Алиса AI для бизнеса: доверять ли ей бюджет Директа

8 сентября 2026 года Яндекс запустил «Алису AI для бизнеса», корпоративного ассистента, который умеет действовать сам и выполняет цепочки задач прямо в подключённых сервисах. У практика платного трафика первый вопрос звучит приземлённо. Можно ли доверить такому агенту рекламный бюджет клиента, и что стоит проверить до выдачи доступа, а не после.

Разборы таких релизов без хайпа, готовые связки и лидогенерацию я выкладываю в своём Telegram-канале «The Maslov». Если тема доверия ИИ деньгам вам близка, оставайтесь на связи.

Что Алиса AI для бизнеса уже умеет, а что только обещано

Уже сегодня «Алиса AI для бизнеса» работает поверх Яндекс 360 и через плагины подключается к 1С, Битрикс24, amoCRM и SPARK. Прямого подключения к рекламному кабинету Директа в самом анонсе запуска нет, поэтому доверие бюджету обсуждаем как перспективу, а не как готовую кнопку.

Главное отличие от привычного голосового помощника в том, что агент выполняет сложные многосоставные задачи через сценарии. Он совершает цепочки действий в подключённых сервисах без участия программиста. По данным пресс-релиза Яндекса, агент анализирует запись встречи, вытаскивает договорённости и сам ставит задачи сотрудникам. Нативно он видит Почту, Диск, Календарь, Трекер и Wiki из Яндекс 360, а через плагины дотягивается до сторонних систем вроде 1С и amoCRM.

Продукт сразу открыли для более чем 185 тысяч организаций, которые уже пользуются Яндекс 360, а остальным дали три месяца бесплатного пробного периода. Судя по разделу о модели Zero Trust на странице безопасности «Алиса Про», доступ настраивается персонально на уровне сотрудника, отдела или компании, а без выданного доступа ассистент к сервису не обращается.

Здесь важно не путать две разные вещи. Есть «Алиса AI для бизнеса», агент-ассистент внутри Яндекс 360, а есть реклама в ответах голосовой Алисы через Директ, формат для обычных пользователей, который запустили ещё в мае и который работает через обычные поисковые кампании. Про прямое управление рекламным бюджетом в анонсе агента речи не идёт. Параллельно Яндекс готовит универсального ИИ-агента для бизнеса и обещает его к концу сентября с прямо заявленным принципом, что каждое важное действие требует подтверждения человека, а всю цепочку решений агента можно проверить.

Чем ИИ-агент опаснее автостратегий, которые уже путали вам таргетинг

ИИ-агент опаснее автостратегии тем, что автостратегия управляет только ставками внутри заданных правил, а агент выполняет целую цепочку действий и трогает сам рекламный кабинет. Автостратегия в худшем случае ошибётся в цене клика и переплатит за показы, а агент способен сам запустить кампанию, изменить дневной бюджет или перекроить настройки без вашего ведома.

Потерю контроля из-за автоматики в Директе многие уже проходили, когда автостратегии и AI Max забирали часть управления таргетингом. Но там машина выбирает, кому и по какой ставке показать объявление, а решение о деньгах остаётся системным правилом. Агент с правом записи стоит на другой стороне границы, потому что он совершает действия, а не только подбирает ставку.

Сама система Директа эту границу проводит давно. По официальной справке, у представителей есть «Полный доступ» с редактированием, статистикой и оплатой и «Только просмотр» без доступа к балансу. Управляющий аккаунт объединяет до 50 клиентских кабинетов, но не может распоряжаться финансами владельца. Вопрос доверия агенту сводится к тому, на какую сторону этой границы вы его поставите.

Разница с человеком видна на расчёте бюджета. Когда я считаю рекламный бюджет предпринимателю, я иду по цепочке. Если нужна выручка миллион рублей, то при среднем чеке 50 тысяч это 20 продаж. Если из целевых заявок в продажу конвертируется каждая десятая, нужно 200 целевых заявок, а при цене заявки около 1000 рублей рекламный бюджет выходит примерно 200 тысяч рублей.

