O czym jest ten film
- Gdy instrukcje dla AI rozrastają się na kilka stron, model zaczyna je ignorować — to nie „lenistwo”, tylko skutek braku struktury; o zachowaniu maszyny decyduje architektura, nie liczba reguł.
- Autor proponuje budować agenta jak organizm: głowa (tożsamość i pamięć), ręce (umiejętności i narzędzia), kręgosłup (metoda), a wokół — granice oraz pętla kontroli jakości.
- Tożsamość to dwa małe pliki: rola (opis stanowiska) i dusza (ton wypowiedzi); w badaniu ponad 1600 przebiegów doprecyzowanie ról podniosło skuteczność o 9,4 punktu, a „osobowość” zmienia jedynie brzmienie, nie trafność.
- Pamięć dzieli się na prywatny notatnik agenta i jeden wspólny podręcznik zespołu; testy na osiemnastu modelach pokazały, że im dłuższe dane wejściowe, tym gorsze odpowiedzi — kluczem jest selekcja i etykietowanie pochodzenia faktów.
- Zatrucie mniej niż 0,1 proc. pamięci agenta pozwalało atakującym wygrywać w ponad 80 proc. przypadków — dlatego każdy plik ma jednego autora, a nic nie trafia do pamięci bez sprawdzenia.
- Umiejętności podniosły zdawalność z 34 do ok. 50 proc., ale w 16 z 84 zadań pogorszyły wynik, a przepisy pisane przez samo AI średnio wcale nie pomagały — każdą umiejętność trzeba testować z nią i bez niej.
- Narzędzia startują wyłączone, wydatki i zmiany wymagają osobnej zgody człowieka, a największe ryzyko to tzw. zabójcza triada: prywatne dane plus treść od obcych plus kanał wysyłania — nigdy wszystkie trzy naraz.
- Metoda pracy ma być linią produkcyjną: stałe kroki, szablony, kontrola przed wysłaniem — bo powtarzalność to najsłabsze ogniwo agentów (w 2024 r. mniej niż połowa zadań w dużym teście).
- Zgody przyznaje się na trzech szczeblach (odwracalne — sam; publiczne — stała zgoda; kosztowne — świeża zgoda za każdym razem) i zawsze na jeden dokładny artefakt; ludzie i tak zatwierdzają 93 proc. próśb.
- Zespoły agentów zużywają ok. 15 razy więcej tokenów niż zwykła rozmowa, więc roju nie buduje się od razu; autor dodaje własną propozycję „systemu nerwowego”: tablicę statusów, granice przekazań, dzwonek eskalacji i czarną skrzynkę przebiegów.
10 najważniejszych takeaways — z kontekstem zastosowania
1.Struktura wygrywa z ilością instrukcji
Na czym polega: Agent przestaje słuchać nie dlatego, że się „zepsuł”, tylko dlatego, że lista reguł nie ma struktury — a bez struktury zachowanie maszyny zaczyna się rozjeżdżać. Mur tekstu ma tylko ciężar.
Jak stosować: Zamiast dopisywać kolejne punkty do jednego pliku, rozbij instrukcje na oddzielne, małe pliki: rolę, ton, reguły, uprawnienia. Każda rzecz w jednym, nazwanym miejscu.
Na co uważać: Reguły dopisuje się łatwo, a trudno zauważyć moment, w którym model zaczyna je pomijać — warto regularnie sprawdzać, które instrukcje faktycznie działają.
2.Rola to opis stanowiska — i waży więcej niż osobowość
Na czym polega: W badaniu ponad 1600 przebiegów sam precyzyjniejszy opis ról podniósł skuteczność systemu o 9,4 punktu. Z kolei nadanie modelowi „osobowości” zmienia brzmienie wypowiedzi, a nie trafność odpowiedzi.
Jak stosować: Dla każdego agenta napisz miniaturę opisu pracy: po co jest, co dostaje na wejściu, co ma oddawać, czego nie wolno mu robić. Ton („duszę”) trzymaj w osobnym, krótkim pliku.
