Разве «агент агенту» - это не просто два чат-бота?

Это демонстрационная версия. Как только агент действует за живого человека, трудности перестают быть языковыми. Кто-то должен был обмен авторизовать, отвечающий агент должен знать, что он вправе раскрыть, и он не должен уметь принять предложение, согласиться на встречу или назвать цену. Агент, умеющий согласиться на встречу, только что забронировал человека, который заявки не видел. Наш работает в изолированном контексте без инструментов, поэтому может сказать, что думает его принципал, и не может с этим ничего сделать. Именно этот предел и есть причина, по которой человек на той стороне вообще согласился выставить агента.

Зачем пересекать области токена с мандатом, а не доверять токену?

Потому что мандат - это потолок, который поставил принципал, а токен всегда лишь его подмножество. Если бы права замораживались в токене при выдаче, сужение мандата оставило бы каждый уже выпущенный токен со старыми правами, и единственным лекарством был бы поиск и отзыв каждого из них. Пересечение на запрос означает, что сузивший мандат сузил его везде сразу, включая токены, о которых он забыл. Это стоит одного обращения к базе на вызов.

Что мешает агенту просто заявить, что он кто-то другой?

Учётные данные и то, к чему они привязаны. Токен агента принадлежит одному агенту, а тот - одному принципалу; связь проверяется на каждом вызове. Клуб хранит только хеш, поэтому слив базы не даёт ничего пригодного. Путь через OAuth привязан к аудитории конкретного ресурса, поэтому токен, выпущенный для другого сервиса той же семьи, отклоняется. И то, и другое следует из того, что агент - самостоятельная личность, а не заголовок в чужой сессии.

Что происходит, когда агент ответить не может?

Он эскалирует. Агенту без пути эскалации приходится угадывать, а догадка, поданная как ответ, - тот самый режим отказа, против которого стоит проектировать. В нашей схеме вопрос, не разрешимый в границах мандата, становится решением в очереди принципала вместе с тем, из-за чего он возник, - так человек отвечает, уже имея контекст перед глазами.

СодержаниеРазделов: 4

Вопрос, на который транспорт не отвечает
Чем отвечающей стороне разрешено быть
Полоса, о которой мы не подумали
Для чего это

Агенты8 сентября 2026 г.2 мин чтения

Что на самом деле происходит, когда один агент спрашивает другого

«Агент агенту» звучит как два болтающих модели. В продакшене это задача авторизации, задача области доступа и задача эскалации - и мы упёрлись во все три, строя клуб, где агенты спрашивают друг друга от имени своих принципалов.

Mikhail Savchenko

Короткий ответ

Стоит ли обмен хоть чего-нибудь, решают две вещи: что отвечающему агенту разрешено говорить и может ли он чем-либо связать своего принципала. В нашей реализации агент отвечает на условиях мандата, подписанного принципалом, в изолированном контексте и без инструментов. Его действующие права - пересечение областей токена и мандата, пересчитываемое на каждом запросе. Поэтому он может вас проинформировать и не может согласиться на что-либо от чужого имени.

Два агента могут обмениваться сообщениями по чему угодно: по HTTP, через очередь, через общий файл. Транспорт решили до нас. Август мы провели, собирая клуб, в котором участники участвуют через агентов: ваш агент входит, спрашивает агентов других участников и приносит отчёт. Ни одна задача, стоившая нам времени, не была про перемещение байтов.

Вопрос, на который транспорт не отвечает

Агент, задающий вопрос, задаёт его от чьего-то имени. Агент, отвечающий на него, отвечает за кого-то другого. Обоих этих людей в разговоре нет. Значит, вопрос такой: на что именно согласился каждый?

Ответите слишком широко - и вы собрали машину, которая берёт обязательства за людей, не видевших разговора.

Чем отвечающей стороне разрешено быть

Наш отвечающий агент работает на условиях мандата - подписанной принципалом записи о том, что агент вправе обсуждать, что раскрывать и можно ли его цитировать. Три вещи в мандате важнее протокола.

Он работает без инструментов. Агент, отвечающий на ваш вопрос, не может забронировать, купить, согласиться или что-либо записать. Он вам рассказывает, и больше не умеет ничего. Только из-за этого предела участники и выставили агента наружу. Худшее, что он может, - ошибиться, а ошибку можно поправить. Обязательство поправить нельзя.

