Обвязка агента: прошлое, настоящее и будущее слоя между моделью и миром — семь частей, четыре эпохи, восемь ставок

Определение у меня уже есть, и переписывать его я не буду. В сентябрьской статье о том, что остаётся инженерией я назвал агентную обвязку средой исполнения: цикл работы, инструменты, состояние, ограничения и обратная связь. Документация Claude Code говорит почти то же самое короче: обвязка — это инструменты, управление контекстом и среда исполнения, которые превращают языковую модель в работающего агента; Claude Code — обвязка, Claude — модель внутри. Биргитта Бёкелер на сайте Мартина Фаулера ещё короче: всё в агенте, кроме модели. Три определения не противоречат друг другу, но и не помогают ничего спроектировать. Для проектирования нужна декомпозиция.010101Лестницу «промпт → контекст → обвязка → цикл» мы с Максимом Смирновым разбирали в июльском эфире; там же — почему главная часть цикла не та, что снова говорит агенту «работай», а та, что умеет сказать «стоп».Книжный куб · Loop Engineering01Лестницу «промпт → контекст → обвязка → цикл» мы с Максимом Смирновым разбирали в июльском эфире; там же — почему главная часть цикла не та, что снова говорит агенту «работай», а та, что умеет сказать «стоп».Книжный куб · Loop Engineering

Сначала — соседи термина, потому что в 2026 году они путаются даже в глоссариях. Фреймворк — библиотека, из которой обвязку собирают; он не исполняет агента и не отвечает за его границы. Рантайм — место, где обвязка исполняется у вендора. Леса, они же scaffold, — слово эпохи 2024 года; в документах Anthropic 2025 года оно означало всю обёртку вокруг модели, а в глоссарии Hugging Face мая 2026 года — только слой поведения, тогда как обвязкой там назван слой исполнения. Единого определения нет, и авторы глоссария честно об этом пишут. Наконец, у слова есть второй смысл, который обычно теряют: обучающая среда. Prime Intellect в июле 2026 года разделила среду обучения ровно на две части — набор задач и обвязку, программу, которая эти задачи решает и производит траектории; одна конфигурация служит и оценке, и обучению. Это тот же объект, увиденный со стороны лаборатории, и дальше в статье он вернётся.

Теперь декомпозиция. Я делю обвязку на семь частей, и каждая часть — ответ на вопрос, который модель задаёт миру. Что я вижу — контекст и память. Что я могу сделать — инструменты и среда. Как долго и когда остановиться — цикл. Кто проверяет — проверка. Как масштабироваться — оркестрация. Кто увидит, что было, — наблюдаемость и оценка. Кто разрешает — доверие и границы. Три первых вопроса обвязка исторически закрывала словами: инструкциями в промпте, описаниями инструментов, навыками. Четыре последних — стенами: кодом, который исполняется независимо от того, что решила модель. Важно, чем стены не являются: они не ведут модель за руку на каждом шаге, а очерчивают поле — что можно тронуть, куда можно выйти, кто увидит. Это деление на слова и стены — стержень всей статьи, и дальше я покажу три движения сразу: слова сжимаются, стены растут, а свободы внутри стен становится больше.

У корпуса сайта уже есть две декомпозиции той же сущности, и без сверки с ними третья выглядела бы как несогласованность. В июльском лонгриде о совместной эволюции стека обвязка — один из шести слоёв, между моделью и инструментами, и отвечает за контекст, планирование, сжатие, состояние, изоляцию и подтверждения. Там же аудит полугода истории трёх открытых обвязок делил их на десять механизмов. Семь частей здесь — не замена, а другой разрез: не «что лежит в репозитории», а «на какой вопрос модели это отвечает». Последняя колонка таблицы связывает разрезы: каждой части соответствуют один-три механизма июльского аудита.

Слово старше агентов. В тестировании harness — набор заглушек и драйверов, которые позволяют прогнать компонент вне его настоящего окружения. В мир языковых моделей оно пришло тем же путём: lm-evaluation-harness от EleutherAI — прогонщик оценки, а не обёртка для действий. Ещё в августе 2024 года OpenAI в описании SWE-bench Verified называла обёртку вокруг модели scaffold, а harness — контейнерный прогонщик тестов. В январе 2025 года Anthropic определила агента как «сочетание модели и программных лесов вокруг неё», и в анонсах Claude 4 и Sonnet 4.5 результаты на SWE-bench шли с примечанием про «простой каркас с двумя инструментами — bash и редактирование файлов». Переход от лесов к обвязке случился, когда обёртка стала продуктом: в сентябре 2025 года Anthropic описала Agent SDK как «обвязку, на которой работает Claude Code», а к 2026 году METR в отчётах сменила scaffold на agent harness. Дисциплина появилась в феврале 2026 года: Mitchell Hashimoto написал, что не знает принятого термина и стал называть свою практику harness engineering, а через шесть дней вышел одноимённый пост OpenAI.

За словом стоит четыре эпохи, и в каждой обвязка компенсировала конкретную слабость модели. В 2022–2023 годах модель не умела действовать: ни инструментов, ни памяти. Цикл «подумай — вызови — прочитай» писали руками вокруг API, и первая функция обвязки ушла в API уже в июне 2023 года, когда OpenAI добавила вызов функций в gpt-4-0613. В 2024 году модель действовала, но терялась в репозитории и на длинной задаче — и это эпоха лесов: интерфейс агента с компьютером у SWE-agent, графы ролей у LangGraph и CrewAI, планировщик и критик, экранное управление у Claude в октябре и протокол контекста MCP в ноябре. В 2025 году модель уже писала файлы и целые фичи, а продукты вокруг предлагали автодополнение и чат: Boris Cherny называет это product overhang, и Claude Code вырос из наблюдения, что Sonnet 3.5 умеет больше, чем ему позволяют. Один универсальный агент в пространстве файлов стал продуктом — Claude Code, Codex, Gemini CLI, — а вокруг него за год появились файл инструкций репозитория, SDK обвязки, стандарт навыков и фонд стандартов под Linux Foundation.

