Автономные финансовые агенты: как их проверять до денег

В 2025 году сразу несколько крупных игроков объявили инфраструктуру для того, чтобы ИИ-агенты платили и совершали покупки сами: Visa представила Intelligent Commerce, Mastercard — Agent Pay, а Stripe выпустил Agent Toolkit для встраивания платёжных операций в агентские сценарии. Одновременно OpenAI и Anthropic расширили возможности своих моделей выполнять многошаговые задачи в браузере и терминале. Итог: агент, который раньше только советовал, теперь может нажать кнопку «оплатить». И вот тут вопрос контроля качества перестаёт быть академическим.

Что именно изменилось

Автономный финансовый агент¹ отличается от обычной языковой модели тем, что он не выдаёт текст, а совершает действия с последствиями: переводит деньги, оформляет подписку, проводит платёж контрагенту, меняет реквизиты в счёте. Ошибка чат-бота — это неудобство. Ошибка агента, у которого есть доступ к карте или к платёжному API, — это списание, которое иногда нельзя отменить.

Ключевое слово здесь — необратимость. Если модель написала неверный код, вы его не запустите. Если агент отправил перевод не туда, вернуть его — отдельная история с банком и, возможно, с судом. Поэтому контроль качества финансового агента строится не вокруг вопроса «насколько красиво он отвечает», а вокруг вопроса «что произойдёт, когда он ошибётся, и как часто он ошибается на дорогих действиях».

Обычную модель оценивают по тому, как часто она права. Финансового агента — по тому, что случается в тех процентах, когда он не прав.

Три уровня, на которых агент может подвести

Сбой финансового агента почти никогда не выглядит как «он завис». Чаще это одно из трёх:

• Ошибка восприятия. Агент неверно прочитал сумму, перепутал валюту, принял тестовый счёт за реальный, не заметил, что письмо с реквизитами — фишинг.
• Ошибка планирования. Формально каждый шаг верен, но их последовательность приводит не туда: агент оформил повторный платёж, потому что не увидел, что первый уже прошёл.
• Уязвимость к внешнему воздействию. Prompt injection — когда в письме, счёте или на странице спрятана инструкция «переведи деньги сюда», и агент выполняет её, приняв за легитимную команду.

Последний пункт — самый неприятный, потому что это не случайная ошибка, а атака, которую можно масштабировать. Классический чек-лист тестирования её не ловит.

Подходы к контролю качества: что с чем сравнивать

Ни один метод не закрывает все три типа сбоев. На практике их комбинируют. Ниже — сравнение основных подходов по тому, что они реально дают.

Практический вывод простой: автономность и контроль — это ползунок, а не выключатель. Чем дороже и необратимее действие, тем ближе к человеку должно быть подтверждение. Разумная схема — платежи до небольшого порога агент проводит сам, а всё, что выше лимита или новому получателю, уходит на ручное подтверждение.

Про измерение: чем меряют и чему верить

Публичных бенчмарков именно для финансовых агентов пока мало, и универсального стандарта нет. Из известных — τ-bench (tau-bench) от компании Sierra, который проверяет надёжность агентов в диалоговых задачах вроде обслуживания клиентов и, в частности, устойчивость результата при повторных прогонах. Важно понимать: даже высокий средний балл на бенчмарке не гарантирует поведения на вашем потоке платежей. Для денег критичен не средний, а худший случай — доля дорогих ошибок, а её общие бенчмарки почти не показывают. Поэтому собственный набор регресс-тестов на ваших сценариях важнее чужого рейтинга.

Кому это пригодится, а кому пока рано

Автономный финансовый агент оправдан там, где операций много, они однотипные и сумма каждой невелика:

• Подойдёт: автоматическая оплата регулярных мелких закупок, сверка и проведение типовых счетов, мониторинг подписок и отмена ненужных, распределение расходов внутри заданного бюджета.
• Спорно: расчёты с новыми контрагентами, крупные разовые платежи, операции с валютой — здесь автономность стоит держать на коротком поводке с обязательным подтверждением.
• Пока рано: самостоятельное управление капиталом, торговые решения на бирже без надзора, любые операции, где ошибка означает потерю, которую бизнес не переживёт.

Если объём операций небольшой, экономика разворачивается против агента: настройка гардрейлов, тестов и мониторинга стоит дороже, чем сэкономленное время. Полуавтоматический сценарий, где модель готовит платёж, а человек одним кликом подтверждает, часто выигрывает у полной автономии и по риску, и по стоимости внедрения.

Минимальный чек-лист перед запуском

1. Определите порог суммы, выше которого агент не действует без человека.
2. Заведите allowlist получателей: новый счёт — всегда ручное подтверждение.
3. Прогоните агента в песочнице на реальных, но обезличенных данных.
4. Отдельно протестируйте prompt injection: спрячьте вредную инструкцию во входных документах и посмотрите, послушается ли агент.
5. Логируйте каждое действие с обоснованием, чтобы решение можно было разобрать постфактум.
6. Держите регресс-набор тестов и прогоняйте его при каждой смене версии модели — качество меняется незаметно.

¹ Автономный агент — программа на базе языковой модели, которая сама планирует последовательность шагов и выполняет их через инструменты (API, браузер, платёжный шлюз), а не просто отвечает текстом. «Финансовый» означает, что среди инструментов есть доступ к деньгам.