Na co uważać: Formułki typu „jesteś światowej klasy specjalistą” tworzą złudzenie jakości. Gdy zadanie kłóci się z osobowością, zadanie ma wygrywać.
3.Mniej kontekstu, lepiej dobranego
Na czym polega: Na osiemnastu przetestowanych modelach obowiązywała ta sama prawidłowość: im dłuższe dane wejściowe, tym gorsze odpowiedzi. Wklejanie całej bazy wiedzy do promptu pogarsza wyniki.
Jak stosować: Wdroż czytanie etapowe — najpierw spis treści, potem niewielki pakiet materiałów, na końcu wyłącznie te strony, których wymaga zadanie.
Na co uważać: Selekcja materiałów wymaga narzędzia (indeksów, map dokumentów), a nie samozaparcia — samo postanowienie „wklejam mniej” zwykle nie wystarcza.
4.Etykietuj pochodzenie każdego faktu
Na czym polega: Autor stosuje cztery etykiety: surowy (oryginał źródła), pobrany (czytany przed chwilą), znaleziony (wyszukany, niesprawdzony), wnioskowany (wyprowadzony z dowodów). Wyszukiwarka potrafi znaleźć — udowodnić potrafi tylko źródło.
Jak stosować: Przy każdym zapisie w pamięci agenta dodawaj pole „skąd to wiemy” wraz ze statusem wiarygodności; w decyzjach o wysokiej stawce blokuj wnioskowanie z faktów oznaczonych jako „znalezione”.
Na co uważać: Fakt „znaleziony” wygląda w rozmowie identycznie jak sprawdzony — bez etykiety nie odróżnisz ich po fakcie.
5.Pamięć to pierwszy cel ataków
Na czym polega: Zatrucie mniej niż jednej dziesiątej procenta pamięci agenta pozwalało atakującym wygrywać w ponad 80 proc. przypadków — to jedna fałszywa strona w tysiącstronicowej książce, a kłamie cała książka.
Jak stosować: Jeden autor na plik; wszystko, co trafia do pamięci, przechodzi kontrolę przed zapisem; treści z zewnątrz (maile, strony internetowe) nigdy nie lądują w niej wprost.
Na co uważać: Wspólna baza wiedzy zespołu agentów to najcenniejszy i najkruchszy zasób — importowanie danych „na zapas” powiększa powierzchnię ataku.
6.Umiejętność to przepis, który umie odmówić
Na czym polega: Umiejętności podniosły odsetek zaliczonych zadań z 34 do około 50 procent, ale w 16 z 84 zadań pogorszyły wynik, a przepisy pisane przez samo AI średnio nie pomagały wcale — jak egzamin pisany przez samego zdającego.
Jak stosować: Każdą umiejętność testuj dwukrotnie — raz z nią, raz bez niej, na tych samych zadaniach. Dozwolone stany odmowy to „potrzebuję decyzji” i „brak danych”, nigdy zgadywanie.
Na co uważać: Umieć coś zrobić to nie to samo, co mieć na to pozwolenie — umiejętność nigdy nie jest upoważnieniem do narzędzia ani wydatku.
7.Narzędzia domyślnie wyłączone, triada rozdzielona
Na czym polega: Największe ryzyko to jednoczesny dostęp do trzech rzeczy: prywatnych danych, treści od obcych (mail, strona) i kanału wysyłania — to tzw. zabójcza triada. Trzymać można dwie z nich, nigdy wszystkie trzy.
Jak stosować: Każde narzędzie startuje wyłączone; osobne „tak” człowieka dla wydatków i dla zmian; hasła trzymane pod nazwą (model ich nie widzi); budżet ustawiony przed pierwszym wywołaniem.
Na co uważać: Triada potrafi skleić się niepostrzeżenie — wystarczy agent z dostępem do poczty (treść obca), plików (dane prywatne) i możliwością wysłania wiadomości (kanał wyjścia).