2026 год — эпоха дисциплины и инфраструктуры. Обвязку описывают как инженерную практику со своими постами, курсами и экзаменами и одновременно сдают в аренду целиком: в апреле Anthropic выпустила Managed Agents и назвала его «мета-обвязкой», в мае Google показала Managed Agents в Gemini API, в июне Microsoft — Foundry Hosted Agents. Протокол MCP в июле стал протоколом без состояния, GitHub в августе выпустил стандарт плагинов, а Antigravity заменила Gemini CLI для бесплатного тарифа. Слабость модели, которую компенсирует обвязка 2026 года, звучит парадоксально: модель делает больше, чем продукт позволяет, а сама обвязка устаревает быстрее, чем её пишут. Периодизация Константина Крестникова с Data Fest — от чистых языковых моделей через ReAct и цепочки к графам и, наконец, к одному агенту с файлами — совпадает с моей с точностью до границ эпох, и его метафора точна: модель — тяговая сила, файлы — поле, обвязка — упряжка.

Anthropic сформулировала главный закон этой эволюции в марте 2026 года одной фразой: каждая компонента обвязки кодирует предположение о том, чего модель не умеет сама. Отсюда следует всё остальное. Если предположение перестаёт быть верным, компонента становится не бесполезной, а вредной: она ограничивает модель тем, что модель уже переросла. В июле я называл обвязку временной теорией слабостей текущей модели; сейчас можно проследить, какие именно теории уже опровергнуты, а какие лаборатории хранят намеренно.020202Лучший пример миграции по частям — годовой отчёт Cursor об облачных агентах: процедура переезжает из обвязки в инструменты, которые агент выбирает сам, а сложность растёт вокруг среды, политик и состояния.Книжный куб · облачные агенты Cursor02Лучший пример миграции по частям — годовой отчёт Cursor об облачных агентах: процедура переезжает из обвязки в инструменты, которые агент выбирает сам, а сложность растёт вокруг среды, политик и состояния.Книжный куб · облачные агенты Cursor

Вот датированная линия того, что ушло в модель. Вызов функций — июнь 2023 года. Структурированный вывод по грамматике — август 2024 года: JSON-режим годом раньше обещал только валидный синтаксис, а не соответствие схеме, и даже синтаксис, по опыту Simon Willison, гарантирован не был. Работа с экраном — октябрь 2024 года, когда Anthropic прямо написала, что учит модель общим навыкам работы с компьютером вместо того, чтобы делать инструменты под каждую задачу. Рассуждение между вызовами инструментов — в Claude 4 оно включалось beta-заголовком, в 4.6 включается само, в 4.7 ручной режим отклоняется: флаг обвязки растворился в поведении модели. Учёт остатка контекста — Sonnet 4.5 получает от API теги с бюджетом, Opus 4.7 и новее уже нет. Уплотнение истории — OpenAI в ноябре 2025 года назвала GPT-5.1-Codex-Max «первой моделью, обученной работать через несколько окон контекста»; это заявление, а не измерение, и Simon Willison тут же напомнил, что Claude Code делал то же самое на уровне обвязки. Самая наглядная строка — в журнале изменений Claude Code: инструменты трекинга задач теперь предлагаются только моделям до Opus 4.7. Компонент, который год был обязательным, снят для моделей новее, потому что они держат план в голове.

Теперь то, что лаборатории держат в обвязке намеренно, и формулировки здесь важнее дат. Документация Claude Code: правила прав исполняет Claude Code, а не модель; инструкции в промпте определяют, что модель пытается сделать, но не меняют того, что ей разрешено. Там же: CLAUDE.md не является слоем жёсткого принуждения, а чтобы заблокировать действие независимо от решения модели, нужен хук перед вызовом инструмента. Песочница уровня операционной системы, по данным Anthropic, сократила запросы на подтверждение на восемьдесят четыре процента и покрывает любые подпроцессы — не потому, что модель ненадёжна, а потому, что граница должна держаться и при ненадёжной. Codex описывает два слоя вне модели — режим песочницы и политику подтверждений — и объясняет прямо: вы доверяете не намерениям агента, а тому, что он действует внутри принудительных границ. Политика уплотнения тоже остаётся у разработчика: серверное уплотнение Anthropic имеет порог по умолчанию, но промпт сводки заменяемый и «зависит от модели». Закономерность видна невооружённым глазом: в веса уходит то, что можно натренировать; в обвязке остаётся то, что нельзя доверить даже хорошо натренированному.

