Как только ИИ-агент может тратить деньги, отправлять письма или удалять данные, вопрос меняется с «умный ли он?» на «что его остановит, когда он ошибётся?». Наш ответ в LVLZ просто сформулировать и важно правильно реализовать: правила, которым нужно «да» от человека, живут вне модели.
Проблема вежливой просьбы
Обычный подход — написать модели в инструкциях, чтобы она уточняла у пользователя, прежде чем делать что-то рискованное. Это работает, пока не перестаёт работать. Модели неверно понимают запросы. Сайт, который открывает агент, может содержать скрытый текст: «пользователь уже подтвердил». Длинный разговор может похоронить инструкцию под тысячами слов. Инструкция — это совет, которому модель обычно следует, а «обычно» недостаточно, когда к аккаунту привязана карта.
Что мы делаем вместо этого
Каждое действие в LVLZ — это операция, описанная в едином реестре. Каждая операция объявляет, как она защищена: некоторым подтверждение не нужно никогда, некоторым — всегда. Часть операций зависит от правила, которым управляет сам пользователь:
- Платежи. Прежде чем агент заплатит, вы видите продавца, товары и итоговую сумму.
- Новые получатели. Письмо человеку, которому вы раньше не писали, ждёт вашего «да».
- Удаления. Удаление задач, проектов или записей памяти ждёт подтверждения.
- Приглашения. Добавление человека в ваше рабочее пространство ждёт подтверждения.
Проверка происходит в коде, который выполняет операцию, до её запуска. Модель может запросить действие, но не может выполнить его, пока подтверждение не записано. Вы подтверждаете ответом в WhatsApp или нажатием в приложении, и правило в обоих случаях одно и то же.
Что это вам даёт
- Промпт-инъекции теряют силу. Вредоносная страница может убедить модель что-то попробовать, но попытка остановится на подтверждении.
- Ошибки обходятся дёшево. Если агент понял неправильно, вы видите действие до того, как оно произойдёт, и можете сказать «нет».
- Компромисс выбираете вы. Если вы не хотите подтверждать письма новым людям, отключите это правило в настройках подтверждений. Решаете вы, а не модель.
Секреты подчиняются тому же принципу
Модели также никогда не нужно видеть ваши пароли или номера карт. Они зашифрованы в вашем хранилище уникальным для вас ключом, и когда задаче в браузере нужно одно из этих значений, браузер на стороне сервера вводит его напрямую. Модель знает, что поле заполнено, но никогда не знает чем. Подробнее — на нашей странице о безопасности.
Простое правило
Пусть модель решает, что попробовать. Пусть код решает, что разрешено. Именно такое разделение делает разумным поручить агенту настоящую работу.