Agenti sul web aperto: browsing all'interno di un ciclo decisionale
Una tassonomia della navigazione autonoma, le modalità di errore su cui ci siamo soffermati maggiormente e i risultati empirici di sei ambienti di lavoro enterprise misurati rispetto a un holdout preservato.
Marc Sanchez·
#AI Agentica
#Ricerca
#Open web
La maggior parte delle implementazioni enterprise di agenti basati su modelli linguistici tratta ancora il web aperto come una nota a piè di pagina: una funzionalità dimostrativa, un wrapper di ricerca, un modo per arricchire un prompt. Noi sosteniamo il contrario. Per un sistema di decisioning per i ricavi, il livello di navigazione non è una funzionalità di convenienza. È il meccanismo che solleva la generazione di ipotesi dalla distribuzione dei dati dell'operatore ed è la più grande fonte di nuovi gradi di libertà che il ciclo ha acquisito negli ultimi diciotto mesi.
Questa è una nota di ricerca, non una pagina di prodotto. Documenta le scelte di design, le modalità di fallimento su cui abbiamo dedicato più tempo e i risultati empirici di sei spazi di lavoro enterprise che hanno eseguito il livello di navigazione contro un holdout preservato per almeno otto settimane.
1. Perché il web aperto dovrebbe essere incluso
Un ciclo di decisioning sui ricavi ha quattro stazioni: segnale, ipotesi, azione candidata, esperimento. Tre delle quattro sono naturalmente delimitate dai dati propri dell'operatore. I segnali sono calcolati su eventi first-party. Le azioni candidate sono vincolate dal livello di azione che l'operatore ha configurato. Gli esperimenti sono misurati rispetto a un holdout sulla base propria dell'operatore. Solo una stazione è illimitata per costruzione: l'autorship dell'ipotesi.
La creazione di ipotesi è il passo che si chiede, per una data opportunità di ricavo, quali meccanismi plausibili potrebbero spostarla. In pratica questo passo è sempre stato il limite alla capacità del ciclo. Un team di cinque analisti senior può valutare migliaia di opportunità a settimana, ma il numero di ipotesi distinte e testabili che possono articolare rispetto a tali opportunità è più vicino a cinquanta. Il resto del ciclo ne risente.
Gli agenti di modelli linguistici alzano quel tetto, ma solo fino al bordo della loro distribuzione di training. Senza contesto esterno, un agente produrrà ipotesi fluenti che riciclano qualsiasi pattern già esistente nei dati dell'operatore e nel pre-training del modello. Entrambi sono, per definizione, retrospettivi. Il livello di browsing è ciò che permette alla creazione di ipotesi di attaccarsi al tempo presente.
2. Una tassonomia del vero scopo della navigazione
Abbiamo esaminato 41.000 recuperi avviati dagli agenti in sei aree di lavoro pilota e li abbiamo raggruppati per intento. Cinque categorie coprono il 94% del traffico. Vale la pena nominarle, perché la maggior parte della confusione intorno alla navigazione agentica si dissolve quando le categorie vengono tenute separate.
Categoria A. Ricerca di riferimento. Recupero di un documento pubblico specifico che l'agente sa già esistere: una pagina guida di un regolatore, un tariffario pubblicato, la politica di reso dichiarata di un'azienda. Contenuto creativo basso, alto valore di citazione. 38% dei recuperi.
Categoria B. Ampliamento tonale e di formato. Lettura di materiale di categoria adiacente per ampliare la gamma di varianti creative candidate che l'agente proporrà. L'intento non è copiare: è spostare la distribuzione delle proposte dell'agente dalla modalità dei suoi dati di training. Il 21% dei recuperi.
Categoria C. Scoperta di segnali esterni. Rilevare fatti sul mondo che influenzano plausibilmente un'opportunità di ricavo ma sono irraggiungibili dai dati di prima parte: lanci di dispositivi, cambiamenti nel calendario sportivo, una mossa pubblica di prezzo da parte di un concorrente, un'anomalia meteorologica. 19% dei recuperi.