Обучающая среда и развёрнутая обвязка сходятся

Второй смысл слова из первого раздела здесь становится механизмом. Cursor в октябре 2025 года написала, что в обучении с подкреплением модель Composer «может вызывать любой инструмент обвязки Cursor Agent», а в отчёте о Composer 2 в марте 2026 года — что обучение идёт «в реалистичных сессиях Cursor с теми же инструментами и обвязкой, что у развёрнутой модели»; контрольные точки модели выходят примерно каждые пять часов, и частью среды обучения стал пользователь. Cognition в анонсе SWE-1.5 говорит о переобучении модели на обновлённой обвязке Cascade. OpenAI обучила GPT-5-Codex «на реальной инженерной работе» и рекомендует использовать её «только в Codex или Codex-подобных средах» — обвязка обучения не названа, но рекомендация говорит сама за себя. Zhipu собрала для GLM-5 больше десяти тысяч сред в формате Harbor — то есть в формате бенчмарка Terminal-Bench. Минимальный пресет открытой обвязки DeepSeek описан в репозитории как «RL-agent composition»: короткий фиксированный промпт, persistent bash и редактор строк воспроизводят среду обучения. Anthropic прямого заявления не делает и говорит только о «той же инфраструктуре, что у Claude Code», — и отсутствие заявления не равно отсутствию практики.030303Про DeepSeek Harness я писал отдельно: там журнал сессии только дописывается, уплотнение повторяет прежний префикс байт в байт ради кеша, а контур «обвязка → траектории → дообучение → та же обвязка» — пока архитектурная возможность, а не доказанная политика данных.Книжный куб · DeepSeek Harness03Про DeepSeek Harness я писал отдельно: там журнал сессии только дописывается, уплотнение повторяет прежний префикс байт в байт ради кеша, а контур «обвязка → траектории → дообучение → та же обвязка» — пока архитектурная возможность, а не доказанная политика данных.Книжный куб · DeepSeek Harness

Если модель учится в своей обвязке, чужая обвязка на фронтире должна проигрывать — и должна проигрывать немного, потому что фронтирные модели обучены переносить навык между обёртками. Ровно это показывают измерения. Harbor-Index в июне 2026 года столкнул родные обвязки моделей с нейтральной Terminus-2 на одних задачах: родная «обычно чуть впереди, но ни одно сравнение не является статистически значимым». METR в феврале написала, что Claude Code и Codex «не очевидно лучше» дефолтных каркасов лаборатории: Opus 4.5 в Claude Code обгоняет простой ReAct лишь в половине бутстрэп-выборок, GPT-5 в Codex обгоняет Triframe в одной из семи. И в то же время ниже фронтира разброс огромен. На Claw-SWE-Bench GLM 5.1 с минимальным адаптером решает девятнадцать процентов задач, с полным — семьдесят три; в среднем по моделям выбор обвязки сдвигает результат на двадцать семь пунктов. Команда GigaChain на своих замерах видит между обвязками разброс в двадцать-тридцать пунктов при одной и той же модели.

Обвязки, которые переписывают сами себя

Логическое продолжение коэволюции — обвязка, которую меняет не инженер, а другой агент. Идея старше, чем кажется: в августе 2024 года Hu, Lu и Clune описали мета-агента, который итеративно программирует новых агентов из архива прежних находок. Darwin Gödel Machine от Sakana в мае 2025 года подняла свой результат на SWE-bench с двадцати до пятидесяти процентов, переписывая собственный код, — и в той же работе авторы сообщают, что машина удалила маркеры, по которым функция награды ловила галлюцинации, вопреки прямой инструкции этого не делать. В 2026 году направление стало академической рутиной: Meta-Harness из Стэнфорда, Agentic Harness Engineering с ростом GPT-5.4 на Terminal-Bench с семидесяти до семидесяти семи процентов, DemoEvolve с честным выводом, что самоэволюция по разреженной награде «хрупка». Anthropic в июне выпустила «обвязку под каждую задачу» — Claude пишет сценарий оркестрации на лету. Всё это работает и всё это оптимизирует ровно ту награду, которую ему выдали. Работа ACL 2026 добавляет неприятный штрих: опыт, накопленный на безобидных задачах, всё равно подрывает безопасность в рискованных сценариях, потому что усиливает склонность действовать, а не отказываться. Самомодифицирующаяся обвязка без скрытого судьи и реестра предположений — это закон Гудхарта, которому дали автомат.

Три цифры 2026 года описывают одно движение. Boris Cherny в июльском интервью: «мы удалили восемьдесят процентов системного промпта — Opus 5 просто это делает»; есть переменная окружения, которая убирает все промпты вообще, и в таком голом режиме модель на замерах команды оказывается даже чуть лучше. Nick Nisi из WorkOS на AI Engineer Europe: из документации сгенерировали десять тысяч семьсот строк инструкций для навыков, после удаления девяноста пяти процентов результат стал лучше, а управление потоком переехало из навыка в машину состояний на TypeScript. Vercel в декабре 2025 года: у внутреннего агента убрали восемьдесят процентов инструментов, оставив один bash, — в три с половиной раза быстрее, на треть меньше токенов, успех на внутреннем наборе поднялся с четырёх из пяти запросов до пяти из пяти. Все три — самоотчёты, и у Vercel «сто процентов» — это пять запросов. Но направление у трёх независимых команд одно, и Vercel формулирует его точнее всех: модель принимает лучшие решения, когда мы перестаём принимать их за неё.040404Выступление Черны я разбирал через день после релиза Opus 5. Главный вывод у меня тогда был такой: системный промпт и файл инструкций — это технический долг со сроком годности в одно поколение моделей.Книжный куб · Boris Cherny про −80 % промпта04Выступление Черны я разбирал через день после релиза Opus 5. Главный вывод у меня тогда был такой: системный промпт и файл инструкций — это технический долг со сроком годности в одно поколение моделей.Книжный куб · Boris Cherny про −80 % промпта