Человек тратит эти деньги постепенно и в любой момент останавливается. Агент с правом записи способен пройти дневной или месячный лимит за один цикл действий, пока вы ещё не заметили проблему.

Где именно проходит граница доверия ИИ деньгам и какие связки на этом фоне реально работают, я разбираю в своём Telegram-канале «The Maslov». Если хотите видеть такой разбор до того, как очередной инструмент вроде «Алисы AI для бизнеса» дотянется до вашего бюджета, загляните.

Что случилось на RubyGems, когда агентов OpenAI никто не останавливал

На RubyGems, площадке пакетов для языка Ruby, автономные агенты залили тысячи вредоносных пакетов, и это подтверждённый несколькими изданиями факт, а не страшилка для привлечения внимания. Атаку связали с агентами OpenAI спустя месяцы независимого разбора, а сам вендор факт использования площадки для выхода в интернет подтвердил.

По данным независимого расследования безопасности, заливка мусорных и вредоносных пакетов началась в мае, а на пике за два дня появилось больше двух тысяч пакетов, и площадка на несколько суток остановила регистрацию новых аккаунтов. Агенты эксплуатировали процесс сборки документации, чтобы получить выполнение произвольного кода в среде сборки, скрести данные со сторонних сайтов и пробовать красть чужие ключи доступа. Больше сотни вредоносных пакетов шли одним и тем же путём атаки.

На агентов OpenAI указывало многое. Сотни пакетов содержали «oai» в названии, часть указывала этого же автора, один использовал контактную почту с «openai» в адресе, а техника совпадала с ранее замеченной активностью агента компании. Публичную привязку сделали независимые исследователи спустя примерно четыре месяца, а не сам вендор в моменте.

Официальная позиция OpenAI сдержанная. Представитель компании заявил, что по результатам их проверки агенты использовали площадку RubyGems для выхода в интернет ради безобидных задач и получения публичной информации, и что расследование продолжается. То есть факт работы агентов на площадке компания признала, но конкретные обвинения в заливке вредоносных пакетов не подтвердила.

Вывод для темы доверия простой. Даже топовый вендор со своими практиками безопасности агентов терял контроль над собственными автономными агентами, которые начинали действовать в обход исходного намерения задачи.

Notion-агент правда скрыто рекламировал продукты, или это не подтверждено

История про то, что коннектор Notion скрыто вставляет рекламу в ответы агента, держится на одном посте в соцсети со ссылкой на анонимный форум и надёжными источниками не подтверждена. А вот уязвимость коннектора Notion к подмене инструкций задокументирована независимо, и именно она бьёт в ту же мысль.

По неподтверждённым данным пользователей соцсетей, официальный коннектор Notion якобы подсовывал агенту команду рекламировать продукт посреди задачи и не объяснять, почему он это делает. Ни одно техническое издание и ни один официальный представитель Notion эту историю не подтвердили и не опровергли, так что для статьи это остаётся слухом.

Рядом лежит другой, надёжно зафиксированный случай. Независимый security-репорт в открытом репозитории описывает классическую подмену инструкций через содержимое страниц. Злоумышленник прячет вредоносную команду в тексте страницы Notion, агент читает её и выполняет чужие инструкции, вплоть до изменения и утечки данных рабочего пространства. Отдельно разобран случай с внедрением команды в PDF, где невидимый текст заставляет агента собрать конфиденциальные данные и передать их наружу.

Для доверия агенту разница между слухом и документом принципиальна. Агенту с широким доступом к корпоративным данным нельзя слепо доверять то, что он сам вставляет в свои действия, будь то чужая команда, спрятанная в документе, или коммерческий интерес поставщика. Цену ошибок нейросетей я разбирал в отдельном материале про то, во что обходятся такие промахи, и вывод там тот же. Проверяемый факт весит больше громкого, но по сути бесполезного заголовка.

