ИИ-агенты в закрытом контуре: автономные системы для бизнеса без облака

Разница не в модели. Одна и та же локальная LLM может работать чатботом, RAG-ассистентом или ядром агента — меняется обвязка вокруг неё. Поэтому вопрос «какую модель взять под агента» — второй. Первый: что вы дадите ей нажимать.

Чатбот отвечает на реплику и забывает контекст за пределами окна диалога. RAG-ассистент перед ответом ищет во внутренних документах — он подтягивает знание, но по-прежнему только говорит. Агент получает цель, декомпозирует её на шаги, вызывает инструменты, смотрит на результат, корректирует план и повторяет цикл, пока не решит, что задача закрыта. Мультиагентная система разносит эти роли по нескольким специализированным исполнителям с оркестратором.

Строка «что ломается при ошибке» — главная. Галлюцинация чатбота стоит недовольного пользователя. Галлюцинация агента с доступом на запись стоит некорректной записи в учётной системе, которую потом ищут неделю.

Отдельно про правый столбец. Мультиагентность в 2026-м продают как следующий уровень зрелости. В корпоративном контуре она чаще всего означает, что вы умножили число точек отказа на количество ролей и добавили новый класс багов — те, что живут в диалоге между агентами и не воспроизводятся дважды подряд. Если задачу закрывает один агент с внятным графом шагов, это лучший результат, а не признак отсталости.

На схеме всё выглядит аккуратно. В пилоте выясняется, что policy layer никто не описал, а «инструменты» — это три ручки внутреннего API с недокументированным поведением при пустом ответе.

Отдельно про память — это самая недооценённая точка утечки. Практически партиционирование решается так: каждый вектор в хранилище несёт метаданные с идентификаторами ролей или групп доступа, унаследованными от исходного документа, и фильтр по этим метаданным применяется на этапе поиска, до того как что-либо попадёт в контекст модели. Не после — постфильтрация бесполезна, документ уже прочитан. Альтернатива для контуров с жёстким разделением — отдельные коллекции под каждый уровень доступа: дороже по инфраструктуре, зато ошибка в фильтре не приводит к утечке.

Оценки ниже — по состоянию на середину 2026 года. За полгода тут меняется всё, кроме принципов, поэтому смотрите на графу «контроль состояний»: она устареет последней.

Проверяйте трафик, а не документацию. Экосистема LangChain по умолчанию включает трассировку в облачный сервис вендора: она отключается переменными окружения, и это описано. Проблема не в том, что это скрыто, — проблема в том, что подобные обращения появляются и в транзитивных зависимостях, о которых вы узнаёте позже. Правильная процедура для закрытого контура одна: поднять фреймворк в изолированной сети, погонять типовой сценарий и посмотреть на исходящие соединения tcpdump’ом.

Ролевые фреймворки продают удобство, а платите вы отладкой. CrewAI даёт красивый прототип за вечер: «агент-аналитик», «агент-редактор», делегирование. Через месяц вы пытаетесь понять, почему аналитик передал редактору пустой результат, и обнаруживаете, что вся логика решения живёт в свободном тексте диалога между ними. Воспроизвести не получается, потому что дважды подряд одинаково не выходит.

Скучное решение чаще выживает. Для узкого регламентированного процесса — compliance-проверка по пятнадцати правилам, сверка остатков — детерминированный конечный автомат с LLM в роли трёх-четырёх вызовов надёжнее универсального фреймворка. Меньше степеней свободы у модели — меньше поверхность отказа. Это неинтересно писать в блог, но именно это доезжает до прода.

Тут проходит граница между демо и системой, которую можно поставить в контур с КИИ.

Общий разбор атак на LLM — в статье о защите LLM от атак; за отраслевой ориентир имеет смысл держать OWASP Top 10 for LLM Applications — там собраны формулировки, которые понимает ваш безопасник. Здесь — специфика агентов: у них есть руки.

Из четырёх сценариев ниже два разобраны подробно — в них есть о чём спорить. Два остальных устроены проще, и раздувать их до того же объёма было бы честнее по формату, но бесполезнее по смыслу.

Считаем нагрузку до старта, а не после. Двадцать пять шагов на договор, сто договоров в месяц — это 2500 инференсов, около 120 в рабочий день, порядка пятнадцати в час в пике. Для модели среднего размера на одном ускорителе класса A100 это укладывается с запасом, даже с длинным контекстом на шаге извлечения реквизитов. Вывод, который стоит сделать здесь: узкое место — не GPU. Оно в очереди на подтверждение к юристу.

Почему восемь недель, а не четыре: недели 1–2 уходят на работу, которая к ИИ отношения не имеет, а прогон на исторических данных без параллельной работы даёт красивую метрику и никакой информации о том, будут ли этим пользоваться.

Не десять красивых пунктов, а семь, каждый из которых можно отметить галочкой или не отметить.

Три непройденных пункта из семи — это не «начнём и по ходу закроем». Это значит, что стоит начать именно с них, а не с выбора фреймворка.

Первый шаг — не пилот и не выбор фреймворка. Возьмите один процесс и честно ответьте: он вообще формализован? Если правила живут в головах, агент их не выучит — он будет уверенно воспроизводить свою версию.

Второй — таблица инструментов: что читает, что меняет, обратимо ли, чьими правами. Она же черновик модели угроз и она же половина ТЗ.

Третий — определить, что считается успехом. Не «агент работает», а «recall по расхождениям не ниже X при не более двух ложных срабатываний на договор». Без этого через восемь недель вы будете спорить о впечатлениях, и победит тот, кто громче.

Только после этого имеет смысл смотреть на LangGraph, CrewAI и остальное. Если контур ещё не готов к агентам — начните с более простого слоя: RAG-архитектура для корпоративных данных закрывает большую часть задач поиска и ответов, а fine-tuning на корпоративных данных помогает там, где нужна доменная терминология.