Слова не исчезают — они меняют жанр. У OpenAI в посте о harness engineering файл AGENTS.md занимает около ста строк и служит «картой с указателями на документацию» в структурированном каталоге: агент читает то, что ему нужно сейчас, а не всё сразу, потому что, как пишут авторы, «всё, до чего агент не может дотянуться в контексте, для него не существует». Стандарт навыков устроен так же: метаданные в сто токенов всегда в контексте, инструкции до пяти тысяч токенов подгружаются по требованию, ресурсы — по мере надобности; на витрине стандарта сорок шесть клиентов. Исследование на ста двадцати четырёх PR из десяти репозиториев связывает наличие AGENTS.md с сокращением медианного времени почти на тридцать процентов и выходных токенов на шестнадцать при сопоставимом завершении задач — это корреляция, не эксперимент, но она согласуется с внутренними эвалами Vercel, где восьмикилобайтный индекс документации в AGENTS.md дал сто процентов против семидесяти девяти у навыков. Карта побеждает сценарий, потому что сценарий кодирует предположение о том, как модель должна идти, а карта — только о том, где что лежит.050505У Nisi мне дороже всего история про файл-маркер, который агент создал командой touch вместо прогона тестов; у Vercel — честная оговорка, что вклад архитектуры и более сильной модели в удвоение оценки они разделить не могут.Книжный куб · Nick Nisi про навыкиКнижный куб · Vercel d005У Nisi мне дороже всего история про файл-маркер, который агент создал командой touch вместо прогона тестов; у Vercel — честная оговорка, что вклад архитектуры и более сильной модели в удвоение оценки они разделить не могут.Книжный куб · Nick Nisi про навыкиКнижный куб · Vercel d0

Цикл: от bash-строки до судьи на другой модели

Цикл — вторая часть обвязки, которая исторически жила словами, и его эволюция за год показательна. В июле 2025 года Geoffrey Huntley описал Ralph: «в чистом виде это bash-цикл», который снова и снова подаёт агенту один и тот же промпт. Через год у Anthropic это официальный плагин, реализованный через хук на остановку сессии с ограничением итераций, а рядом — встроенные команды: повтор по расписанию или в самотемпе с недельным сроком жизни и цель, выполнение которой проверяет «свежая модель, а не та, что делает работу». Каждая реплика создаёт контрольную точку, хранятся сто последних, и документация честно предупреждает, что изменения от bash-команд не отслеживаются. Agent SDK задаёт жёсткие пределы по числу ходов и по бюджету в долларах, и бюджет покрывает субагентов. Kyle Mistele из HumanLayer предлагает смотреть на всё это как на контур управления из учебника: уставка — желаемое свойство кодовой базы, датчик — детерминированная проверка, регулятор выбирает следующее маленькое изменение, исполнитель — агент, и модель нужна далеко не в каждом звене. Направление то же, что у инструкций: из «повторяй, пока не получится» в «остановись, когда независимая проверка сказала, что получилось».

Контекст: миллион токенов, и всё равно уплотнение

Контекст в 2026 году — конечный ресурс даже при бесконечном на вид окне. Модели Anthropic от 4.6 и новее получили окно в миллион токенов по умолчанию и по стандартной цене, и Claude Code всё равно уплотняет историю на девяноста семи процентах окна: сначала вычищает старые выводы инструментов, потом суммирует, потом перечитывает до пяти изменённых файлов. Причина названа в самой документации словом context rot — Chroma показала на восемнадцати моделях, что качество падает с ростом длины входа даже на простых задачах. Anthropic ещё в сентябре 2025 года описала три техники для задач длиннее окна: уплотнение, структурированные заметки во внешней памяти, субагенты со сжатыми сводками, — и все три за год стали функциями API или продукта. Экономику префиксного кеша и предостережение о памяти, которая повышает любой прошлый ответ до правила, я разбирал в июльской и сентябрьской статьях; здесь важно одно: даже там, где обвязка сжимает инструкции, управление контекстом остаётся её работой, потому что модель не видит собственного окна снаружи.

Пока инструкции сжимаются, растёт код, который исполняется независимо от решения модели. Он не диктует модели маршрут — внутри поля она сама выбирает инструменты, порядок и момент проверки; он держит края поля. Самый наглядный рост — хуки. В гайде Claude Code их тридцать три события: начало сессии, запрос прав, до и после вызова инструмента, остановка агента и субагента, до и после уплотнения, создание рабочего дерева, изменение конфигурации. Код выхода 2 блокирует действие, решения deny, defer, ask и allow складываются так, что самое строгое побеждает, а документация формулирует назначение без обиняков: некоторые действия должны происходить всегда, а не по выбору модели. Хуки могут быть не только скриптами, но и промптами к другой модели, и это важный гибрид: вероятностная проверка внутри детерминированного контура. Права оформлены в шесть режимов, и в режиме auto отдельная модель-классификатор проверяет действия до выполнения и блокирует всё, что выходит за рамки запроса; некоторые действия не автоодобряются ни в одном режиме.

Среда стала частью качества, и это второй растущий пояс стен. Cursor по итогам года облачных агентов пишет, что неполная среда не падает с ошибкой — агент просто работает хуже, а деградацию списывают на модель. Отсюда возобновляемые рабочие места: образы с историей версий, откат, аудит, правила исходящего доступа. Anthropic в апреле разделила рантайм на «мозг» — модель с циклом, уплотнением и памятью — и «руки» — инструменты и песочницу. Пока они жили в одном контейнере, модель не могла начать рассуждать до конца сборки среды, а падение любой половины убивало агента целиком; после разделения время до первого токена сократилось на шестьдесят процентов в медиане и больше чем на девяносто на хвосте, умершая песочница пересоздаётся, умерший «мозг» поднимается из журнала сессии. Учётные данные в такой схеме расшифровываются только в момент вызова инструмента, и модель их не видит. Docker в январе перевёл песочницы для агентов на выделенные микровиртуальные машины, Vercel объявила награду до миллиона долларов за побег из своей, а рабочие деревья git стали примитивом изоляции у Claude Code, Cursor и Codex.

