Азбука ИИ. ИИ-агент на рабочем месте: как настроить и защитить данные

Оценивать срок настройки ИИ-агента без описания его задач бессмысленно. Простой помощник для поиска по документам и агент, который читает почту, меняет записи в CRM и отправляет письма, — это разные по сложности и рискам решения.

Что считать ИИ-агентом

Словом «агент» часто называют любой чат с нейросетью. Но между обычным чатом и полноценным рабочим агентом есть важная разница.

Обычный чат отвечает на запрос и работает с тем, что пользователь передал ему вручную. Ассистент может дополнительно искать информацию в подключённых документах. Автоматизация выполняет заранее заданную цепочку действий. ИИ-агент получает цель, выбирает нужные шаги, обращается к доступным инструментам и выполняет действия в других системах.

NIST описывает агентный ИИ как систему, способную самостоятельно принимать решения, действовать ради поставленной цели и взаимодействовать с пользователями и внешними системами. Чем больше у агента самостоятельности и подключённых инструментов, тем важнее заранее установить границы его работы.

Что значит «настроить под себя»

Настройка начинается не с выбора нейросети. Сначала нужно описать рабочую задачу так, чтобы её можно было проверить.

Вместо формулировки «нужен агент для почты» лучше ответить на несколько вопросов:

• Какие письма он должен обрабатывать?
• Что он должен делать: сортировать, кратко пересказывать, готовить ответ или отправлять его?
• Какие документы ему нужны для подготовки ответа?
• В каких ситуациях он обязан обратиться к сотруднику?
• Какие действия нельзя выполнять без подтверждения?
• По каким признакам результат считается пригодным для работы?

«Приемлемый вид» тоже нужно определить заранее. Для одного процесса достаточно, чтобы агент готовил черновик, который проверит человек. Для другого критична точность поиска по документам. Для третьего важнее, чтобы агент никогда не отправлял сообщение самостоятельно.

Без таких критериев настройка может продолжаться бесконечно: агент уже что-то делает, но никто не может сказать, готов ли он к работе.

Что называют обучением

В разговоре об ИИ словом «обучение» обозначают сразу несколько разных работ. Из-за этого сроки часто сравнивают некорректно.

Под обучением могут понимать:

• Настройку инструкции, по которой действует агент.
• Подготовку примеров хороших ответов.
• Подключение корпоративных документов.
• Настройку поиска по базе знаний.
• Подключение почты, календаря, диска или CRM.
• Проверку агента на реальных задачах.
• Исправление ошибок и спорных сценариев.
• Обучение сотрудников работе с новым инструментом.

Это не всегда означает дообучение самой языковой модели. Во многих проектах модель остаётся прежней, а команда настраивает её инструкции, источники данных, доступные действия и правила безопасности.

Поэтому фразу «агента обучали два месяца» нужно уточнять. Неизвестно, входили ли в этот срок разработка интеграций, подготовка документов, согласование доступа и тестирование. Без этих сведений нельзя сказать, быстро это или медленно. [НУЖЕН ИСТОЧНИК для сравнения со средними сроками внедрения в выбранной отрасли]

От чего зависит срок

Первый прототип можно собрать быстрее, чем надёжное решение для ежедневной работы. Прототип показывает, что сценарий в принципе выполним. Рабочий агент должен ещё стабильно вести себя на разных данных, соблюдать права доступа и оставлять понятный след своих действий.

На срок влияют:

• Количество задач, которые поручают агенту.
• Число подключаемых систем.
• Состояние документов и баз данных.
• Наличие готовых интеграций.
• Уровень самостоятельности агента.
• Цена возможной ошибки.
• Требования к конфиденциальности.
• Количество проверок и согласований.

Если агент только готовит черновики, запуск проще. Если он может отправлять письма, менять данные или удалять файлы, потребуется больше ограничений и тестов. Поэтому правильнее обсуждать не общий срок «обучения», а этапы: постановку задачи, прототип, подключение данных, проверку, ограниченный запуск и дальнейшую доработку.

На какой базе делать

Вопрос «на какой базе сделан агент» может относиться к разным частям решения. Чтобы сравнивать варианты, нужно рассматривать не одно название сервиса, а всю схему.

В неё входят:

• Языковая модель, которая понимает запросы и формирует ответы.
• Платформа или конструктор, где задаётся логика агента.
• База знаний, в которой хранятся нужные документы.
• Механизм поиска по этим документам.
• Интеграции с почтой, календарём, CRM и другими системами.
• Среда размещения: облако поставщика, корпоративное облако или собственная инфраструктура.
• Система прав доступа, журналирования и контроля действий.

Выбор зависит от того, где уже находятся рабочие данные и какие требования предъявляет компания. Если документы и почта хранятся в одной корпоративной экосистеме, готовая интеграция может упростить подключение. Если данные распределены по нескольким системам или должны обрабатываться внутри закрытого контура, архитектура будет сложнее.

Нужно ли открывать все данные

Полезному агенту действительно нужен доступ к рабочей информации. Но из этого не следует, что ему нужно показывать всю почту, все диски и все файлы.

Безопасный подход строится на принципе минимального доступа: агент получает только те данные и функции, которые нужны для конкретной задачи. OWASP рекомендует отдельно ограничивать доступные агенту инструменты, права на чтение и изменение данных, а для важных действий требовать подтверждение человека.

