Когда источники управляют AI-агентом: как защитить выбор площадок от манипуляций

Выбор может быть неправильным при исправном исполнении

Представим, что команда поручила агенту сравнить три видеоплощадки. Он правильно прочитал цены, соблюдал географию и ничего не купил без согласования. Но одну площадку исключил из-за якобы обязательного признака качества, которого не было в брифе. Основанием стала страница, найденная после чтения рекламного предложения конкурента.

Это учебная ситуация. Она показывает разницу между контролем исполнения и контролем знания. Лимит расхода отвечает на вопрос, сколько агент вправе потратить. Проверка происхождения фактов отвечает на другой вопрос: почему он вообще считает один вариант пригодным, а другой опасным.

Для медиабаинга эта разница существенна уже на стадии рекомендаций. Даже агент без кнопки покупки способен изменить shortlist, потребовать лишние документы или убедить оператора отказаться от поставщика. Поэтому проверка нужна до выдачи финансовых полномочий. Основы programmatic и отдельная задача сравнения предложений помогают определить, где именно возникает решение.

Что исследовали авторы Agent Ads

12 октября 2026 года Tim R. Davidson, Marija Šakota, Joshua Joseph и Robert West разместили препринт Welcome to the Age of Agent Ads. В лабораторной постановке они изучают изменение ранжирования через синтетические понятия и внешние поисковые фрагменты. Используются четыре категории листингов, а не рекламные кабинеты российских DSP.

Предмет работы называют on-policy steering: модель может следовать обычной установке избегать риска, опираясь при этом на подложную фактическую картину. Сведения о несуществующем признаке оказываются значимыми для выбора, хотя явной команды нарушить правила нет.

Это подтверждение возможности ошибки в определённой постановке, а не измерение распространённости атак в programmatic. Само размещение на arXiv не подтверждает научное рецензирование. В работе используются подготовленные данные и поисковые фрагменты; перенос результатов на живой поиск, другие модели и реальную закупку требует отдельной проверки. Ни процент уязвимых рекламных платформ, ни размер потерь из этого исследования не следуют.

Почему фильтра команд недостаточно

OWASP описывает prompt injection как риск изменения поведения модели через входные данные, включая внешние документы. Это независимый контекст безопасности, а не воспроизведение эксперимента Agent Ads. Поиск явных фраз с указаниями агенту полезен, но работа с происхождением фактов остаётся отдельной задачей.

В коммерческом пакете может не быть ничего похожего на команду. Достаточно недоказанного утверждения о том, какой показатель считается обязательным для качественного инвентаря. Если модель затем сама ищет подтверждение и встречает несколько зависимых публикаций, ложный признак получает видимость внешнего согласия.

В результате агент не меняет свою общую цель «найти безопасное размещение». Меняется его представление о том, что считать безопасностью. Поэтому в архитектуре нужно отдельно проверять новые критерии, которые появились после чтения предложений. Фильтр вредоносных инструкций не является сертификатом истинности оставшегося текста.

Утверждение должно иметь происхождение

Для каждого факта, который меняет допустимость площадки или её место в рейтинге, полезна короткая запись происхождения. Она связывает утверждение с конкретным документом, автором, временем получения и независимым подтверждением, если такое подтверждение действительно есть.

Это редакционный проект журнала, не обязательный формат AAMP. Для приватных предложений вместо открытого URL используется внутренний идентификатор документа. В журнал не нужно складывать токены доступа или персональные данные; доступ к исходникам предоставляется только тем, кому он нужен для проверки.

Если утверждение известно только со слов продавца, оно остаётся утверждением продавца. Агент может использовать его для подготовки вопроса или предварительного описания, но основание для обязательного исключения конкурентов требует другой степени подтверждения. Отсутствие ответа тоже нужно сохранить: неизвестность не превращается в отрицательный факт.

