Agentes na web aberta: navegação dentro de um ciclo de decisão
Uma taxonomia de navegação agêntica, os modos de falha em que passámos mais tempo e resultados empíricos de seis ambientes de trabalho enterprise medidos em comparação com um holdout preservado.
Marc Sanchez·
#IA Agêntica
#Pesquisa
#Open web
A maioria das implementações enterprise de agentes de language-model ainda trata a web aberta como uma nota de rodapé: uma demonstração, um invólucro de pesquisa, uma forma de hidratar um prompt. Nós argumentamos o contrário. Para um sistema de decisioning de receita, a camada de navegação não é uma funcionalidade de conveniência. É o mecanismo que eleva a geração de hipóteses para fora da distribuição de dados do próprio operador, e é a maior fonte de novos graus de liberdade que o loop ganhou nos últimos dezoito meses.
Esta é uma nota de pesquisa, não uma página de produto. Documenta as escolhas de design, os modos de falha nos quais dedicamos mais tempo e os resultados empíricos de seis espaços de trabalho enterprise que executaram a camada de navegação contra um holdout preservado por pelo menos oito semanas.
1. Por que a open web deve estar dentro do ciclo
Um ciclo de decisioning de receita tem quatro estações: sinal, hipótese, ação candidata, experimento. Três das quatro são naturalmente delimitadas pelos próprios dados do operador. Sinais são calculados com base em eventos próprios. Ações candidatas são restritas pela camada de ação que o operador conectou. Experimentos são medidos contra um holdout na própria base do operador. Apenas uma estação é ilimitada por construção: a autoria de hipóteses.
A autoria de hipóteses é a etapa que pergunta, para uma dada oportunidade de receita, quais mecanismos plausíveis poderiam movê-la. Na prática, esta etapa sempre foi o teto para o rendimento do ciclo. Uma equipa de cinco analistas seniores pode pontuar milhares de oportunidades por semana, mas o número de hipóteses distintas e testáveis que podem articular contra essas oportunidades está mais próximo de cinquenta. O resto do ciclo fica parado.
Agentes de language-model elevam esse teto, mas apenas até ao limite da sua distribuição de treino. Sem contexto externo, um agente produzirá hipóteses fluentes que reciclam os padrões já existentes nos dados do operador e no pré-treino do modelo. Ambos são, por definição, retrospetivos. A camada de navegação é o que permite que a autoria da hipótese se ligue ao tempo presente.
2. Uma taxonomia do que a navegação realmente serve
Analisamos 41.000 requisições iniciadas por agentes em seis espaços de trabalho piloto e agrupámo-las por intenção. Cinco categorias cobrem 94% do tráfego. Vale a pena nomeá-las, porque a maior parte da confusão em torno da navegação agêntica desmorona-se quando as categorias são mantidas separadas.
Categoria A. Consulta de referência. Obter um documento público específico que o agente já sabe que existe: uma página de orientação de um regulador, uma tabela de tarifas publicada, a política de devoluções declarada de uma empresa. Conteúdo criativo baixo, alto valor de citação. 38% das obtenções.
Categoria B. Alargamento tonal e de formato. Leitura de material de categorias adjacentes para ampliar o leque de variantes criativas candidatas que o agente irá propor. A intenção não é copiar: é afastar a distribuição da proposta do agente do modo dos seus dados de treino. 21% das recolhas.
Categoria C. Descoberta de sinal externo. Revelar factos sobre o mundo que influenciam plausivelmente uma oportunidade de receita, mas são inatingíveis a partir de dados primários: lançamentos de dispositivos, mudanças no calendário desportivo, um movimento público de precificação por um concorrente, uma anomalia climática. 19% das buscas.
Categoria D. Vigilância de ofertas da concorrência. A categoria mais solicitada e a mais disciplinada. Buscas estruturadas de um conjunto nomeado de superfícies de concorrentes numa cadência fixa, diferenciadas de um snapshot anterior, inseridas no feed de oportunidade. 12% das buscas.
Categoria E. Teste de estresse de hipóteses. Dada uma hipótese proposta, procurar ativamente evidências públicas que a invalidem antes de um experimento ser projetado. Este é o uso de maior alavancagem por fetch, e o menos intuitivo. 4% dos fetches, e responsável por uma parte desproporcionada das hipóteses que foram eliminadas antes de consumirem holdout.
Os restantes 6% são um longo rabo de intenções únicas que não se estabilizaram numa categoria. Continuamos a observá-los.
3. O que deliberadamente não construímos
Duas decisões de design levaram aproximadamente um terço do tempo total de revisão de design neste projeto. Vale a pena nomeá-las explicitamente, porque ambas são estruturais.
3.1 Nenhuma escrita autónoma em superfícies de terceiros
A camada de browsing é somente leitura contra qualquer superfície que o operador não possua. Qualquer gravação, seja criando uma conta, enviando um formulário ou transacionando, é roteada através da camada de ação normal do espaço de trabalho, que já possui autorização humana e auditoria. Esta não é uma limitação de capacidade. Nós a escolhemos. No momento em que um agente pode gravar em uma superfície de terceiros, o operador herda os termos de serviço dessa superfície, sua disciplina de taxa e seu risco adversário. Nenhum deles pertence ao loop de decisioning de receita.