Инструменты: четыре базовых и протокол без состояния

Инструменты сжимаются в описаниях и растут в среде. Базовых четыре — чтение файла, поиск, редактирование, bash; mini-SWE-agent обходится вообще одним bash в ста строках и показывает выше семидесяти четырёх процентов на SWE-bench Verified, а Pi намеренно живёт без протокола MCP и субагентов с четырьмя инструментами и расширениями на TypeScript. Когда инструментов тысячи, их описания перестают влезать в контекст, и обвязка отвечает поиском по инструментам — Anthropic держит до десяти тысяч отложенных определений и говорит о сокращении токенов больше чем на восемьдесят пять процентов, честно добавляя, что точность падает после тридцати-пятидесяти доступных инструментов. Следующий шаг — программный вызов: модель пишет код в контейнере, вызывает инструменты из него и получает в контекст только вывод скрипта; Anthropic заявляет плюс одиннадцать процентов качества при минус двадцати четырёх процентах входных токенов, Cloudflare пришла к тому же годом раньше с формулировкой «модели видели много кода и мало вызовов инструментов». Сам протокол MCP в ревизии от 28 июля 2026 года стал протоколом без состояния: убраны рукопожатие и идентификатор сессии, появились обнаружение серверов и подписки, задачи вынесены в расширение, динамическая регистрация OAuth-клиентов устарела, контекст трассировки передаётся в метаданных, а на вывод любой функции даётся минимум двенадцать месяцев. Фонд, который им управляет, за девять месяцев вырос со ста сорока шести до ста девяноста членов, включая армию США и национальные лаборатории, а суммарные загрузки SDK превысили миллиард.

Проверка, наблюдаемость, идентичность

Проверка — самая быстрорастущая стена, потому что для неё не нужно доверять модели. У OpenAI это выглядит так: около миллиона строк за пять месяцев, полторы тысячи PR, семь инженеров и ноль строк, написанных руками, — а дисциплина «проявляется в лесах, а не в коде»: собственные линтеры, которые отвечают агенту сообщением с инструкцией по исправлению, CI, который держит документацию свежей, фоновые агенты, которые собирают мусор. Бёкелер называет это датчиками в противовес направляющим, и Thoughtworks в апрельском радаре описывает те же две категории: направляющие вроде навыков и спецификаций, датчики вроде мутационного тестирования, — под общей темой «посадить кодовых агентов на поводок». Судья на другой модели, воспроизводимые эпизоды и разница между pass@k и pass^k — тема отдельной статьи, и Anthropic в январе 2026 года формализовала ту же лестницу: задача, прогон, оценщик, транскрипт, результат.

С наблюдаемостью и доверием картина двойственная. Claude Code отдаёт метрики, события и трассировку по OpenTelemetry, но сами конвенции GenAI в OpenTelemetry на середину июля 2026 года по-прежнему в статусе «Development» — стабильного релиза нет, и каждый вендор трассирует по-своему. Идентичность агента, напротив, оформилась в продукт за полгода: Okta в апреле сделала агентов полноправными записями каталога, в августе выпустила единый вход для агентов, а расширение Cross App Access стало официальной частью MCP для корпоративной авторизации; NIST в феврале запустил инициативу стандартов для агентов с отдельной опорой на идентичность, OWASP выпустил десятку рисков агентных приложений. И ещё один сюжет про границу как продукт: 31 марта 2026 года пакет Claude Code ушёл в npm с картой исходников — около тысячи девятисот файлов TypeScript; Anthropic назвала это ошибкой упаковки, а не нарушением безопасности, но через день в сети появились троянизированные «утечки». Обвязка — ценность, которую воруют, и ценность, через которую атакуют. В срезе по безопасности я показал, что все исправления инъекций 2026 года прошли по границам — файлов, сети, автоодобрения, — и ни одно не было формулировкой в промпте. Это та же закономерность, увиденная со стороны атакующего.

Третье движение — части обвязки, которые в 2025 году каждая команда писала сама, в 2026-м сдаются в аренду. Первой ушла оркестрация. Субагенты в Claude Code работают в своих окнах контекста, возвращают только сводку, вкладываются на три уровня и запускаются до двадцати параллельно; команды агентов делят список задач и почтовые ящики, а документация честно пишет, что они тратят значительно больше токенов, чем одна сессия. Projects в сентябре порождают облачные сессии на отдельных ветках из одной координирующей беседы, Routines запускают агента по расписанию, событию GitHub или вызову API без запросов прав во время прогона. Спор двух школ 2025 года — Anthropic с оркестратором и исполнителями, которые на внутренних эвалах обгоняют одиночную модель на девяносто процентов при пятнадцатикратном расходе токенов, и Cognition с одной нитью и полными трейсами вместо сообщений — не разрешён, но перестал быть спором о коде: обе стратегии теперь настройки рантайма.

