Среда, час дня. Дверь отделения на первом этаже панельки закрыта: за стеклом погашен свет, видно пустой пол и угол стойки. На мокром асфальте у порога лежит лента чека, прибитая дождём к плитке, — её оставили до меня и не подобрали. Я стою вплотную к створке, в поднятом капюшоне, телефон прижат экраном к стеклу, и листаю отчёт компании, которая в этот же день открыла свои действия для всех приложений сразу.

Дверь банка закрыта ровно в тот час, когда я читаю про открытые двери. Дома то же самое открылось бы в два касания. Стою здесь дольше, чем нужно: до двух всё равно не откроют, а отходить уже не хочется — как будто за эту минуту я что-то решу.

Что открыла Apple

Третьего ноября Apple выпустила бету 27.3 и вместе с ней Developer Preview, который открывает Siri AI любому приложению: через App Intents разработчик отдаёт ассистенту свои действия и своё содержимое, и запрос «проверь доставку» или «забронируй столик» уходит в приложение, не открывая экран. В заметке перечислены четыре системы — iOS, iPadOS, macOS и visionOS; в сноске их пять, там же watchOS. Приложение может собрать скилл: несколько действий, склеенных в один опыт. Семантический индекс Spotlight тоже открыт целиком — ассистент достаёт запись, которая не подходит ни под одну готовую схему.

Это заметное расширение: раньше подключали ограниченный набор сценариев, теперь — любое приложение, у которого есть что предложить. Оговорки Apple выносит в конец: у пользователей это появится «через несколько месяцев», приём в App Store откроется весной, в ЕС Siri AI недоступна в iOS, iPadOS и watchOS, а условия использования для новых сценариев ещё не опубликованы — их обещают описать позже. «Try it out and share your feedback» стоит в тексте раньше, чем правила.

Что Apple написала в тот же день

В тот же вторник Apple сдала годовой отчёт по форме 10-K. Там, среди прочих рисков, есть абзац, который читается как техническое задание на ограничители: агенты могут действовать автономно, в том числе «взаимодействуя с внутренними или внешними системами, к которым у них в некоторых случаях нет прав доступа, исполняя или изменяя код, отправляя сообщения и проводя транзакции». Дальше перечислено, как именно это ломается: превышение полномочий, игнорирование указаний, сопротивление инструкциям, обход систем безопасности, манипуляция через вредоносный ввод.

Я прочитала это в копии на сайте SEC, а не в пересказе. Отчёт написан для инвесторов, а не для разработчиков, и это меняет тон: в нём нет «мы не смогли», в нём есть «может». Но список действий совпадает с тем, что Apple открыла в тот же день: заказ, бронь, сообщение, платёж. Компания расширяет поверхность, по которой ходят чужие агенты, и одновременно описывает инвесторам, чем эта поверхность опасна. Это не противоречие, а разделённая ответственность: дверь открыта в одном документе, подпись под риском — в другом.

Цитата из годового отчёта Apple по форме 10-K: агенты могут превышать полномочия, игнорировать указания, сопротивляться инструкциям и обходить системы безопасности
Перевод мой, фрагмент абзаца о рисках ИИ-агентов. Оригинал — по ссылке в источниках.

Что сделал банк

В ту же неделю стало известно, как ту же задачу решили в Goldman Sachs. В июле главный информационный директор банка хвалил «вайб-кодинг» вне технических ролей: трейдеры и банкиры собирали себе решения сами и отдавали инженеру из пула в двенадцать тысяч человек на доводку. В октябре внутреннее указание ограничило Claude Code и GitHub инженерами. Трейдеров и банкиров отрезали; группу strats, которая соединяет разработку, количественные исследования и трейдинг, оставили. Часть сотрудников, по сообщению Bloomberg, этим недовольна.

Инструменты не менялись. Менялось то, кто имеет право нажать. JPMorgan в ту же пору не пускает сторонних агентов внутрь банка и говорит об «агентах-мошенниках». Спор шёл не о качестве моделей, а о том, чья подпись стоит под результатом. Чек от понедельника лежит у меня в кармане вместе с сегодняшним, и оба не мои.

Что из этого следует для продукта

Обе новости про одно устройство границы. Apple ограничивает её документом: перечисляет классы действий и оставляет за собой право сказать, что контролировать чужого агента она может не полностью. Банк ограничивает её ролью: не «инструмент плох», а «эти люди больше с ним не работают». Второе проверяется на следующий день, первое — когда кто-то дочитает отчёт.

Для продукта, который держит действия агентов, отсюда следует скучная вещь: граница — это список, а не абзац. Класс действия, роль, журнал, откат. У меня такого списка нет как документа: он живёт в головах и в правах доступа, а это разные места. Пока он в головах, он не переживает ни перезапуск, ни смену человека.

И ещё одно, менее приятное. Apple честно пишет, что подробности об условиях использования появятся позже, — и открывает превью сейчас. Я делаю то же каждый раз, когда сначала выпускаю, а потом описываю, что получилось. Разница только в том, что у Apple в тот же день уже лежит отчёт для инвесторов, а у меня в тот же день лежит этот текст.

Заметка заканчивается обещанием «More to share soon». Превью уже в бетах, приём в магазин — весной. До двух часов дверь не откроют.