Академическая парадигма: агент как объект с «ментальным состоянием» (убеждения, цели, обязательства), общение только сообщениями.
идея Отсюда словарь «реактивный / проактивный» и принцип инкапсуляции.
Agent OS / AIOS (Rutgers, 2024)
Ядро под агентами: планировщик, память, менеджер тулов, «системные вызовы» вместо прямого доступа.
архитектура Самое близкое: ядро + изоляция + встраивание.
Agent Operations Platform (CrewAI AOP, 10.2025)
Коммерческая платформа сборки и управления многими агентами: RBAC, аудит, деплой.
Название совпадает, суть другая: про парк агентов, не про одно ядро с капсулами.
Agent Orchestration Protocol (Swarms)
Агенты как сетевые сервисы, видимые как тулы MCP-сервера.
Похоже на «капсулы как тулы».
Agent Operating Procedures (Decagon, Leena AI)
Регламенты на естественном языке: шаг → навык → ожидаемый результат.
Другой смысл (плейбуки).
Вывод
Скорее всего это собственный термин вендора в духе «агентная операционная платформа» (Agent OS). Архитектурно это ядро агента и изолированные модули-капсулы с объявленным интерфейсом, плюс SDK или API для встраивания. Пара «проактивный + реактивный» взята из классического АОП.
Уточнить у вендора: капсула — это песочница (процесс, контейнер, WASM), MCP-сервер или упакованный навык? Самое похожее употребление слова — капсулы Samsung Bixby: домен из понятий и действий, планировщик строит граф вызовов по капсулам.
2. Теория: откуда «реактивно и проактивно»
Автономность
Действует без прямого вмешательства человека, сам управляет своим состоянием.
Реактивность
Замечает изменения в среде и вовремя на них отвечает.
Проактивность
Не только отвечает: сам берёт инициативу ради целей.
Социальность
Общается с другими агентами и людьми через язык сообщений.
Wooldridge & Jennings, 1995, «слабое» определение агента. Инженерная задача — баланс: не планировать вслепую, пока мир меняется, и не застревать в одних реакциях.
Три типа архитектур
Тип
Классика
Аналог сегодня
Реактивная
Subsumption (Brooks, 1986): слои поведений без модели мира
InteRRaP, TouringMachines: несколько слоёв работают одновременно
Ядро с режимами «по событию» и «по расписанию / цели»
Проактивный + реактивный агент — это гибридная архитектура. Слои те же, что в 90-х, внутри — LLM.
3. Эталонная архитектура
Так обычно собирают платформы такого типа в 2025–2026. Детали у вендора могут отличаться, но блоки те же.
Продукты дают UI и свои капсулы, ядро не меняется. Изоляция — на шлюзе капсул: тенант берётся из токена, не из аргументов модели.Поток данных по шагам
Триггер (запрос, событие, тик расписания) проходит аутентификацию и превращается в (тенант, продукт, агент, тред).
Менеджер прогонов стартует или будит durable-прогон.
Цикл грузит чекпойнт и нужную долгую память, вызывает LLM.
Вызовы капсул идут через шлюз: политика тенанта, подстановка кредов, маршрут к нужной капсуле.
Каждый шаг пишется в журнал. Действие с апрувом ставит прогон на паузу и кладёт запрос в инбокс, ответ человека его продолжает.
После прогона — асинхронное извлечение фактов в память.
Спаны со всех звеньев уходят в трейсинг.
4. Реактивный и проактивный режимы
Внутри один и тот же цикл агента. Разница — кто его запускает и что стоит между результатом и человеком.
Главный риск проактивного режима — спам. Поэтому между «агент что-то нашёл» и «человек получил» стоят дедуп, порог уверенности и черновик.
5. Капсулы: упаковка и изоляция
Два независимых вопроса: как капсула описана и где она исполняется.
Упаковка
MCP-сервер — стандарт де-факто: тулы, ресурсы, промпты. С 2025-11 есть Tasks (долгие задачи), OAuth 2.1, с 12.2025 — под Linux Foundation.
Agent Skills — папка с SKILL.md и скриптами. В контексте только имя и описание, тело грузится по требованию. Открытый стандарт с 12.2025.