8.Metoda jak linia produkcyjna, nie improwizacja
Na czym polega: Najtrudniej uzyskać od AI powtarzalność: w 2024 roku najlepsze agenty radziły sobie z mniej niż połową zadań w dużym teście. Dlatego potrzebne są stałe kroki, szablony, kontrola przed wysłaniem i podpis człowieka.
Jak stosować: Dla każdego rodzaju zlecenia ustal jedną ścieżkę: kolejność kroków, punkt kontroli, regułę zakończenia i szablon wyniku — i uruchamiaj ją wielokrotnie, zanim uznasz za stabilną.
Na co uważać: Wynik udany raz to przypadek, nie dowód. Decyzję o produkcyjnym użyciu podejmuj dopiero po serii powtórzeń.
9.Trzy szczeble zgody i zgoda tylko na jedną rzecz
Na czym polega: Rzeczy prywatne i odwracalne agent wykonuje sam; publiczne wymagają stałej zgody; kosztowne albo nieodwracalne — świeżej zgody za każdym razem. Zmiana jednego słowa w artefakcie unieważnia zgodę, jak zerwana pieczęć woskowa.
Jak stosować: Sufit autonomii i wyłącznik startują na zerze i na „wyłączono”; prośby o pozwolenie formułuj tak, by dało się je ocenić w kilka sekund.
Na co uważać: Ludzie zatwierdzają 93 procent próśb — zgoda z przyzwyczajenia nie jest zgodą, więc nadmiar pytań paradoksalnie osłabia bezpieczeństwo zamiast je budować.
10.Jeden agent, zanim uruchomisz rój — a potem nerwy
Na czym polega: Zespoły agentów zużywają około piętnastokrotnie więcej tokenów niż zwykła rozmowa, a zyski na popularnych testach bywają minimalne. Autor rozbudowuje system dopiero, gdy wymaga tego praca, i dorzuca własny „system nerwowy”: żywą tablicę statusów, granice przekazań (informacja, nie rozkazy), dzwonek eskalacji i czarną skrzynkę przebiegów.
Jak stosować: Warstwa po warstwie, z dowodem skuteczności każdej z nich: jeden pomocnik → umiejętności → narzędzia → metoda → granice → pętla → zespół → nerwy.
Na co uważać: Przekazania pracy między agentami muszą być danymi do odczytu — skoro wiadomość może nieść rozkazy, obcy może w niej ukryć rozkazy. To najmniej rozwiązany problem dziedziny: ataki pokonały już dwanaście opublikowanych zabezpieczeń.
Redakcyjne tłumaczenie
Dlaczego instrukcje przestają działać
Prosisz AI o pomoc w pracy i pierwszego dnia jest genialne. Dodajesz więc regułę, potem kolejną i kolejną, aż instrukcje rozrastają się na pięć stron — a pewnego ranka model ignoruje połowę z nich. To nie znaczy, że zrobił się leniwy. To fizyka. Każda maszyna podlega jednemu prawu: o zachowaniu decyduje struktura, a mur tekstu nie ma struktury — ma wyłącznie ciężar.
Buduj ciało, nie listę poleceń
Dlatego zamiast jednej długiej listy poleceń buduję pomocnika AI tak, jak natura buduje wszystko, co ma przetrwać: jak organizm. W głowie mieści się to, kim jest i co pamięta. W rękach — to, co potrafi zrobić. Kręgosłup utrzymuje sposób, w jaki pracuje. A wokół ciała biegną granice, których nie wolno mu przekroczyć, oraz pętla, która sprawdza efekty.
Jedno ciało upora się z jednym zadaniem. Ale zespół pomocników potrzebuje już ula, żeby współpracować — i systemu nerwowego, żeby cały ul myślał jak jedna głowa.
Ładny schemat sam w sobie niczego nie dowodzi. Dlatego każdą część przetestowałem względem tego, co ustalili ludzie, którzy te systemy naprawdę budują i badają: Anthropic, OpenAI, Google oraz badacze bezpieczeństwa. Łącznie 85 źródeł. Co się broni — zostaje. Co się sypie — naprawiamy.
