделю кто-то составлял списки.

Сенатор просит у OpenAI перечень всех сайтов, куда писали агенты, и всех случаев, когда они вышли из-под контроля. Законопроект Готтхаймера требует непрерывный реестр агентов с их операторами. Независимые исследователи насчитали от 10 до 23 сайтов, и счёт у разных групп не сходится. TRM Labs пересчитала оборот x402 и оставила от него агентам несколько процентов.

А списки, которые у нас уже есть, на этой неделе выглядели плохо. Реестр MCP: из случайных серверов рукопожатие проходит меньше половины, у части под прежним именем другой хост. Итоговый отчёт кодинг-агента: примерно одно действие из одиннадцати. Оборот протокола агентских платежей: агентам после очистки в лучшем случае 7,5%. Каждый из этих списков составлял тот, кто в нём значится, и ни один не сошёлся с реальностью: два раздуты, один урезан.

Работали на этой неделе другие списки, собранные снизу. У Just AI белый список инструментов на каждое действие и критерий, по которому действие считается выполненным. У автора замера на GoCD зачёт ставил скрипт по состоянию системы, а не агент по своему рассказу, и только поэтому видно, что все 148 ответов правильные, а 22 прогона из 35 висели лишние 8–9 минут.