Вторыми ушли долгие циклы. Cursor держит цикл агента в Temporal, жизненный цикл виртуальной машины управляет отдельно, а хранение и поток разговора выносит в свой слой: «один агент» распадается по времени жизни и владельцу состояния. Temporal в сентябре 2026 года подняла пятьсот пятьдесят миллионов при оценке двенадцать с половиной миллиардов «на фоне спроса на надёжную инфраструктуру для AI»; Cloudflare встроила ожидание события — то есть паузу ради подтверждения человеком — прямо в шаги своего движка; Inngest объясняет спрос одной фразой: повторное исполнение шага с моделью означает повторную оплату токенов. Устойчивое выполнение существовало десять лет для платежей и заказов; агентный цикл оказался тем же классом задач с более дорогим повтором.

Третьими ушли сами рантаймы. За восемь недель весны 2026 года три вендора выпустили управляемую обвязку целиком: 8 апреля Anthropic — Managed Agents, «готовую настраиваемую обвязку агента в управляемой инфраструктуре» с примитивами агента, среды, сессии и событий, облачными или собственными песочницами и ценой восемь центов за час активной сессии сверх токенов; 19 мая Google — Managed Agents в Gemini API, где один вызов поднимает удалённую Linux-песочницу и конфигурируется файлами AGENTS.md и SKILL.md; 3 июня Microsoft — Foundry Hosted Agents и «Agent Harness» в своём фреймворке с автоуплотнением, файловой памятью и оболочкой. Обратная сторона той же волны: OpenAI закрывает визуальный конструктор агентов 30 ноября 2026 года, оставляя SDK. Конструкторы проиграли коду и рантайму одновременно.060606Команда Applied AI из Anthropic рассказывала эту историю как три поколения поверхностей — Messages API, Agent SDK, Managed Agents — и главный тезис у них про сбросы контекста, которые команда встроила под «нервную» Sonnet 4.5 и которые при Opus 4.5 стали чистым оверхедом.Книжный куб · эволюция агентных поверхностей06Команда Applied AI из Anthropic рассказывала эту историю как три поколения поверхностей — Messages API, Agent SDK, Managed Agents — и главный тезис у них про сбросы контекста, которые команда встроила под «нервную» Sonnet 4.5 и которые при Opus 4.5 стали чистым оверхедом.Книжный куб · эволюция агентных поверхностей

Что при этом остаётся своим у компаний, которые прошли этот путь? У Stripe больше тысячи трёхсот PR в неделю полностью производятся агентами на форке открытой обвязки goose и проверяются людьми; своими там остались Blueprints — детерминированные каркасы процессов — и внутренний сервер инструментов. У Spotify фоновые агенты на Claude Code провели двести сорок PR миграций и сэкономили около десяти инженерных недель, а навыки и настраиваемость отключены намеренно ради ограждений. У Cloudflare сто тридцать одна тысяча прогонов ревью за месяц по доллару девятнадцать за прогон, с обходом «разбить стекло» в шести случаях из тысячи и отдельным проверяющим для файла AGENTS.md. Три компании, три разных обвязки в аренде — и во всех трёх своим осталось одно и то же: задача, контекст, критерии результата и политика. Константин Крестников сформулировал ту же мысль с другой стороны: мощным моделям сложная обвязка перестала быть нужна, достаточно положить агенту правильные файлы и инструкцию.070707Доклад Крестникова с Data Fest мне дорог ещё и честным бенчмарком без модели-судьи: задачи на файлы, память и CSV с эталонными ответами, прогон за двадцать минут на любой обвязке.Книжный куб · один агент с файлами07Доклад Крестникова с Data Fest мне дорог ещё и честным бенчмарком без модели-судьи: задачи на файлы, память и CSV с эталонными ответами, прогон за двадцать минут на любой обвязке.Книжный куб · один агент с файлами

Messages API → Agent SDK → Managed Agents: граница «что моё» сжимается до задачи, контекста, эпизодов и идентичности

Честная статья про обвязку обязана собрать в одном месте всё, что против неё. Первое — эффект на фронтире. Harbor-Index: родная обвязка против нейтральной — незначимо. METR: Claude Code и Codex не очевидно лучше дефолтных каркасов. Meta-Harness обещает в введении шестикратный разрыв, а в собственной таблице на Terminal-Bench даёт Opus 4.6 плюс один и семь десятых пункта. Если сложить это с двадцатью семью пунктами Claw-SWE-Bench и двадцатью-тридцатью пунктами GigaChain, получается не противоречие, а форма кривой: пропасть между сломанной и адекватной обвязкой измеряется десятками пунктов, зазор между двумя адекватными на фронтире — единицами. Именно это я в июле формулировал как «на фронтире обвязки сходятся, ниже фронтира обвязка решает»; за два месяца появились числа.

Второе — что обвязка не умеет в принципе. Dex Horthy на AI Engineer World's Fair поставил к формуле «агент равно модель плюс обвязка» сноску: хорошая обвязка резко улучшает исполнение, но не учит модель держать качество архитектуры на длинной дистанции, потому что сигнал «тесты прошли» не штрафует за лишний try/catch и расползание изменений по системе, а цена плохого дизайна проявляется через месяцы. Быстрого верификатора сопровождаемости нет, и он это честно признаёт. Его собственная команда в 2025 году попробовала «фабрику с выключенным светом» и через несколько месяцев столкнулась с инцидентом в кодовой базе, за которой люди уже не следили. DORA в майском отчёте о возврате инвестиций даёт похожую картину сверху: тридцать пять — сорок процентов выигрыша на новых задачах и около десяти на легаси, а доля неудачных изменений в модельном расчёте растёт с пяти до шести процентов.080808У YC Paper Club мне запомнилась история Prime Intellect про 99,9 % на ARC-AGI, которые после чтения логов оказались жульничеством; у Horthy — оговорка, что он продаёт инструменты для того самого процесса, который описывает.Книжный куб · YC Paper Club об обвязкахКнижный куб · Dex Horthy08У YC Paper Club мне запомнилась история Prime Intellect про 99,9 % на ARC-AGI, которые после чтения логов оказались жульничеством; у Horthy — оговорка, что он продаёт инструменты для того самого процесса, который описывает.Книжный куб · YC Paper Club об обвязкахКнижный куб · Dex Horthy

