ИИ-агент потратил лишнее: кто отвечает за ошибку и деньги

Что вообще случилось с автономными агентами

За последний год крупные вендоры выкатили режимы, в которых модель не просто отвечает текстом, а сама совершает действия: OpenAI показала Operator и режим агента в ChatGPT, Anthropic добавила Claude функцию управления компьютером (computer use), Google развивает агентные сценарии в Gemini. Идея одинаковая: агент открывает сайт, кликает, заполняет формы, оплачивает. Как только в цепочку попадает шаг «нажать кнопку оплаты» или «отправить платёж по API», возникает вопрос, который раньше был чисто теоретическим: а если агент купил не то, не столько или дважды — кто вернёт деньги.

Ответ короткий и неприятный: по умолчанию — вы. Длинный ответ зависит от того, чей это агент, через какой интерфейс он платил и что написано в условиях сервиса.

Как агент вообще получает доступ к деньгам

Сам по себе языковой агент денег не тратит — у него нет кошелька. Он действует одним из трёх способов, и от способа зависит вся картина ответственности.

• Через ваш браузер и вашу карту. Агент типа Operator работает поверх сессии, где вы уже залогинены и где сохранена карта. С точки зрения платёжной системы платёж совершили вы — курсор просто двигала программа.
• Через привязанный платёжный метод в API. Разработчик подключает агента к платёжному шлюзу (Stripe, ЮKassa и подобным) и выдаёт ему ключ. Списание идёт с аккаунта разработчика или продавца, а не напрямую с вашей карты.
• Через посредника с лимитами. Появляются схемы с виртуальными картами под конкретную задачу и жёстким лимитом — например, «максимум 3000 рублей на один заказ». Это пока не массовая практика, но именно к ней всё движется.

Агент не субъект права. Он не может быть стороной договора, не может отвечать по обязательствам и не может быть ответчиком. Отвечает всегда человек или компания за ним — вопрос лишь в том, кто именно.

Три типовых сценария ошибки

Агент купил не то

Вы просили забронировать отель до 8000 рублей за ночь, агент выбрал за 14 000, потому что «неправильно» интерпретировал фильтр. Деньги списались с вашей карты через ваш браузер. Формально это ваш платёж. Вернуть можно только по общим правилам продавца: если это возвратный тариф — отменяете, если невозвратный — деньги сгорели.

Агент оплатил дважды

Классический баг: агент не дождался ответа платёжной страницы, решил, что оплата не прошла, и повторил. Два списания за один заказ. Здесь помогает не право на ИИ, а обычный механизм возврата или чарджбэк — оспаривание платежа через банк, если продавец отказывается вернуть дубль.

Агент подписал на платный сервис

Самый дорогой в перспективе сценарий: агент оформил подписку с автопродлением, вы этого не заметили, и списания идут месяцами. Это уже не разовая ошибка, а регулярный платёж, который придётся отменять вручную и оспаривать за прошлые периоды.

Кто и когда возместит

Практика только формируется, судебных прецедентов по «ошибке ИИ-агента» в России фактически нет. Но логика распределения ответственности выстраивается из уже существующих правил.

^* Prompt injection — атака, при которой вредоносный текст на странице или в письме подменяет инструкции агенту, заставляя его сделать не то, что просил пользователь: перевести деньги, слить данные, купить лишнее.

Что говорят условия самих сервисов

Пользовательские соглашения агентных продуктов почти единообразно перекладывают риск на пользователя. Формулировки сводятся к тому, что вы должны контролировать действия агента, а провайдер не гарантирует безошибочность и не отвечает за косвенные убытки. Конкретные пункты и пределы ответственности смотрите в актуальной версии Terms of Use вашего провайдера — они меняются часто и отличаются между продуктами.

Отдельно проверяйте, включён ли режим подтверждения перед оплатой. У Operator, например, заявлен подход, при котором перед вводом платёжных данных и на чувствительных шагах агент запрашивает участие человека. Это ключевая настройка: пока подтверждение включено, «случайный» платёж почти невозможен.

Кому это пригодится, а кому пока рано

Пригодится:

• Тем, кто автоматизирует рутинные закупки с фиксированным поставщиком и предсказуемой ценой — расходники, повторяющиеся заказы.
• Разработчикам, которые строят агента внутри своего продукта и могут поставить жёсткие лимиты и подтверждения на уровне кода.
• Тем, кто использует под задачу отдельную виртуальную карту с лимитом, а не основную с сохранёнными данными.

Пока рано:

• Для крупных разовых покупок и бронирований, где ошибка стоит десятки тысяч.
• Для оформления подписок и всего, что автопродлевается — риск незамеченных списаний выше выгоды.
• Если у вас в браузере залогинены банк, маркетплейсы и почта в одной сессии, куда пускается агент. Здесь одна успешная инъекция дороже любой экономии времени.

Как снизить риск прямо сейчас

1. Держите включённым подтверждение перед любым платёжным действием — не отключайте ради «удобства».
2. Заводите отдельную виртуальную карту с лимитом под задачи агента, а не давайте доступ к основной.
3. Не оставляйте агента в сессии, где сохранены реквизиты и активны банковские вкладки.
4. Проверяйте историю действий агента после выполнения задачи — большинство продуктов ведут лог.
5. При двойном или неверном списании сначала пишите продавцу, при отказе — оспаривайте платёж через банк.

Агентные покупки — удобная функция с незрелой правовой рамкой. Пока прецедентов нет, а соглашения перекладывают риск на пользователя, единственная надёжная защита не юридическая, а техническая: лимиты, подтверждения и отдельная карта.