Categoria D. Sorveglianza delle offerte dei concorrenti. La categoria più richiesta e la più disciplinata. Fetch strutturati di un set nominato di superfici della concorrenza con una cadenza fissa, confrontati con uno snapshot precedente, digitati nel feed delle opportunità. Il 12% dei fetch.
Categoria E. Stress-testing di ipotesi. Data un'ipotesi proposta, ricerca attivamente prove pubbliche che potrebbero falsificarla prima che un esperimento sia progettato. Questo è l'uso a più alto leverage per ricerca, e il meno intuitivo. Il 4% delle ricerche, e responsabile di una quota sproporzionata delle ipotesi che sono state eliminate prima che consumassero holdout.
Il restante 6% è una lunga coda di intenti unici che non si sono stabilizzati in una categoria. Continuiamo a monitorarli.
3. Cosa abbiamo deliberatamente deciso di non costruire
Due decisioni di progettazione hanno richiesto circa un terzo del tempo totale di revisione del progetto. Vale la pena nominarle esplicitamente, perché entrambe sono portanti.
3.1 Nessuna scrittura autonoma su superfici di terze parti
Il browsing layer è di sola lettura rispetto a qualsiasi superficie che l'operatore non possiede. Qualsiasi scrittura, sia che si tratti di creare un account, inviare un modulo o effettuare una transazione, viene instradata attraverso il normale action layer del workspace, che ha già autorizzazione e audit umani. Questa non è una limitazione di capacità. L'abbiamo scelta. Nel momento in cui un agente può scrivere su una superficie di terze parti, l'operatore eredita i termini di servizio di quella superficie, la sua disciplina tariffaria e il suo rischio avversario. Nessuno di questi elementi appartiene al ciclo di decisioning dei ricavi.
3.2 Nessun volume su scala crawler
Il livello è limitato superiormente da ciò che un analista umano potrebbe ragionevolmente recuperare in una giornata lavorativa, con un limite per workspace che è configurabile ma imposto in modo rigido. Se un workspace necessita di dati esterni a volume più elevato, la mossa corretta è licenziare o acquistare un feed, non fare in modo che un agente iteri. Questo limite non riguarda principalmente il costo. Riguarda la qualità del segnale che sopravvive quando il volume è vincolato: il recupero limitato costringe l'agente a essere specifico su ciò che sta chiedendo, il che migliora le ipotesi risultanti.
4. Provenienza, o perché ogni fetch è un oggetto di prima classe
Nel modello di dati dello spazio di lavoro, un "fetch" non è un effetto collaterale di un "prompt". È un oggetto archiviato con un URL, un timestamp catturato, un hash del contenuto, uno snapshot renderizzato e un puntatore all'ipotesi o all'azione candidata che l'ha richiesto. Qualsiasi cosa l'agente citi in seguito si risolve in un oggetto "fetch" specifico. Qualsiasi cosa un revisore umano voglia verificare si risolve nello stesso oggetto.
Questo è importante per tre ragioni che sono facili da sottovalutare finché un incidente non rende chiara la questione.
Reproducibility. Un'ipotesi che ha fatto riferimento a una pagina pubblica è riproducibile solo se la pagina, come l'agente l'ha vista, è conservata. Le pagine pubbliche cambiano. Senza un'istantanea catturata, un revisore a valle non può distinguere un'allucinazione dell'agente da una modifica della pagina.
Attribuzione delle letture causali. Quando un esperimento sposta l'ARPU, la retrospettiva spesso deve identificare quale contesto esterno ha contribuito all'ipotesi che ha portato alla progettazione. La provenienza trasforma quella retrospettiva da un aneddoto in una query.
Governance del modello stesso. Se un modello di navigazione si rivela di bassa qualità (ad esempio, una fonte di categoria B che produce costantemente varianti creative con prestazioni inferiori), l'ambiente di lavoro può ridurne il peso o bloccare tale fonte a livello di policy. Questo è possibile solo perché ogni recupero è etichettato e memorizzato.
