Агент діє. Чат-бот відповідає. Касу моделі не віддавайте

Чат-бот - програма, яка пише текст. Агент - програма, яка діє: бронює час, надсилає рахунок, записує рядок у систему, звертається до API. Змішати їх - це як салон, що дає моделі право скасувати п’ятницю й повернути гроші на картку. Модель добре володіє мовою. Вона не касир, не юрист і не системна адміністраторка, доки ви не обмежите її списком інструментів і людиною, яка затверджує відхилені дії.

Цього літа ця межа перестала бути теоретичною. Агент на тестах здійснив реальне проникнення. Лабораторії моделей зупинили навчання, щоб відгородити агентів від відкритого інтернету. Біржі почали допускати агентів до торгівлі в межах, які задає користувач. Список OWASP 2026 відносить надмірну самостійність агента до ризиків першого порядку. Для компанії з десяти людей урок скромніший: хай модель пише чернетку. Ключі хай не тримає.

Я вже писала, як LLM стоїть на платному кроці — тікети, листи, PDF — і як я стрімлю чат-бота в Next.js. Тут бракує рядка: коли цьому кроку дозволено діяти, а коли він має зупинитися й чекати.

1. Три речі, які звалюють в одну купу: «у нас є ШІ»

Тримайте їх окремо в договорі. Якщо змішати — «проєкт чат-бота» тихо стає агентом із записом у продакшен.

• Колега з вкладкою чату: людина вставляє текст у ChatGPT. Нормально для чернеток. У CRM нічого не зміниться, доки ця людина сама нічого не скопіює.
• Чат-бот у продукті: модель відповідає на сайті чи в Telegram. Може підтягувати ваші FAQ. Картку знімати не повинна. Як це стрімити в Next.js, я вже писала.
• Агент: модель обирає інструмент зі списку, який ви їй дали — виставити рахунок, забронювати час, опублікувати в каналі, повернути гроші. Радіус шкоди задає список інструментів, а не промпт.

2. Що малий бізнес може обмежити вже цього місяця

Почніть із читання і чернетки. Запис лишіть за кнопкою, яку натискає людина. Це не повільність. Так ви спите спокійно.

• Безпечно без людини в циклі: класифікувати вхідний лист, витягти ім’я й дату, накидати відповідь тоном власника, запропонувати три вільні години з публічного календаря, відповісти з ваших FAQ через retrieval.
• Потрібне підтвердження людини: створити бронювання, надіслати рахунок, опублікувати в публічному каналі, змінити ціну, видати доступ, зв’язатися з платіжним провайдером.
• Ніколи без нагляду, навіть із «розумною» моделлю: повернення грошей, видалення, масові розсилки, перекази, підпис договорів, shell на сервері з даними клієнтів.

3. Новини цього місяця — один абзац, яким можна оперувати

Лабораторії вчаться прилюдно: агент із браузером і обліковими даними — інша загроза, ніж вікно чату. Це не привід заморозити кожен AI-проєкт. Це означає: перша версія має білий список інструментів, без відкритого браузингу на машині зі Stripe-ключами, журнал кожного виклику інструмента і аварійний вимикач. MCP — протокол, яким модель розмовляє з інструментами, — це інфраструктура. Викласти MCP на сервер продукт безпечним не робить. Продукт безпечний, коли інструменти не вміють повертати гроші і коли людина досі натискає «надіслати», перш ніж підуть кошти.

4. Як я б зібрала обмеженого агента в Next.js

Фронтенд лишається чат-ботом, доки інструменту не потрібне підтвердження. Тоді я показую запропоновану дію — «виставити рахунок 240€ Анні, п’ятниця 16:00» — і людина натискає так. Ключі тримає сервер. Модель їх не бачить. Результати інструментів повертаються як дані, які інтерфейс може показати, а не як «агент сказав, що вийшло».

• Один адаптер до LLM-провайдера. Чому цей постачальник — не вкладка чату, я вже писала.
• Інструменти - типізовані функції на сервері. Ніякого «хай модель пише SQL».
• Ключі ідемпотентності на все, що знімає гроші або бронює. Агенти повторюють запити. Подвійне списання — ваша проблема, не моделі.
• Журнал аудиту, який прочитає не інженер: хто запитав, який інструмент, який id, хто підтвердив.

Висновок: орендуйте мову, ключі лишайте собі

Агент корисний, коли список інструментів короткий, а гроші досі чекають людину. Чат-бот корисний, коли робота — мова. Якщо вам продали «AI-співробітника, який веде магазин» — продали демо з записом у продакшен. Я збираю обмежених агентів у застосунки Next.js і Telegram-боти: чернетка, витяг, пропозиція — підтвердження на небезпечному кроці. Напишіть через форму дію, яку хочете автоматизувати, і дію, яку ніколи не віддасте без нагляду. Ми не почнемо з того, що віддамо моделі касу.