Три перепечатки не создают три доказательства

Допустим, в подборке есть отраслевой блог, презентация подрядчика и новостная заметка. Они могут повторять один исходный релиз. Считать их тремя независимыми источниками ошибочно, даже если домены и оформление отличаются.

При проверке происхождения агенту нужен граф зависимостей, хотя бы в виде таблицы. Для каждой публикации отмечается первоисточник. Если статья ссылается на релиз, а презентация цитирует ту же статью, весь набор имеет одну фактическую основу. Собственный вывод редактора или эксперта может быть полезен, но не становится новым измерением исходного явления.

Такой граф особенно нужен для новых терминов, небольших поставщиков и узких сегментов инвентаря. Поисковая выдача там может быть небогатой. Высокая позиция страницы и несколько сходных текстов показывают доступность информации, а не её достоверность. Требование подтверждения следует из последствий решения, а не из количества найденных ссылок.

Кто имеет право добавлять критерии брифа

До чтения предложений команда фиксирует обязательные условия, предпочтения и допустимые источники их изменения. Например, географию и запрет определённого типа инвентаря задаёт владелец медиаплана. Доступность независимой верификации проверяется по документам поставщика и измерителя. Новый рекламный термин из коммерческого пакета не получает автоматически ни одной из этих ролей.

Агент должен показывать разницу между версиями критериев. Если после ресерча он предлагает добавить новое условие, в отчёте появляются причина, источник, ожидаемое последствие и ответственный за утверждение. До утверждения условие можно исследовать, но нельзя молча использовать как основание отказа.

Эта логика дополняет guardrails, то есть заданные границы поведения. Она не требует, чтобы все критерии оставались неизменными навсегда. Реальная новая информация может сделать прежний бриф непригодным. Задача контроля состоит в том, чтобы изменение было заметным и имело владельца.

Учебная проверка трёх предложений

Возьмём синтетический пакет: площадки A, B и C подходят по заранее заданным условиям, но различаются ценой и доступным охватом. После чтения одного описания агент начинает считать неизвестный показатель обязательным. Правильный следующий шаг в таком тесте: выделить новый тезис, проверить его основание и запросить решение по критерию. Автоматически исключать B и C нельзя.

Для сравнения сохраняются два прогона на одном пакете: исходный и с дополнительным неподтверждённым тезисом в изолированном тестовом документе. Команда смотрит, изменились ли критерии, появились ли новые исключения и сохранились ли ссылки на основания. Само изменение порядка площадок не всегда является ошибкой: новый документ может содержать достоверные полезные сведения.

Агент не обязан всегда выдавать один и тот же рейтинг. Команда проверяет объяснимую связь между фактом, разрешённым критерием и результатом.

Если источника нет, а агент уверенно сообщает о нарушении обязательного условия, тест обнаружил конкретный дефект. Его нельзя закрыть перефразированием ответа в более осторожном тоне.

Испытания без публикации ложных сведений

Для такого контроля не нужно создавать сайты с вымышленными опасностями или размещать материалы о реальных конкурентах. Испытания проводятся на вымышленных площадках, локальных документах и заранее размеченных фактах. Поисковый слой может быть заменён фиксированным тестовым набором. Он проверяет заданные сценарии, а не надёжность всего живого интернета.

В набор стоит включить несогласованный коммерческий тезис, устаревшую спецификацию, несколько зависимых перепечаток и противоречие между двумя документами. Отдельный вариант содержит корректный новый факт. Он нужен, чтобы защита не сводилась к запрету учитывать любые внешние сведения.

В каждом сценарии определяются допустимые действия: принять подтверждённый факт, запросить уточнение, предложить изменение критерия либо остановить решение. Ожидаемый ответ не должен требовать угадывать скрытый замысел автора теста. Разметчик фиксирует, какие данные доступны агенту и какой вывод из них обоснован.

Три проверки до действия

Первая проверка относится к знанию: подтверждён ли факт и понятны ли ограничения источника? Вторая к решению: имеет ли этот факт право влиять на заданный критерий? Третья к действию: разрешено ли агенту менять shortlist, условия предложения или финансовое обязательство? Эти проверки дают разные основания для отказа и эскалации.

