Ваш ассистент больше не купит билет на Delta. Зато агент Yelp сам позвонит в ресторан и спросит, сколько ждать столик. Обе новости пришли на одной неделе, и вместе они описывают куда более крупный сдвиг, чем очередной релиз модели.

Агентный веб (agentic web) это режим, в котором сайтом пользуется не человек, а его ИИ-агент: ищет товар, сравнивает цены, оформляет заказ, оплачивает. Спор здесь идёт не о технологиях, а о деньгах: кто в этой цепочке получает внимание покупателя, комиссию и данные о его привычках.

Что произошло на этой неделе

В еженедельном обзоре Matt Wolfe перечислил компании, которые начали блокировать ИИ-агентов на своих сайтах: Yelp, Delta Airlines, JPMorgan Chase, Charles Schwab, cars.com, Amtrak. Amazon сделал это раньше, закрыв агентам возможность оформлять покупки за пользователя.

Практически одновременно Shopify заявил, что все магазины на его платформе открыты для агентов. Если попросить своего ассистента найти и купить вещь, он с большей вероятностью дойдёт до магазина на Shopify, где его не остановят на входе.

Два лагеря, один и тот же интернет, противоположные решения. И это не техническая развилка, а стратегическая: каждая компания решала, кем она хочет быть в новой цепочке, витриной для человека или инфраструктурой для агента.

Почему Amazon боится агентов

Аргумент Amazon, в пересказе Wolfe, звучит так. Раньше покупка начиналась с человека, который открывал сайт и искал товар. Реклама внутри Amazon продавала этому человеку первое место в выдаче, и он платил за внимание.

Теперь начало покупки переносится в ассистента. Человек говорит «купи мне это», агент сравнивает цену, срок доставки и отзывы, после чего идёт в конкретный магазин. Amazon в этой схеме оказывается одним из нескольких взаимозаменяемых складов, а не точкой входа.

Взаимозаменяемость бьёт сразу по двум доходам. Первый это реклама: если решение принимает агент по формальным критериям, спонсорская строка в поиске теряет смысл. Второй это маржа на внимании: сайт, который открывают раз в год по команде агента, не показывает баннеры, не удерживает сессию и не продаёт подписку.

Shopify устроен иначе. Он не борется за то, чтобы человек начал путь именно у него: компания продаёт инфраструктуру продавцам и берёт процент с оборота. Агент, который пришёл в магазин на Shopify и оформил заказ, приносит деньги тому же продавцу и той же платформе. Открытые двери для агента здесь не уступка, а рост выручки.

Есть и более тонкий слой. Крупные магазины зарабатывают на рекламе внутри своей витрины и на подписках, а маркетплейсы ещё и на размещении продавцов. Агентский заказ приносит только комиссию с конкретной корзины, без рекламной надстройки и без повторного визита. Именно поэтому Amazon сопротивляется сильнее любого магазина на Shopify: у него есть что терять, кроме самого заказа.

Парадокс Yelp: агентом быть хочу, бэкендом не хочу

Самая показательная история недели связана как раз с Yelp. Компания блокирует сторонних агентов, но запускает собственного: он звонит в ресторан, узнаёт время ожидания, спрашивает про меню и брони.

Логика простая. Позвонить в ресторан и узнать очередь это ровно та работа, которую пользователь охотно отдаст ассистенту. Но делать это должен агент Yelp, внутри интерфейса Yelp, с логотипом Yelp на экране.

Так выглядит позиция, которую можно назвать агентской рентой: контроль над интерфейсом даёт контроль над отношениями с пользователем, а контроль над отношениями даёт данные. Каждая крупная компания хочет быть агентом для своего клиента и не хочет быть бэкендом для чужого. Отсюда и раскол: блокировка внешних агентов и одновременный запуск своего.

Технически это не решается галочкой

Идея «просто запретить агентов» упирается в вопрос идентификации. Отличить агента от человека по User-Agent невозможно, строку подделывает кто угодно. По IP тоже не выходит: агент работает из облака, из корпоративной сети или через тот же VPN, что и сотрудник на удалёнке.

Поведенческие эвристики дают ложные срабатывания. Человек, который открыл двадцать вкладок с ценами на ноутбук, ведёт себя как парсер. Скрипт мониторинга цен в браузере выглядит как агент. Блокировка на уровне WAF или антибота бьёт по всем сразу, включая платящих клиентов и поисковых роботов.

Отсюда практический вывод, который пока мало кто реализовал: сайтам нужна не стена, а паспорт. Идентификация агента, подписанные запросы, лимиты на частоту, отдельные правила для чтения каталога и отдельные для оформления заказа. Пока такого стандарта нет, каждая компания решает задачу кустарно, а честные агенты страдают вместе с агрессивными скраперами.

Неделя, которая объясняет страх сайтов

Стоит вспомнить, что происходило в те же дни с безопасностью. Railway, платформа для хостинга бэкендов, сообщила о взломе: посторонние получили доступ к зашифрованным переменным окружения, а часть данных удалось расшифровать. В переменных окружения у веб-приложений обычно лежат ключи к OpenAI, Anthropic и другим API.

Результат оказался бытовым и очень дорогим: десяткам команд пришлось в спешке ротировать ключи и отзывать старые, потому что чужой человек мог тратить их бюджет на своих запросах.

Второй эпизод крупнее. Уязвимость в PHP, которой около двадцати лет, нашла модель GPT-5.6 Soul раньше атакующих. По оценке Cloudflare, за десять часов до публичного анонса зафиксированы тысячи попыток эксплуатации, за сорок пять минут после анонса их стало десятки тысяч, через два часа сотни тысяч, дальше миллионы. Wiz назвала дыру одной из самых серьёзных за историю софта, а на PHP работает, по разным оценкам, до 70% сайтов.