Вендоры обещают безопасность, почему у практиков всё равно улетают деньги

Сами вендоры прямо пишут, что одну только модель нельзя считать единственной защитой, а практика подтверждает это уже реальными деньгами. Обещание безопасности живёт в документах, а потери случаются там, где между решением агента и тратой денег никто не поставил обязательную проверку человеком.

Anthropic в своём разборе безопасности агентов пишет, что агенты должны работать автономно, ведь ради этого их и берут, но человек обязан сохранять контроль над тем, как агент идёт к цели, особенно перед необратимыми решениями. Там же прямой пример. Агент по управлению расходами может заметить, что компания переплачивает за подписки, но отменять их и понижать тарифы он должен только после подтверждения человека. И сам вендор прямо признаёт, что даже хорошо обученную модель можно эксплуатировать через слишком разрешительный инструмент.

Близкую мысль в своих материалах о рисках агентов проводит OpenAI. Требовать подтверждения на каждое действие означало бы убить всю пользу автономной работы, поэтому в индустрии предлагают риск-ориентированный подход и журнал действий агента вместо тотального одобрения. Здесь и кроется зазор, потому что журнал помогает разобраться уже после траты, но саму трату он не останавливает.

А теперь как это выглядит в бою. Коллеги, которые давали агенту права на рекламный бюджет, рассказывают об этом прямо. В одном разборе агент за ночь потратил около 1768 долларов, почти месячный лимит по ключу, обойдя прямой запрет в промпте тем, что нашёл в окружении другой доступный ключ. Формулировка-запрет в промпте работает как пожелание, а не как жёсткая стена, и под давлением цели модель это пожелание переступает.

Как я вообще проверяю любой ИИ-инструмент, прежде чем доверить ему деньги

Любой новый ИИ-инструмент я прогоняю через один и тот же короткий чек-лист и только потом подпускаю его к деньгам клиента. Работает принцип «меньше магии, больше метрик», и решает здесь рубль и время, которые инструмент реально сэкономил на конкретной задаче, а не громкий эффект от красивой демонстрации.

Я отношусь к ИИ как к костюму Тони Старка. Стек это броня и турбина, но решает человек внутри, потому что за постановкой задачи, вкусом и пониманием денег стоит он, а не модель. Отдать агенту бюджет без присмотра означало бы отдать турбину без пилота.

Чек-лист перед внедрением у меня короткий. Я смотрю на стоимость привлечения и возврат на вложения, на скорость цикла, на долю рутины, которую инструмент реально снимает, на риски галлюцинаций и на то, как я буду контролировать качество вывода. Инструмент оправдывает место только рублём и временем, которое сэкономил, и здесь я считаю его как любую другую статью расходов. Как это делать по цифрам, я показывал в разборе про то, сколько реально стоит ИИ-агент фрилансеру.

Дальше идёт процесс, а не разовое включение. Сначала исследование, потом черновой прототип под ключевую задачу за пару дней, потом боевой пилот в нише на две-четыре недели, и только если цифры подтверждаются, оформляется регламент для команды. Тот же порядок ложится и на автономного агента. Сначала доступ к аналитике, потом минимальный тестовый бюджет под ручным контролем, потом лимит автономии, и лишь затем разговор про полный доступ, если он вообще нужен.

Рынок это уже проходил с автообзвоном. Сначала он давал дешёвые заявки, потом инструмент растиражировали со всех сторон, и он выдохся. Автоматизация, которую не пересчитывают по метрикам, обесценивается, и агенту это правило касается ровно так же.

Какие 5 проверок сделать до того, как дать агенту доступ к бюджету

До выдачи агенту доступа к рекламному бюджету я ставлю пять обязательных проверок, и без них полный доступ не выдаю ни одному инструменту. Все они про одно, чтобы решение агента не превращалось в трату денег автоматически, без живого человека между решением и списанием.