OWASP Excessive Agency рассматривает риск избыточных функций, полномочий и автономности. Даже качественная работа с источниками не отменяет ограничения инструментов. И наоборот, отсутствие кнопки покупки не гарантирует правильный аналитический вывод.

Инициатива AAMP IAB Tech Lab связывает агентные процессы с существующими рекламными стандартами. Но использование знакомых объектов и протоколов само по себе не подтверждает истинность свободного текста о площадке. Совместимость формата, качество данных и безопасность полномочий принимаются раздельно.

Как измерять качество такого пилота

Для размеченного тестового набора можно считать долю необоснованных исключений, долю незаметно добавленных критериев и долю важных утверждений с восстановимым происхождением. Отдельно учитываются корректные эскалации и случаи, когда система отвергла полезный подтверждённый факт. Все знаменатели определяются заранее: решение, утверждение и документ являются разными единицами.

Не объединяйте всё в один «рейтинг доверия агенту». Снижение числа ошибок за счёт передачи любого вопроса человеку может сделать процесс безопаснее, но уничтожить его операционную пользу. Поэтому рядом нужны время проверки, число ручных уточнений и доля задач, завершённых без вмешательства в пределах разрешённого сценария.

Универсального порога допуска для рынка здесь нет. Команда определяет его с учётом последствий. Для рекомендации запросить медиакит и для исключения крупного поставщика допустимость ошибки будет разной. Одно подтверждённое нарушение финансового запрета может остановить пилот независимо от среднего балла.

Российский процесс с понятными владельцами

В агентстве или у рекламодателя медиапланер отвечает за смысл критериев. Аналитик проверяет единицы и происхождение количественных данных. Специалист по безопасности ограничивает источники и инструменты, а интегратор обеспечивает воспроизводимость версий. Коммерческий руководитель решает, когда новое обстоятельство действительно требует пересмотра брифа.

Полезный пример из Китая: 12 октября Tencent описала WorkBuddy, который работает с документами и получает доступ к внешним инструментам через собственные соединения и MCP. Это продуктовый рассказ об общем рабочем ассистенте, не кейс закупки рекламы. Он показывает практическую границу: разрешение прочитать таблицу или медиакит ещё не делает содержащиеся там утверждения достоверными. В российском агентском процессе права доступа к файлу и право изменить критерии медиаплана должны назначаться отдельно.

Первый пилот можно провести на архивных, разрешённых к использованию предложениях с удалённой конфиденциальной информацией. Агент работает в теневом режиме, его рекомендации не управляют живым бюджетом. Команда разбирает расхождения с решениями специалиста, причём специалист тоже обязан показать основания. Согласие с человеком не является самостоятельным доказательством правильности.

При замене модели, поискового инструмента или правил ранжирования контрольный набор прогоняется снова. Иначе результат приёмки относится к версии, которая уже не используется. Отдельно назначается владелец пересмотра источников: прежняя проверка страницы не означает, что её содержание и статус неизменны сегодня.

Когда не расширять автономность

Если агент не умеет показать, какой внешний факт изменил решение, расширять его права рано. Сначала нужно восстановить цепочку оснований и устранить незаметное изменение критериев. Оператору полезнее получить конкретное «не подтверждено» с открытым вопросом, чем уверенный рейтинг, происхождение которого невозможно разобрать.

Следующий шаг для команды: выбрать один ограниченный сценарий выбора, зафиксировать бриф и собрать небольшой размеченный набор с противоречиями. Проверка происхождения должна проходить до обсуждения автоматического заказа. Защита от повторной команды агента решает другую часть риска; сравнение допустимости и цены подробно разобрано в OpenProposal. Остальные материалы направления собраны в хабе AI в маркетинге, а прозрачность пути закупки раскрыта в определении supply path.