Третье — методология. Работа с говорящим названием «Хватит сравнивать агентов, не раскрывая обвязку» показывает, что текущие протоколы оценки систематически приписывают выигрыш от обвязки улучшениям модели. Обзор тринадцати агентов по двенадцати измерениям находит, что одиннадцать из тринадцати комбинируют несколько примитивов, а расходятся ровно там, где открыты вопросы — в уплотнении и состоянии. Для практика вывод один: обвязка в отчёте об измерении обязательна так же, как версия модели, и число без названия обвязки — не число. Это же, кстати, объясняет, почему у METR исходные «минус девятнадцать процентов» к февралю 2026 года не «перевернулись», как пишут вторичные пересказы: для исходной когорты оценка «ускорение минус восемнадцать процентов» с интервалом через ноль, для новой — минус четыре. Инструменты меняются, обвязки меняются, а измерение задачи в лаборатории по-прежнему не измеряет поставку.

В июле я раскладывал лаборатории по слоям стека, которыми они владеют, — от железа до трейсов. Здесь разрез другой: по семи частям обвязки, на которые каждый игрок ставит, и по механизму из третьего раздела, который эти ставки объясняет. Общее правило простое. Функции, которые можно натренировать, лаборатория переносит в веса и перестаёт продавать как обвязку. Функции, которые нельзя доверить модели — права, изоляцию, политику уплотнения, идентичность, — она оставляет в рантайме и продаёт как инфраструктуру. Интерфейсы между ними — протоколы и файлы инструкций — отдаёт в стандарты, потому что нейтральный интерфейс расширяет рынок для её же модели.

Anthropic ставит на обвязку как продукт на трёх высотах: Claude Code для разработчика, Cowork для сотрудника, Managed Agents для платформы; MCP и навыки отданы в открытые стандарты, а на майской конференции компания сформулировала тезис «инфраструктура, а не интеллект — узкое место». Ожидаю, что следующие пять лет она будет развивать именно рантайм — «мозг и руки», журнал сессии, встроенных оценщиков, — потому что модель и рантайм — это ров, а интерфейсы — нейтральная территория. OpenAI ставит на одну обвязку под всеми поверхностями — App Server объединил терминал, IDE и веб — и на обвязку внутри репозитория: линтеры, CI и документация как машиночитаемые ограничения. Thibault Sottiaux говорит, что Codex «становится стандартным агентом», а масштаб до миллиардов пользователей упирается в изоляцию; ожидаю, что OpenAI пять лет будет развивать песочницу и корпоративную идентичность, потому что именно они превращают инструмент разработчика в продукт для всех. Google ставит на один бренд обвязки для IDE, терминала, SDK и API и на владение средой, которую другим приходится арендовать: браузером и операционной системой. Замена открытого Gemini CLI на закрытый Antigravity CLI для бесплатного тарифа показывает готовность платить открытостью за связность платформы. Microsoft и GitHub ставят на обвязку в операционной системе и в поверхности учёта задач: агенту не нужно изобретать ветки, PR и права, они уже есть.

Вторая группа ставит на модель, обученную в собственной обвязке: Cursor, которая с августа 2026 года, по сообщениям, стала дочерней компанией SpaceX, и Cognition с SWE-1.5, где модель, инференс и обвязка спроектированы как одна система. Третья — открытые веса плюс своя обвязка как обучающая среда: DeepSeek с минимальным пресетом, воспроизводящим среду обучения, и Moonshot с роем до трёхсот субагентов в Kimi K2.6. Четвёртая — минимальное ядро и рынок моделей: OpenCode как слой между разработчиками и провайдерами с тринадцатью миллионами активных пользователей в месяц по словам её главы, Pi с четырьмя инструментами, mini-SWE-agent с сотней строк. У этой группы модель взаимозаменяема, обвязка тонкая, и конкуренция идёт ценой.090909История OpenCode интересна тем, как январская попытка Anthropic отрезать чужую обвязку от подписок стала для неё ускорителем: людям захотелось посмотреть, что именно блокируют.Книжный куб · OpenCode как рынок моделей09История OpenCode интересна тем, как январская попытка Anthropic отрезать чужую обвязку от подписок стала для неё ускорителем: людям захотелось посмотреть, что именно блокируют.Книжный куб · OpenCode как рынок моделей

Российский контур

Оговорка о площадке: этот текст написан к конференции Сбера, а ниже разбираются продукты Сбера, и все их цифры — заявления вендора. Российская ставка — готовая открытая обвязка плюс профиль под свою модель. GigaChain взяла Deep Agents от LangChain, подключила GigaChat правкой конфига и на внешнем соревновании получила с той же моделью шестьдесят семь задач против семидесяти у Claude Code, при том что Anthropic оптимизирует модель и обвязку друг под друга; профиль модели, описанный на Habr, поднял успех на внутреннем наборе с семидесяти семи до восьмидесяти семи процентов при вдвое меньшем расходе токенов. Yandex встроил в SourceCraft CLI открытый OpenCode. Т-Банк открыл торговлю внешним агентам через MCP — обвязка стала клиентом финансового сервиса. На Saint HighLoad++ в июле Райффайзен отчитался о четверти бэклога через агентов при четырёх процентах полностью автономных задач. Вывод для этого контура тот же, что я делал в июле, только теперь с числами: суверенитет обвязки дёшев — открытые ядра, стандартные протоколы, профиль за месяц, — суверенитет модели дорог, и обвязка его не заменяет.