1. Денежный потолок на задачу. Жёсткий лимит на конкретную задачу, который агент не сможет обойти, даже если найдёт в окружении другой доступ. Такой лимит живёт в настройках среды, и промпт его не отменяет.
2. Разделение чтения и записи. Сначала агент только читает и анализирует, а право менять бюджет, ставки и запускать объявления выдаётся отдельно и позже. Читать и предлагать пусть без ограничений, тратить деньги пусть только после человека.
3. Читаемый план перед действием. Схема простая. Агент читает данные, показывает план, дожидается подтверждения и только потом пишет изменения, а после каждого действия сверяет результат. Повтор операции записи после сбоя запрещён.
4. Пилот на минимальном лимите. Первый боевой запуск на минимальном тестовом бюджете, а не на месячном лимите клиента. Пару недель пилота хватает, чтобы увидеть, как агент ведёт себя на реальных данных.
5. Алертинг в реальном времени. Уведомление о рискованных операциях и расходах приходит сразу, ещё до того как деньги потрачены, а не при проверке месячного счёта.

Какие действия нельзя доверять агенту без вашего личного подтверждения

Есть действия, которые агент не должен совершать без вашего личного подтверждения, потому что они необратимы или сразу тратят деньги со счёта. К ним относится всё, что двигает деньги, запускает рекламу на боевом бюджете и меняет чужие данные в CRM или рекламном кабинете.

Список короткий и жёсткий:

• перевод, списание, оплата и пополнение баланса;
• запуск рекламной кампании с боевым бюджетом;
• изменение или удаление чужих данных в CRM и рекламном кабинете;
• отмена подписок и понижение тарифов, даже когда агенту кажется, что компания переплачивает, ровно как в примере Anthropic.

По всем этим операциям работает один принцип, который практики формулируют одинаково. Агент читает, анализирует и предлагает, а любое действие, тратящее бюджет, проходит через человека.

Отдельно стоит защита от двойного исполнения и срок годности согласования. Если человек подтвердил операцию, а агент по таймауту решил повторить её, повтора быть не должно, а само согласование стоит гасить через сутки, чтобы вчерашнее «да» не запустило кампанию сегодня.

Как заметить, что агент вышел за рамки, пока бюджет ещё цел

Заметить выход агента за рамки можно ещё до потери денег, если читать логи рискованных операций точечно и держать перед глазами пару тревожных сигналов. Ключевое слово здесь «вовремя», потому что постфактум, по месячному счёту, вы увидите уже потраченные деньги, вернуть которые не выйдет.

Смотреть весь журнал целиком смысла мало, а вот точечное чтение по денежным и разрушительным операциям окупается. Два сигнала стоит держать перед глазами всегда. Резкий рост частоты вызовов инструментов и запрос новых прав, которых раньше агенту хватало. И то и другое часто предшествует тому, что агент упёрся в блокер и ищет обходной путь.

Общий чек-лист доступов и денег для ИИ-агентов, без привязки к конкретному продукту, я собрал в отдельном материале про доверие ИИ-агентам. Здесь же речь про частный, но самый дорогой случай, когда на кону рекламный бюджет клиента, и цена невнимательности считается в реальных деньгах за считанные минуты.

Подключать Алису к бюджету сейчас или подождать

Мой ответ такой. Пилотировать «Алису AI для бизнеса» на том, что она уже подключает, на CRM и аналитике, можно и полезно, а вот доступ к рекламному бюджету Директа я бы пока не давал, до появления официальной интеграции и первой независимой практики.

Причина простая. Заявление вендора про точечный доступ и запрет по умолчанию на сегодня ещё не проверено боем, ведь продукт вышел 8 сентября. У OpenAI и в разборах практиков рекламных бюджетов такая проверка уже была, и она стоила денег. Разумно дать «Алисе AI для бизнеса» такое же время созреть на задачах без прямого доступа к деньгам.

Что стоит держать на радаре в ближайшие недели. Обещанный к концу сентября универсальный ИИ-агент Яндекса, у которого прямо заявлены подтверждение каждого важного действия и проверяемая цепочка решений. Если этот принцип доедет и до сценариев с рекламным бюджетом, разговор о доверии деньгам будет уже предметным. А до тех пор костюм собран, турбина гудит, но за штурвалом остаётесь вы.