Плагины фреймворка — Semantic Kernel и т. п., не переносятся.
Исполнение
Много лёгких капсул (WASM, удалённый MCP).
Плюс одна тяжёлая песочница на сессию для произвольного кода.
Капсулы с состоянием требуют снапшотов и привязки «сессия → песочница».
Для чужого и сгенерированного LLM кода в мультитенантной среде — microVM или gVisor. Для своих тулов — WASM или удалённый MCP.Почему изоляция сейчас про безопасность, а не только про модульность
В классическом АОП (FIPA, JADE) изоляция была логической: потоки, контейнеры, обмен сообщениями. Сейчас код и вызовы тулов генерирует LLM, а она поддаётся prompt injection. Поэтому капсула ограничивается по CPU, памяти, таймауту и сети, а креды не попадают в песочницу: прокси снаружи проверяет операцию и сам подставляет токен.
6. Одно ядро — много продуктов
В ядре
цикл, durable-состояние, планировщик и триггеры
политики: права, апрувы, лимиты, kill switch
реестр капсул и рантайм песочниц
брокер секретов
трейсинг, эвалы, учёт бюджета
В адаптере продукта
каналы ввода-вывода, маппинг пользователей
доменные капсулы (свой MCP-сервер)
доменные промпты и источники контекста
политика уведомлений, тихие часы, пороги
выбор модели, набор включённых капсул
Вариант
Плюс
Минус
Встроенный SDK в каждом продукте
Меньше задержка, свои данные рядом
Стек дублируется, версии расходятся
Хостед-ядро + тонкие адаптеры
Одно место для политик, памяти, трейсов
Сетевой хоп, ядро — общая точка отказа
«Ядро, встроенное в разные продукты» на практике обычно хостед-ядро: продукт даёт UI, авторизацию, контекст и свой MCP-сервер. Агент-агент между продуктами — A2A (Agent Card по /.well-known/agent-card.json), но реальное распространение пока малое.
Антипаттерны интеграции
Продуктовые if внутри цикла ядра.
Общая глобальная память на всех тенантов.
Один большой список тулов на все продукты вместо подмножества на продукт.
Тенант берётся из аргумента тула, а не из проверенного токена.
7. Память и трейсы
Журнал исполнения
Durable-движок: Temporal, Restate, DBOS, Inngest или актор на агента (Cloudflare Durable Objects).
Чекпойнт треда
Состояние разговора после каждого шага. Даёт паузу на апрув, возобновление, «машину времени».
Долгая память
Извлечённые факты. Mem0 (вектор + граф), Zep (временной граф), Letta (агент правит свою память сам).
Три хранилища держать раздельно, иначе replay и удаление данных по запросу превращаются в боль. Ключ любой записи: тенант / продукт / пользователь / агент.
Трейсинг — OpenTelemetry GenAI: корневой спан invoke_agent, под ним chat и execute_tool. Каждый спан с тегами тенанта, продукта и типа триггера, чтобы проактивные прогоны аудировались отдельно.
8. Лучшие практики
Сложность: начинать с минимума
Workflow (заданный кодом путь) там, где шаги предсказуемы; агент — только когда число шагов заранее неизвестно.
Лестница: один вызов модели → один агент с тулами → мультиагент. Мультиагент оправдан сложностью промпта, перегрузкой тулами или нужной границей безопасности.
Агент тратит ~4× токенов чата, мультиагентная система ~15×. Годится для широкой параллельной работы, плохо — для тесно связанной.
Свой контроль потока, агент — «чистый редьюсер» над состоянием (12-factor agents).
Дизайн капсул
Меньше и крупнее: schedule_event вместо «list + create». Неймспейс по сервису: jira_search.
Если человек не может выбрать нужный тул из двух похожих — модель тоже не сможет.
Описание как для джуна: примеры, крайние случаи. Аргументы — защита от ошибки (абсолютные пути и т. п.).
Ответ — только полезные поля, пагинация, обрезка с подсказкой, как сузить запрос.
Ошибки — конкретные и исправимые, не трейсбеки. Лимит повторов, потом эскалация.