Część 1. Tożsamość: rola i dusza
Tożsamość spina się w dwóch małych plikach. Pierwszy to rola — opis stanowiska: po co ten pomocnik istnieje, co dostaje na wejściu, co oddaje na wyjściu i czego nigdy nie wolno mu robić. Drugi to dusza — wyłącznie głos, sposób, w jaki mówi.
I ten opis stanowiska znaczy więcej, niż mogłoby się wydawać. W badaniu obejmującym ponad tysiąc sześćset przebiegów pracy zespołów agentów samo jaśniejsze rozpisanie ról sprawiło, że system odnosił sukcesy o 9,4 punktu częściej. Mówiąc wprost: ten sam model, lepszy opis pracy, lepsze wyniki.
Jest jednak haczyk. Nadanie modelowi osobowości — chociażby „jesteś światowej klasy marketerem” — nie czyni go sprytniejszym. Testy pokazują, że zmienia to, jak brzmi, a nie to, jak często trafia w punkt. Gdy więc zadanie kłóci się z osobowością, wygrywa zadanie. Rola stanowi prawo. Dusza nadaje ton.
Część 2. Pamięć: notatnik, podręcznik i pochodzenie faktów
Pamięć mieszka w dwóch miejscach. Każdy pomocnik prowadzi własny notatnik z głęboką wiedzą fachową — z odnotowanym, skąd pochodzi każdy fakt. A cały zespół dzieli jeden wspólny podręcznik reguł, zapisany raz, tak by nikt nie trzymał własnej, lekko odmiennej kopii.
Tu większość ludzi popełnia błąd. Sądzi, że im więcej informacji, tym mądrzejsze AI, i wkleja wszystko, co ma. Dobry pomocnik postępuje odwrotnie: czyta spis treści, potem niewielki pakiet materiałów, a na końcu wyłącznie te strony, których akurat wymaga zadanie. Badacze sprawdzili to na osiemnastu różnych modelach i za każdym razem wychodziło to samo: im dłuższe dane wejściowe, tym gorsze odpowiedzi. Mówiąc wprost: więcej nie znaczy lepiej. Siła tkwi w selekcji.
Dlatego każdy fakt dostaje etykietę pochodzenia. „Surowy” (raw) — trzymamy oryginalne źródło. „Pobrany” (fetch) — właśnie przeczytany. „Znaleziony” (search) — wyszukany, ale przez nikogo niesprawdzony. „Wnioskowany” (infer) — wyprowadzony z dowodów. Bo wyszukiwanie potrafi znaleźć, ale udowodnić potrafi tylko źródło.
Pamięć to także pierwsze, po co sięgają atakujący. W jednym z badań zatrucie mniej niż jednej dziesiątej procenta pamięci AI pozwalało atakującym wygrać w ponad 80 procentach przypadków. To jedna zła strona w tysiącstronicowej książce — a cała książka zaczyna cię okłamywać. Dlatego każdy plik ma dokładnie jednego autora i nic nie wpada do pamięci bez sprawdzenia. Pilnuj tego, co wie, albo stracisz to, kim jest.
Część 3. Umiejętności: przepis, który umie odmówić
Umiejętność to przepis: te same składniki wchodzą, to samo danie wychodzi — za każdym razem. A dobry przepis wie, kiedy się zatrzymać. Gdy brakuje decyzji, mówi: „potrzebuję wskazania”. Gdy brakuje danych, mówi: „brak danych”. Umiejętność może się zatrzymać, ale nigdy nie może zgadywać.
(Informacja dodatkowa: „umiejętności” (ang. skills) to moduły z instrukcjami i zasobami, które agent wczytuje na żądanie, tylko gdy ich potrzebuje — mechanizm spopularyzowany przez Anthropic.)
Czy umiejętności realnie pomagają? Na pierwszy rzut oka — tak. W pierwszym dużym teście ręcznie dobrane przepisy podniosły odsetek zaliczonych zadań z 34 do około 50 procent. Mówiąc wprost: mniej więcej jedno dodatkowe udane zadanie na każde sześć.