5. Modalità di errore su cui abbiamo trascorso più tempo
5.1 Ricerca di conferma
La modalità di errore predefinita di qualsiasi agente di navigazione è cercare prove che supportino l'ipotesi che ha già prodotto. Lasciato a se stesso, il loop diventa una macchina per la conferma. La nostra mitigazione è strutturale, non a livello di prompt: i recuperi di categoria E (stress-testing delle ipotesi) sono programmati dal loop, non richiesti dall'agente che formula le ipotesi. Un secondo agente, con un prompt di sistema diverso e senza visibilità sulla formulazione dell'ipotesi originale, ha il compito di trovare prove pubbliche che la falsificherebbero. Il risultato dello stress-test è allegato all'ipotesi prima che sia idonea per uno slot di esperimento.
5.2 Monocultura della fonte
Gli agenti lasciati a se stessi convergono su un piccolo numero di fonti ad alta autorità. Questo è efficiente e sbagliato. Restringe la distribuzione tonale e analitica esattamente dove il livello di navigazione è destinato ad ampliarla. La nostra mitigazione è una metrica di diversità delle fonti per workspace, calcolata settimanalmente, con un soft floor. Quando la metrica scende, il ciclo indirizza i recuperi verso fonti sottorappresentate per la settimana successiva. È una piccola correzione, applicata continuamente, e ha mantenuto i workspace pilota lontani dall'attrattore di monocultura per l'intera finestra di osservazione.
5.3 Illusione di freschezza
Una pagina recuperata porta un timestamp, ma il contenuto della pagina potrebbe avere anni. Gli agenti tratteranno qualsiasi contenuto recuperato come recente a meno che non siano costretti a ragionarci sopra. La mitigazione è un campo 'data di estrazione' richiesto su qualsiasi recupero di categoria C o D, con l'estrazione stessa ricontrollata da un secondo passaggio. I recuperi che non possono risolvere una data estratta vengono declassati nel contesto dell'autore dell'ipotesi.
5.4 Rischio di prompt-injection
Le pagine pubbliche sono una superficie di input non attendibile. La mitigazione è standard ora, ma non era ovvia un anno fa: il contenuto recuperato non viene mai composto direttamente in un system prompt. Viene passato attraverso un parser che elimina le istruzioni, conservato come dati in uno slot di contesto separato, e l'agente viene invitato a trattarlo come prova su cui ragionare, non come direttive da seguire. Ogni workspace esegue settimanalmente una suite di iniezione di red team contro un pool rotante di pagine reali che gli agenti hanno recuperato.
6. Risultati empirici della coorte pilota
Sei aree di lavoro, da otto a quattordici settimane ciascuna, livello di browsing abilitato su un 50% randomizzato degli slot di creazione di ipotesi e disabilitato sull'altro 50%. Il confronto è a livello di ipotesi, non a livello di esperimento, perché l'effetto del livello di browsing è a monte della selezione dell'esperimento.
Tasso di nuove ipotesi. Le ipotesi giudicate da revisori umani come materialmente diverse da qualsiasi ipotesi precedentemente proposta nell'area di lavoro sono aumentate dall'11% al 27% degli slot idonei. Questo è il risultato principale.
Tasso di eliminazione delle ipotesi prima dell'esperimento. È passato dal 19% al 34%. Questo è un buon risultato. Riflette lo stress-testing di categoria E che elimina ipotesi che in precedenza avrebbero consumato holdout. L'holdout risparmiato è stato riallocato a test con priorità più alta.
Tasso di successo dell'esperimento. È passato dal 22% al 29% degli esperimenti lanciati che spostano la metrica target con significatività. Il meccanismo, per quanto possiamo identificarlo, è un effetto compositivo dei primi due: le nuove ipotesi che sopravvivono allo stress-testing sono sistematicamente meglio progettate nel momento in cui entrano nella coda degli esperimenti.
Tempo alla prima azione candidata. Diminuito del 41% in mediana. I riferimenti alla categoria A eliminano una vasta classe di cicli di chiarimento tra l'agente e il revisore umano.