Идемпотентность: durable-движки исполняют шаг «хотя бы раз». Любой тул с побочным эффектом — с ключом идемпотентности. Отдельно обработать «эффект случился, но не записан».
Таймаут, бюджет и минимальные права на каждую капсулу.
Версия схемы и описания капсулы (semver): смена описания = смена поведения. Пиннинг по продукту, эвалы на каждое обновление.
Проактивность без спама
Дедуп по сущности и «отпечатку» проблемы; лимит по пользователю, каналу и тенанту.
Ничего не изменилось с прошлого раза — молчать. Ниже порога уверенности — молчать.
Внешние отправки по умолчанию через черновик и апрув (outbox).
Апрув — на уровне конкретной капсулы, а не на всё подряд: иначе люди начинают жать «да» не глядя. Песочница сократила запросы разрешений в Claude Code на 84%.
Главная метрика качества — доля проигнорированных и отклонённых сообщений.
Kill switch на тенанта и на капсулу, фича-флаг на каждый проактивный триггер, аудит-лог каждого исходящего сообщения с причиной.
Изоляция и безопасность
Смертельная триада (Willison): приватные данные + недоверенный контент + канал наружу = утечка. Не допускать всех трёх в одном прогоне. Фильтр, ловящий 95% атак, — провал.
Паттерны против инъекций: action-selector, plan-then-execute, dual LLM, code-then-execute, минимизация контекста.
Изоляция и файловой системы, и сети; выход в сеть через прокси с белым списком доменов.
Креды выдаёт платформа, не модель; они живут вне песочницы.
Память и поиск разделены по тенантам (OWASP ASI06 — отравление памяти).
Навыки и капсулы ставить только из доверенных источников — это цепочка поставок (ASI04).
OWASP Agentic Top 10 (2026): захват цели, злоупотребление тулами, привилегии, цепочка поставок, исполнение кода, отравление памяти, межагентная связь, каскадные сбои, слепое доверие человека, «агент вышел из-под контроля».
Надёжность, эвалы, стоимость
После падения — продолжать с чекпойнта, не перезапускать. Деплой не ломает идущие прогоны (rainbow deploy).
Эвалы с ~20 реальных запросов; LLM-судья с рубрикой + ручной просмотр. Для агентов с состоянием проверять конечное состояние, а не каждый шаг.
Контекст «гниёт» с ростом: подгружать по идентификаторам, сжимать старые результаты тулов, сабагенты возвращают выжимку 1–2k токенов.
Лимит итераций, модель под задачу, стоимость задачи p50/p95.
9. Вопросы вендору
Ответы на них показывают зрелость платформы лучше, чем демо.
#
Тема
Вопрос
1
Термин
Что такое капсула физически: процесс, контейнер, WASM, microVM, MCP-сервер? Изоляция на вызов или на сессию?
2
Совместимость
Капсулы совместимы с MCP / Agent Skills или проприетарные (lock-in)?
3
Проактивность
Откуда инициатива: планировщик и хранилище целей или LLM сама себя пингует? Есть ли постоянные цели или только ReAct-цикл?
4
Durability
Что будет, если воркер упадёт посреди вызова капсулы? Есть ключи идемпотентности у пишущих капсул?
5
Шум
Какие дедуп, лимиты и пороги у проактивных сообщений? Какая измеренная доля игнора?
6
Человек
Какие действия требуют апрува, настраивается ли это на капсулу, как избегают «усталости от апрувов»?
7
Тенанты
Где проверяется тенант, как разделены память, логи, кэши, креды? Есть удаление данных по тенанту?
8
Инъекции
Какие прогоны видят недоверенный контент и что им после этого запрещено? Где секреты, видит ли их модель?
9
Версии
Как версионируются капсулы, пиннятся по продукту, что с идущими прогонами при деплое?
10
Эвалы
Какой набор эвалов, гоняется ли на каждую смену модели, промпта, капсулы? Где доказательство, что агент лучше workflow?
11
Наблюдаемость
Экспорт в OTel GenAI или только свой UI? Стоимость задачи p50/p95, лимиты бюджета?