Ale uwaga. W 16 z 84 zadań dodanie umiejętności pogorszyło wyniki. A przepisy, które AI napisało samo dla siebie, średnio wcale nie pomagały. To jak pozwolenie studentowi na pisanie własnego egzaminu. Wiedzę trzeba zważyć, zanim się jej zaufa.
Czyli każdą umiejętność testujesz dwa razy — raz z nią i raz bez niej — zanim dotknie prawdziwej pracy. I pamiętaj: umieć coś zrobić to nie to samo, co mieć na to pozwolenie. Umiejętność nie jest upoważnieniem.
Część 4. Narzędzia: wszystko startuje wyłączone
Narzędzia to wszystko, do czego pomocnik może sięgnąć: twoja poczta, twoje pliki, twoje konto reklamowe. Ale sięgnięcie to jeszcze nie pozwolenie. Dlatego każde narzędzie startuje wyłączone. Każde ma listę osób, które wolno go używać. Wydawanie pieniędzy i wprowadzanie zmian wymagają każde osobnego ludzkiego „tak”. Hasła trzymamy pod nazwą, żeby model nigdy nie zobaczył właściwego sekretu. A budżet ustalamy przed pierwszym wywołaniem, nie po nadejściu rachunku.
Prawdziwe niebezpieczeństwo to nie pojedyncze narzędzie, tylko połączenie trzech rzeczy: prywatnych danych, treści od obcych — na przykład maila albo strony internetowej — oraz kanału wysyłania czegoś na zewnątrz. Połącz wszystkie trzy w jednym pomocniku, a obcy potrafi go nabrać tak, że wyśle twoje sekrety w świat. Badacze nazywają to zabójczą triadą. Trzymaj więc dwie z tych trzech możliwości — nigdy wszystkich.
(Informacja dodatkowa: „zabójcza triada” — w oryginale lethal trifecta — to termin z badań nad bezpieczeństwem agentów AI, używany m.in. przez Anthropic.)
Część 5. Metoda: kręgosłup systemu
Metoda to nawyki wspólne wszystkim pomocnikom: stała linia produkcyjna dla każdego rodzaju zlecenia oraz szablony, dzięki którym każdy rezultat przybiera ten sam kształt. To ma być fabryka, nie improwizacja.
Czemu taka surowość? Bo najtrudniejsza sztuka to zmusić AI, żeby dwa razy dobrze zrobiło tę samą rzecz. W 2024 roku najlepsze pomocniki AI w jednym z dużych testów radziły sobie z mniej niż połową zadań. Mówiąc wprost: wynik jak rzut monetą.
Dlatego praca biegnie stałymi krokami: kontrolą przed zakończeniem, podpisem człowieka przed wysłaniem i jasną regułą mówiącą, kiedy przestać. A potem uruchamiasz całość raz po raz. Co zadziała raz — to przypadek. Co działa za każdym razem — to konstrukcja.
Część 6. Granice: drabina trzech szczebli
Sufit wyznacza, ile pomocnik może zrobić, zanim zapyta cię o zdanie. Wyłącznik rozstrzyga, czy w ogóle działa. I oba na starcie stoją na zerze oraz na „wyłączono”.
Potem wyobraź sobie drabinę o trzech szczeblach. Rzeczy prywatne i odwracalne po prostu wykonuje. Rzeczy publiczne wymagają od ciebie stałej zgody. A wszystko, co kosztuje pieniądze albo nie da się cofnąć, wymaga świeżego „tak” za każdym razem.
I zgoda obejmuje dokładnie jedną rzecz. Zmień jedno słowo w tym mailu — i przepada, jak pieczęć woskowa zerwana z koperty.
Każdy system ma jednak słaby punkt, a w tym wypadku jesteśmy nim my. Badania pokazują, że ludzie zatwierdzają i tak 93 procent próśb o pozwolenie. Dlatego każda prośba musi być szybka do oceny, a swoją uwagę oszczędzaj dla tych, które naprawdę się liczą. Zgoda dana z przyzwyczajenia nie jest zgodą.