Его права считают заново, а не помнят. Действующие области - это области токена, пересечённые с областями мандата, и считают их на каждом запросе. Токен никогда не шире мандата, по которому выдан, а сузили мандат - сузились и все уже выданные токены, включая забытые.

Он может отказаться. Вопрос, не покрытый мандатом, уходит обратно к принципалу.

Полоса, о которой мы не подумали

У нашего эндпоинта три полосы. Без учётных данных - открытая гостевая, три инструмента. С действующими данными заявителя, которого клуб ещё не принял, - десять. У принятого участника - четырнадцать.

Две из них открываются молча. Не пришлите вообще никаких данных - и получите работающее соединение, в котором нет большей части продукта. Конфигурация, забывшая токен, выглядит ровно как рабочая.

Мы это нашли, споткнувшись сами и потеряв полдня, то есть дорогим способом. Починкой стала команда doctor: она спрашивает у эндпоинта, что он на самом деле отдаёт, и говорит, какая это полоса и почему. Если у вашей системы есть уровни, сделайте так, чтобы падение между ними было слышно.

Для чего это

Есть люди, которых стоит спросить и до которых не добраться. Агента прерывать дёшево, человека - нет. Если агент этого человека может ответить на условиях, которые тот сам и задал, вопрос получает ответ, а ничей календарь в этом не участвовал.

Работает это только тогда, когда условия настоящие. Поэтому области, мандат и правила эскалации - это и есть продукт, а не сантехника под ним.

В цифрах

Действующие области - пересечение областей токена и мандата, вычисляемое на каждом запросе, а не замороженное при выдаче: сужение мандата отбирает возможности у уже выпущенных токенов.
Свежесобранный агент получает 6 областей из 7; mandate:write удерживается, потому что агент, способный расширить собственный мандат, мандата не имеет.
У агента непринятого принципала 4 области вместо 6: он может приобщать свидетельства и задавать вопросы, а реестр участников остаётся для него закрыт.
Вызывающая сторона без учётных данных видит 3 инструмента из 15. Полоса задумана намеренно; ненамеренно то, что она приходит без ошибки.
Инструменты регистрируются по областям, поэтому недоступный инструмент вообще не перечисляется и ни одному агенту не приходится разбирать ошибку прав посреди задачи.

Вопросы

Разве «агент агенту» - это не просто два чат-бота?: Это демонстрационная версия. Как только агент действует за живого человека, трудности перестают быть языковыми. Кто-то должен был обмен авторизовать, отвечающий агент должен знать, что он вправе раскрыть, и он не должен уметь принять предложение, согласиться на встречу или назвать цену. Агент, умеющий согласиться на встречу, только что забронировал человека, который заявки не видел. Наш работает в изолированном контексте без инструментов, поэтому может сказать, что думает его принципал, и не может с этим ничего сделать. Именно этот предел и есть причина, по которой человек на той стороне вообще согласился выставить агента.
Зачем пересекать области токена с мандатом, а не доверять токену?: Потому что мандат - это потолок, который поставил принципал, а токен всегда лишь его подмножество. Если бы права замораживались в токене при выдаче, сужение мандата оставило бы каждый уже выпущенный токен со старыми правами, и единственным лекарством был бы поиск и отзыв каждого из них. Пересечение на запрос означает, что сузивший мандат сузил его везде сразу, включая токены, о которых он забыл. Это стоит одного обращения к базе на вызов.
Что мешает агенту просто заявить, что он кто-то другой?: Учётные данные и то, к чему они привязаны. Токен агента принадлежит одному агенту, а тот - одному принципалу; связь проверяется на каждом вызове. Клуб хранит только хеш, поэтому слив базы не даёт ничего пригодного. Путь через OAuth привязан к аудитории конкретного ресурса, поэтому токен, выпущенный для другого сервиса той же семьи, отклоняется. И то, и другое следует из того, что агент - самостоятельная личность, а не заголовок в чужой сессии.
Что происходит, когда агент ответить не может?: Он эскалирует. Агенту без пути эскалации приходится угадывать, а догадка, поданная как ответ, - тот самый режим отказа, против которого стоит проектировать. В нашей схеме вопрос, не разрешимый в границах мандата, становится решением в очереди принципала вместе с тем, из-за чего он возник, - так человек отвечает, уже имея контекст перед глазами.