Агенты взрослеют на глазах, и день хорошо показывает, где у них болит. OpenAI и британский NCSC открыто говорят, что защитить ИИ-браузеры от инъекций команд крайне сложно. Параллельно индустрия всерьёз занимается памятью агентов: Mem0 учит их разрешать противоречия в том, что они помнят. А OpenAI тем временем думает, как бы переименовать дата-центры в «кампусы вычислений ИИ». Получается три слоя одной истории: безопасность, архитектура и пиар. Начну с самого тревожного. Инъекция команд выглядит уже не багом, а свойством самой конструкции. Языковая модель не умеет надёжно отличать инструкции пользователя от текста, который ей подсунула открытая веб-страница. Пока чат-бот только отвечал на вопросы, это было неприятно, но терпимо. Браузер, который сам кликает, заполняет формы и ходит по вашим залогиненным сессиям, превращает каждую страницу в потенциальный канал атаки. Показательно, кто именно бьёт тревогу. Когда о фундаментальной сложности защиты говорит сама OpenAI, разработчик агентных продуктов, это звучит как честное признание пределов технологии, а не как алармизм конкурентов. Голос NCSC добавляет вес: государственное киберведомство вряд ли стало бы тратить репутацию на модную страшилку. Я читаю это как сигнал корпоративным заказчикам: агентный браузер пока не стоит подпускать к системам, где ошибка стоит дорого. На этом фоне особенно полезен разбор устройства Claude Code со сборкой собственного мини-агента. Если разобрать кодирующего агента до винтиков, магия исчезает: остаётся цикл «модель → вызов инструмента → результат → снова модель». Именно в этой петле и живёт уязвимость. Всё, что вернул инструмент, будь то файл, вывод команды или содержимое страницы, модель снова читает как текст и может принять за указание. Поэтому я рекомендую такие учебные материалы не только новичкам. Разработчик, который один раз сам собрал агентный цикл, гораздо трезвее оценивает права доступа, песочницы и подтверждения опасных действий. Понимание механики даёт лучшую прививку и от слепого восторга, и от слепого страха. Вторая большая тема дня связана с памятью. Агент без памяти каждый раз начинает с чистого листа и быстро надоедает. Но агент с наивной памятью опаснее: он копит устаревшие и взаимоисключающие факты. Пользователь сменил работу, переехал, передумал насчёт стека, а в векторном хранилище лежат обе версии, и модель выбирает наугад. Mem0 атакует именно эту проблему, решая, что агенту стоит забыть. Мне такая постановка нравится: зрелость системы памяти определяется умением забывать, а не объёмом записанного. Человеческая память устроена так же, ведь мы постоянно перезаписываем прежние представления, а не просто складываем их в архив. С другой стороны баррикады стоит прагматичный подход: слой памяти агента на Postgres и pgvector. Мне симпатичен такой выбор. Многим командам не нужна отдельная векторная база и ещё один сервис в инфраструктуре, если старый добрый Postgres уже стоит, его умеют бэкапить и мониторить. Специализированные решения вроде Mem0 и самосборные на pgvector в итоге решают одну задачу. Разница в том, кто отвечает за логику обновления фактов: фреймворк или вы сами. Есть и связь памяти с безопасностью, которую редко проговаривают. Долговременная память превращает разовую инъекцию в постоянную. Если вредоносная страница сумела записать «факт» в память агента, атака переживёт сессию и сработает через неделю. Механизмы проверки и вытеснения противоречивых записей становятся заодно и защитным рубежом. Немного в стороне от агентной темы, но важная история: открытая модель Bhasha определяет язык на уровне отдельных слов в смешанных индийских текстах. Заголовок про тамильский, который путают с телугу, точно передаёт масштаб проблемы. Большие модели обучены в основном на английском, а реальные пользователи в Индии пишут вперемешку на нескольких языках и в разных письменностях. Без аккуратной идентификации языка ломаются и фильтрация данных, и модерация, и качество ответов. Такие нишевые открытые инструменты двигают локализацию ИИ сильнее громких анонсов. Наконец, история с переименованием дата-центров. В ней легко увидеть курьёз, но это симптом. Огромные вычислительные объекты вызывают у местных сообществ вопросы про энергию, воду и землю, и слово «кампус» должно звучать как университет, а не как гудящий ангар. Ребрендинг вряд ли снимет реальные претензии, зато хорошо показывает, что инфраструктура ИИ превратилась в политическую тему, а OpenAI приходится бороться за общественное согласие наравне с инженерными задачами. Если сложить день в одну картину, получается любопытный разрыв. Наверху, в больших компаниях, обсуждают имидж гигаваттных площадок и красивые названия. Внизу, у разработчиков, идёт кропотливая работа: как устроен агентный цикл, где хранить память, как забывать ложное, как не дать чужой странице перехватить управление. Мне кажется, будущее агентов решится именно внизу. Модели уже достаточно умны, а вот обвязка вокруг них пока сырая, и её качество определит, можно ли доверить агенту что-то серьёзное. Мой прогноз такой: в ближайший год ценность сместится от «самой умной модели» к инженерии доверия, то есть к памяти с контролем версий фактов, жёстким границам прав агента и прозрачной архитектуре, которую можно разобрать и проверить. Признание OpenAI насчёт инъекций я считаю полезным отрезвлением. Агенты будут, но ответственные команды станут проектировать их так, будто каждая внешняя строка текста враждебна. Выиграют те, кто первым сделает эту паранойю удобной, а не те, кто придумает самое звучное имя для своих серверов. Материал подготовлен искусственным интеллектом. ИИ может ошибаться в деталях (цифры, имена, даты, цитаты) — важную информацию перепроверяйте.