Część 7. Pętla: nikt nie ocenia własnej pracy
Pętla to część, która sprawdza efekty i sprawia, że cały system z czasem się poprawia. Jej pierwsze prawo: nikt nie wystawia oceny własnej pracy domowej. Pomocnicy AI są nazbyt łaskawi dla własnych wyników, dlatego osobny kontroler ogląda dokładnie tę wersję, która ma wyjść na zewnątrz. Kontroler pracuje na zadaniach testowych, karcie ocen i celowych atakach — i każdy z nich uruchamia więcej niż raz. Bo jedno szczęśliwe przejście wygląda identycznie jak niezawodne, dopóki nie spróbujesz ponownie.
A każdy błąd staje się lekcją. Ale lekcję w nową regułę zamienia tylko człowiek. System może się uczyć na błędach — reguły ustanawiasz ty.
Część 8. Ul: zespół pomocników
Rozmawiasz tylko z jednymi drzwiami wejściowymi. Za nimi koordynator dobiera właściwych specjalistów, kontroler przegląda pracę, a potem efekt wraca do ciebie. Każde przekazanie pracy idzie na tym samym formularzu — jak list przewozowy — a każde zlecenie kończy jeden uczciwy status: wykonane, częściowo wykonane, zablokowane, nieudane albo anulowane. Nigdy wymijające „wszystko gra”.
Czy więc od pierwszego dnia warto budować drużynę dziesięciu AI? Nie. Zespoły pomocników zużywają około piętnastokrotnie więcej tokenów niż zwykła rozmowa — a to właśnie za tokeny płacisz. Na popularnych testach zyski często są minimalne. Rozbudowuj ul wtedy, gdy wymaga tego praca, a nie wtedy, gdy kusi wyobraźnia.
(Informacja dodatkowa: tokeny to fragmenty tekstu, stanowiące jednostkę rozliczeniową modeli językowych — opłata naliczana jest od liczby przetworzonych tokenów.)
System nerwowy: propozycja autora
Wspólne reguły tworzą zespół, ale nie czynią z niego jednego organizmu. Do tego system potrzebuje nerwów. I ta ostatnia część wykracza poza wyniki badań — to własna propozycja autora, którą tak też należy traktować.
Po pierwsze: żywa tablica, którą każdy widzi — jak tablica odlotów na lotnisku — budowana wprost z zapisów, więc nigdy nie rozjedzie się z tym, co dzieje się naprawdę.
Po drugie: granice. Gdy jeden pomocnik przekazuje drugiemu pracę, ta praca jest informacją do przeczytania — nigdy rozkazem do wykonania. Bo skoro wiadomość może wydawać rozkazy, obcy może ukryć rozkazy w jej treści. To najbardziej nierozwiązany problem całej dziedziny: przemyślne ataki pokonały już dwanaście opublikowanych zabezpieczeń.
Po trzecie: dzwonek. Gdy pomocnik utknie, najpierw dzwoni do koordynatora, a dopiero potem do ciebie.
Po czwarte: ślad — czarna skrzynka zapisywana przy każdym przebiegu. Bo temu, czego nie da się odtworzyć, nie można ufać.
Dziewięć części i jedno prawo
Czyli dziewięć części i jedno prawo. Zapisana reguła może wskazywać kierunek, ale rozstrzyga dopiero egzekwowanie. Mówiąc wprost: powiedzenie AI, żeby czegoś nie robiła, to życzenie. Pozbawienie jej takiej możliwości — to mur.
Buduj więc warstwa po warstwie: najpierw jeden pomocnik, potem umiejętności, narzędzia, metoda, granice, pętla, zespół — a na końcu nerwy. I zanim dobudujesz kolejną warstwę, udowodnij, że poprzednia działa.
Pełny przewodnik, ze wszystkimi 85 źródłami, znajdziecie w opisie pod filmem.