Доступ можно ограничивать по нескольким параметрам:

• Источник: только выбранная папка, почтовый ящик или раздел базы знаний.
• Содержание: только документы без персональных или коммерчески чувствительных данных.
• Режим: чтение без возможности изменять или удалять информацию.
• Пользователь: агент действует с правами конкретного сотрудника, а не через общий аккаунт с широкими полномочиями.
• Время: разрешение выдаётся на задачу или ограниченный период.
• Действие: агент готовит проект, но отправка, удаление или изменение требуют подтверждения.

Некоторые корпоративные продукты используют существующие права пользователя. Например, Microsoft указывает, что Copilot работает в рамках уже настроенных разрешений. Одновременно компания предупреждает: если документы изначально открыты слишком широкому кругу сотрудников, агент может показать их в своих ответах. Поэтому перед подключением ИИ нужно проверить не только его настройки, но и порядок доступа к корпоративным файлам.

Куда попадают данные

На этот вопрос нельзя ответить одной фразой для всех сервисов. Условия зависят от конкретного продукта, тарифа, способа подключения и настроек организации.

Перед запуском нужно проверить:

• Где обрабатываются и хранятся запросы, файлы и ответы.
• Как долго поставщик хранит информацию.
• Использует ли он данные для обучения моделей.
• Можно ли отключить такое использование.
• Какие внешние сервисы участвуют в обработке.
• Кто внутри компании может подключать новые источники.
• Можно ли удалить историю и отозвать доступ.
• Ведётся ли журнал обращений к данным и действий агента.
• Какие обязательства зафиксированы в договоре.

Проверять нужно именно условия выбранного тарифа. Например, OpenAI сообщает, что по умолчанию не использует данные клиентов ChatGPT Business, ChatGPT Enterprise и API для обучения своих моделей; для корпоративных продуктов также предусмотрены средства управления подключёнными источниками и сроками хранения. Это утверждение относится к перечисленным продуктам и не должно автоматически переноситься на любые пользовательские сервисы или сторонние интеграции.

Если ответы на вопросы о хранении, удалении и передаче данных найти не удалось, конфиденциальные сведения подключать нельзя до проверки условий специалистами по информационной безопасности и праву.

Кроме утечки данных

Даже при правильно настроенных правах остаётся риск вредоносных инструкций. Агент может прочитать письмо, документ или веб-страницу, внутри которых скрыта команда, рассчитанная не на человека, а на нейросеть.

Такую атаку называют косвенной инъекцией инструкции. NIST объясняет, что злоумышленник может поместить вредоносную команду во внешние данные, которые агент обрабатывает, и попытаться заставить его выполнить нежелательное действие. Риск особенно важен, когда агент не только читает информацию, но и может отправлять сообщения, загружать файлы или изменять записи.

Поэтому одной настройки промпта недостаточно. Нужны технические ограничения:

• Минимальный набор доступных инструментов.
• Раздельные права на чтение и изменение.
• Подтверждение важных и необратимых действий.
• Запись обращений к данным и выполненных операций.
• Возможность немедленно остановить агента.
• Проверка агента на опасных и нестандартных входных данных.

Пример применения

Предположим, компании нужен агент для обработки входящих запросов клиентов. Его задача — прочитать новое письмо, определить тему, найти нужный пункт во внутренней базе знаний и подготовить проект ответа.

На первом этапе агент получает доступ только на чтение к отдельному почтовому ящику и утверждённой папке с инструкциями. Он не видит личную переписку сотрудников, договоры и финансовые документы. Готовый ответ сохраняется как черновик, а отправляет его сотрудник.

Во время проверки команда фиксирует случаи, когда агент выбрал не тот документ, пропустил важную деталь или сформулировал слишком уверенный ответ. После исправления повторяющихся ошибок можно расширить круг тем, но не обязательно давать агенту право самостоятельной отправки.

Этот пример показывает, что полезность не требует полного доступа. Агент решает конкретную задачу, получает ограниченный набор данных, а действие с внешними последствиями остаётся под контролем человека.

Порядок внедрения

Работу с агентом лучше строить поэтапно:

1. Выбрать одну повторяющуюся задачу.
2. Описать ожидаемый результат и недопустимые ошибки.
3. Определить необходимые источники данных.
4. Выдать минимальные права, желательно только на чтение.
5. Собрать прототип без самостоятельных внешних действий.
6. Проверить его на обычных, редких и опасных сценариях.
7. Запустить для ограниченной группы сотрудников.
8. Настроить журнал действий и порядок остановки.
9. Расширять доступ только после проверки предыдущего этапа.

Главный вопрос не в том, можно ли обучить агента быстрее двух месяцев. Сначала нужно понять, какую задачу он решает, что означает готовность, какие данные ему действительно нужны и что произойдёт при ошибке. Только после этого можно оценивать срок, выбирать платформу и решать, какой уровень самостоятельности допустим.

____________________________________________

Если у вас остались вопросы — пишите в сообщество «Нэйта» или на почту info@neyta.ru. Мы всегда рады помочь разобраться!

👉 Подписывайтесь на наши ресурсы,

чтобы не пропустить следующие статьи:

Нэйта ИИ | новости технологий
Нэйта | сообщество ВК

____________________________________________

Статья подготовлена автором с использованием инструментов искусственного интеллекта. ИИ помогал со структурой и формулировками; факты, выводы и итоговая редактура выполнены и проверены автором.