La metodologia completa, la composizione della coorte e le variazioni per workspace sono nell'appendice distribuita agli operatori pilota. Pubblicheremo una versione anonima una volta che una seconda coorte sarà terminata nel Q3.
7. Cosa cambia in merito alla gestione del loop
Il browsing layer non riduce il numero di persone coinvolte nel ciclo. Cambia ciò che fanno. Prima, la rara abilità dell'analista senior era l'autorialità dell'ipotesi stessa: sapere cosa chiedere a una data opportunità di ricavo. Dopo, la rara abilità è l'aggiudicazione dell'ipotesi: sapere quale delle ipotesi proposte dall'agente merita l'holdout. Questo è un lavoro genuinamente diverso, più vicino a un revisore scientifico che a un analista, e i workspace che hanno ottenuto il maggiore uplift sono stati quelli che hanno adeguato il personale per riflettere questo cambiamento.
8. Cosa c'è dopo
Estrazione tipizzata. I fetch di Categoria D atterreranno nel feed delle opportunità come oggetti conformi allo schema anziché testo libero, quindi una modifica del prezzo di un concorrente diventa un segnale tipizzato che può essere unito al modello di elasticità dei prezzi del workspace stesso.
Quaderni di ricerca. Una superficie revisionabile dove un umano può vedere l'intera sessione di navigazione dell'agente per una data ipotesi, incluse le pagine che ha recuperato, le pagine che ha rifiutato e la traccia del ragionamento, prima che l'ipotesi sia idonea per uno slot di esperimento.
Reputazione della fonte cross-workspace. Segnale anonimizzato e opt-in su quali fonti producono ipotesi che superano lo stress-testing attraverso la base di operatori. Questo è l'elemento su cui siamo più cauti, perché i sistemi di reputazione hanno i loro specifici modi di fallire, e preferiremmo rilasciarlo in ritardo piuttosto che sbagliarlo.
9. Chiusura
Il valore del livello di navigazione non è che gli agenti possano leggere internet. Gli agenti sono in grado di leggere internet da anni. Il valore è che all'interno di un ciclo di decisioning con provenienza rigorosa, mitigazioni strutturali per la ricerca di conferma e misurazione randomizzata contro un holdout preservato, il contesto esterno diventa un input che può essere valutato rigorosamente come qualsiasi segnale di prima parte. Il web smette di essere una demo e diventa una fonte controllata di varianza nell'unica stazione del ciclo che è mai stata realmente limitata dall'immaginazione.
Il browsing agentico è una capacità circoscritta e auditabile che consente agli agenti AI di recuperare, leggere e citare pagine web pubbliche come parte di un ciclo decisionale, con ogni recupero memorizzato come oggetto di prima classe con URL, timestamp e hash del contenuto.
Perché lasciare che gli agenti navighino in rete?
Perché l'authorship di ipotesi è l'unica stazione in un loop di decisioning sui ricavi che non è naturalmente delimitata dai dati di prima parte. Il contesto esterno è ciò che eleva le ipotesi al di fuori della distribuzione dei dati dell'operatore e del pre-training del modello.
Come viene gestita la prompt injection quando gli agenti navigano pagine pubbliche?
Il contenuto recuperato non viene mai composto direttamente in un prompt di sistema. Viene analizzato per rimuovere le istruzioni, conservato come prova in uno slot di contesto separato e all'agente viene chiesto di ragionare su di esso come dati. Una suite di iniezione del team rosso viene eseguita settimanalmente su un pool rotante di pagine reali recuperate.
Gli agenti Markin possono effettuare acquisti, iscriversi o inviare moduli su siti di terze parti?
No. Il livello di browsing è di sola lettura rispetto a qualsiasi superficie che l'operatore non possiede. Qualsiasi scrittura passa attraverso il livello di azione dello spazio di lavoro con autorizzazione umana.
Gli stessi cicli descritti in questa nota vengono eseguiti 24 ore su 24, 7 giorni su 7, sulla tua base clienti. Osserva lo spazio di lavoro decidere, sperimentare ed eseguire 1:1.