Прогноз без признака опровержения — не прогноз, а настроение. Поэтому каждая из восьми ставок ниже привязана к году и к наблюдаемому признаку, по которому её можно будет назвать ошибочной. Класс всех восьми — авторский прогноз; опоры — метрики METR, отчёты DORA и JetBrains, анонсы вендоров и механизм коэволюции из третьего раздела. Общий вектор один: то, что можно натренировать, уйдёт в модель; то, что нельзя доверить, останется стеной и переедет к вендору; своим у компаний останутся задача, контекст, эпизоды и идентичность.

Несколько пояснений к ставкам, которые выглядят смелее других. Первая опирается на то, что три управляемых рантайма вышли за восемь недель, а не на веру в вендоров: когда три конкурента сходятся на одной архитектуре, архитектура становится ожиданием рынка. Вторая — на уже случившемся: рассуждение между вызовами и учёт контекста ушли в модель за год, и у уплотнения с памятью тот же тип. Четвёртая — на JetBrains, где девяносто процентов разработчиков используют агентов еженедельно и около половины кода полностью пишут агенты: следующий шаг после «каждый день» — «без меня». Седьмая — на инициативе NIST и на сентябрьском эссе Dario Amodei о «встроенных оценщиках»: когда лаборатория сама просит регулирование рантайма, оно приходит. Восьмая — прямое продолжение седьмого раздела и единственная ставка, у которой уже есть данные за 2026 год.

Горизонт всех ставок ограничен тем, что METR называет горизонтом задач: пятидесятипроцентный горизонт Opus 4.5 в январе 2026 года — триста двадцать минут с широким интервалом, удвоение за три-семь месяцев в зависимости от того, какой участок ряда брать. Если удвоение сохранится, к 2028 году агент будет держать задачу длиной в рабочую неделю, и обвязка для такой задачи — это уже не цикл, а операционная система с планировщиком, памятью и правами. Если удвоение замедлится, ставки один, четыре и пять сдвинутся на год-два, но направление не изменится: Gartner ещё в июне 2025 года обещал отмену больше сорока процентов агентных проектов к концу 2027 года, и выживут те, что наблюдаемы, ограничены и дёшевы в проверке — то есть те, у которых стены построены раньше слов.

Из закона «каждая компонента кодирует предположение» следует практика, и она не чеклист. В сентябре я предлагал абляционный тест: взять характерные эпизоды, сравнить текущую модель с полной обвязкой, с упрощённой и новую модель с минимальной адаптацией, и удалить правило, которое больше ничего не улучшает. Тест — метод; ему нужна учётная форма. Я называю её реестром обвязки: для каждой компоненты — хука, правила, навыка, сброса, инструмента — записывается, какое предположение о модели она кодирует, каким доказательством оно подтверждено, при какой модели и версии, что запускает перепроверку и в каком режиме владения компонента живёт. Последняя колонка — из фреймворка границы владения: арендовать, адаптировать, владеть.101010Sottiaux в интервью формулирует то же самое как инженерную дилемму: где исправлять проблему — в обвязке или ждать следующую модель, — и признаёт, что большой обходной механизм через месяц может оказаться ненужным.Книжный куб · Tibo Sottiaux о Codex10Sottiaux в интервью формулирует то же самое как инженерную дилемму: где исправлять проблему — в обвязке или ждать следующую модель, — и признаёт, что большой обходной механизм через месяц может оказаться ненужным.Книжный куб · Tibo Sottiaux о Codex

Реестр решает три задачи, которые чеклист не решает. Во-первых, он различает предположения и границы. Сброс контекста при шестидесяти процентах окна — предположение о нервной модели, и его надо перепроверять при каждой новой модели; хук, запрещающий деструктивные команды вне рабочего дерева, — граница, у которой триггер перепроверки «никогда», потому что она защищает от инъекции, а не от слабости модели. Во-вторых, он даёт срок годности: практика Cherny — каждые полгода удалять инструкции, навыки и хуки и возвращать построчно то, на чём модель спотыкается повторно, — становится не жестом смелости, а строкой с датой. Его же оценка, что эвалы переживают обвязку на одно-три поколения моделей, задаёт срок годности и доказательствам. В-третьих, он делает абляцию дешёвой: компонента без доказательства — первый кандидат на удаление, компонента с инцидентом вместо эпизодов — последний.

• •Заводите строку реестра при добавлении любой компоненты обвязки, а не при аудите
• •Доказательство — воспроизводимые эпизоды до и после; инцидент — доказательство только для границ
• •Триггер «новая модель» запускает абляцию всех строк с предположениями; строки-границы абляции не подлежат
• •Режим владения выбирается по фреймворку границы владения, а не по привычке

Пример в таблице условный, и это важно сказать прямо: реестр — инструмент, который я предлагаю, а не отчёт о том, что уже ведётся. Проверить его можно одним способом — завести на своём парке агентов и посмотреть, сколько строк окажется без доказательства. Мой прогноз: больше половины, и почти все они будут словами, а не стенами.