Картина складывается неприятная для владельца сайта. В понедельник он читает, что ИИ научился находить двадцатилетние дыры за часы, во вторник узнаёт, что ключи его хостинга могли утечь, а в среду ему предлагают пустить на сайт автономного агента с доступом к оплате. Неудивительно, что первая реакция это закрыть двери.

Кто стоит на другой стороне

Спрос на агентный шопинг создают не стартапы, а платформы с сотнями миллионов пользователей. Claude Duet от Anthropic это проактивный ассистент: он сам напоминает о делах, предлагает действия и подключается к Gmail, Slack, QuickBooks, Stripe, Gusto, LinkedIn, DocuSign, HubSpot, Canva и Shopify. Доступ пока по списку ожидания для планов Pro и Max. В демо отдельно подчёркнут выделенный классификатор и системный промпт безопасности, которые проверяют каждое сообщение и не дают ассистенту показать номер карты или удостоверение. Anthropic заранее отвечает на главный аргумент сайтов: агент не утащит чувствительные данные.

Рядом стоят ChatGPT с его dots, Meta с muse и Grok bot от xAI. Все они обещают одно и то же: человек формулирует намерение, агент выполняет его в интерфейсах, которые человек никогда не открывает. Отдельно Wolfe отметил, что Perplexity computer теперь запускается прямо на Mac, при рекомендации от 36 ГБ объединённой памяти. Агент переезжает на машину пользователя, где нет ни корпоративного прокси, ни корпоративных правил.

Это важная деталь для сайтов. Пока агент жил в чужом облаке, его можно было хотя бы привязать к известному диапазону адресов. Когда он работает на ноутбуке клиента, он неотличим от клиента.

Два сценария, и оба дорогие

Первый сценарий: human-first. Сайт сохраняет контроль над интерфейсом, данными и рекламой, но теряет ту часть заказов, которую пользователи делегировали агентам. Чем выше доля таких пользователей, тем больше выручки уходит конкурентам, которые открылись.

Второй сценарий: agent-first. Сайт получает заказы, но теряет дифференциацию. Если решение принимает агент по цене и сроку доставки, бренд перестаёт влиять на выбор, а маржа сжимается до уровня логистики.

Есть и третий путь, который выбрали Yelp и Amazon: построить своего агента и оставить чужих за дверью. Он самый привлекательный по марже и самый уязвимый по охвату, потому что требует, чтобы пользователь пришёл именно к вам, а не к своему ассистенту.

Простая арифметика объясняет нервозность решений. Магазин, который живёт на рекламу, теряет на агентском заказе не только показ баннера, но и повторный визит: человек, который не открывал сайт, не вернётся через неделю. Магазин, который живёт на обороте, теряет часть маржи, зато получает заказ, которого иначе не было бы вовсе.

Что делать бизнесу уже сейчас

Начните с вопроса, что вы на самом деле продаёте: внимание или исполнение. Если внимание, реклама и удержание, то закрытые двери логичны, но придётся признать потерю агентского трафика и компенсировать её качеством витрины. Если исполнение, заказы и доставка, то выгоднее открыться раньше конкурентов, пока агенты ещё плохо умеют искать альтернативы.

Дальше стоит завести публичный интерфейс для агентов вместо тотальной блокировки: лимиты, идентификация, отдельные права на чтение каталога и на оформление заказа. Это дешевле, чем война с ботами, и даёт данные о том, что именно агенты спрашивают у вашего сайта.

Полезно посчитать unit-экономику агентского заказа отдельно от человеческого. Другой процент возвратов, другая нагрузка на поддержку, другая комиссия. Без этой цифры решение об открытости принимается на эмоциях.

И отдельно займитесь гигиеной доступов, которую на этой неделе показал Railway. Переменные окружения с ключами в открытом виде, бессрочные токены и общий ключ на все сервисы это риск, который с приходом автономных агентов только растёт. Короткоживущие токены, секрет-менеджер и минимальные права на каждую задачу перестают быть корпоративной роскошью.

FAQ

Сайты вообще могут отличить ИИ-агента от человека?

Надёжно нет. User-Agent подделывается, IP-адреса агентов совпадают с адресами облаков и обычных пользователей, а поведение человека с автоматизацией похоже на поведение бота. Поэтому блокировки работают по вероятностям и регулярно задевают реальных клиентов.

Малому магазину выгоднее открыться для агентов или закрыться?

Зависит от того, покупают ли у вас по названию бренда или по цене и сроку доставки. Если бренд держит спрос, закрытые двери почти ничего не стоят. Если конкурируете ценой, агент это дополнительный канал заказов, и блокировка просто отдаёт его соседям.

Агентный шопинг это устойчивый тренд или хайп одной недели?

Тренд, потому что его тянут платформы, которым не нужен ваш сайт: Anthropic, OpenAI, Meta и xAI продают подписку на ассистента. Пока пользователь платит за агента, у платформ есть интерес доводить его до покупки. Другое дело, что форма доступа будет определяться боями вокруг идентификации и комиссий.

Итог

Веб перестаёт быть однородным. Часть сайтов останется витриной для человека, часть превратится в инфраструктуру для агентов, и граница пройдёт не по размеру компании, а по тому, откуда она получает деньги: из внимания или из исполнения заказов.

Выиграют, скорее всего, те, кто успеет стать удобной инфраструктурой и при этом не потеряет контроль над данными. Проиграют те, кто попытается одновременно пускать агентов и не пускать, потому что технического решения этой двойственности пока не существует.

Проверьте свой сайт на простой вопрос: что он отвечает агенту, который пришёл купить, а не прочитать. Если в ответ только капча, значит решение уже принято за вас, и принято оно по умолчанию.