3.2 Nenhum volume em escala de crawler
A camada é limitada superiormente pelo que um analista humano buscaria plausivelmente num dia de trabalho, com um limite por espaço de trabalho que é ajustável, mas com um limite máximo. Se um espaço de trabalho precisa de dados externos de maior volume, a medida correta é licenciar ou adquirir um feed, e não ter um agente a iterar. Este limite não é principalmente sobre custo. É sobre a qualidade do sinal que sobrevive quando o volume é limitado: a busca limitada força o agente a ser específico sobre o que está a pedir, o que melhora as hipóteses resultantes.
4. Proveniência, ou por que cada fetch é um objeto de primeira classe
No modelo de dados do espaço de trabalho, um fetch não é um efeito colateral de um prompt. É um objeto armazenado com um URL, um timestamp capturado, um hash de conteúdo, um snapshot renderizado e um ponteiro para a hipótese ou ação candidata que o solicitou. Tudo o que o agente citar posteriormente remete a um objeto fetch específico. Tudo o que um revisor humano quiser auditar remete ao mesmo objeto.
Isto é importante por três razões que são fáceis de subestimar até que um incidente force a questão.
Reproducibility. Uma hipótese que referenciou uma página pública é reproduzível apenas se a página, como o agente a viu, for preservada. As páginas públicas mudam. Sem um snapshot capturado, um revisor a jusante não consegue distinguir uma alucinação do agente de uma edição da página.
Atribuição de leituras causais. Quando um experimento move ARPU, a retrospetiva muitas vezes precisa de identificar qual o contexto externo que contribuiu para a hipótese que levou ao design. A proveniência transforma essa retrospetiva de uma anedota numa query.
Governança do próprio modelo. Se um padrão de navegação provar ser de baixa qualidade (por exemplo, uma fonte de categoria B que consistentemente produz variantes criativas com baixo desempenho), o workspace pode diminuir o peso ou bloquear essa fonte ao nível da política. Isto só é possível porque cada "fetch" é marcado e armazenado.
5. Modos de falha nos quais dedicamos mais tempo
5.1 Pesquisa de confirmação
O modo de falha padrão de qualquer agente de browsing é buscar evidências que apoiem a hipótese que ele já produziu. Deixado sozinho, o loop se torna uma máquina para confirmação. Nossa mitigação é estrutural, não em nível de prompt: as buscas da categoria E (teste de estresse de hipótese) são agendadas pelo loop, não solicitadas pelo agente autor de hipóteses. Um segundo agente, com um prompt de sistema diferente e sem visibilidade da abordagem da hipótese original, é encarregado de encontrar evidências públicas que a falsificariam. O resultado do teste de estresse é anexado à hipótese antes que ela seja elegível para um slot de experimento.
5.2 Monocultura de origem
Agentes deixados à sua própria sorte convergem para um pequeno número de fontes de alta autoridade. Isso é eficiente e errado. Limita a distribuição tonal e analítica exatamente onde a camada de navegação deveria ampliá-la. Nossa mitigação é uma métrica de diversidade de fontes por espaço de trabalho, calculada semanalmente, com um piso mínimo. Quando a métrica cai, o ciclo inclina as buscas para fontes sub-representadas na semana seguinte. É uma pequena correção, aplicada continuamente, e tem mantido os espaços de trabalho piloto afastados do atrator de monocultura durante toda a janela de observação.
5.3 Ilusão de frescura
Uma página obtida possui um carimbo de data/hora, mas o conteúdo da página pode ter anos. Os agentes tratarão qualquer conteúdo obtido como recente, a menos que sejam forçados a raciocinar sobre isso. A mitigação é um campo de data extraída obrigatório em qualquer obtenção de categoria C ou D, com a própria extração verificada duas vezes por uma segunda passagem. As obtenções que não conseguem resolver uma data extraída são despromovidas no contexto de autoria da hipótese.
5.4 Risco de prompt-injection
Páginas públicas são uma superfície de entrada não fidedigna. A mitigação é padrão agora, mas não era óbvia há um ano: o conteúdo obtido nunca é composto diretamente num prompt do sistema. É passado por um analisador que retira instruções, preservado como dados num slot de contexto separado, e o agente é instruído a tratá-lo como evidência para raciocinar, não como direções a seguir. Cada workspace executa um conjunto de injeção de red team semanalmente contra um conjunto rotativo de páginas reais que os agentes obtiveram.
6. Resultados empíricos da coorte piloto
Seis workspaces, de oito a catorze semanas cada, camada de navegação ativada em 50% aleatório dos slots de autoria de hipóteses e desativada nos outros 50%. A comparação é ao nível da hipótese, não ao nível do experimento, porque o efeito da camada de navegação é upstream da seleção do experimento.
Taxa de hipóteses novas. As hipóteses julgadas por revisores humanos como materialmente diferentes de qualquer hipótese proposta anteriormente no espaço de trabalho aumentaram de 11% para 27% dos slots elegíveis. Este é o resultado principal.
Taxa de eliminação de hipóteses antes do experimento. Subiu de 19% para 34%. Este é um bom resultado. Reflete o stress-testing da categoria E a eliminar hipóteses que anteriormente teriam consumido holdout. O holdout poupado foi realocado para testes de maior prioridade.
Taxa de sucesso do experimento. Aumentou de 22% para 29% o número de experiências enviadas que movimentaram a métrica alvo com significado. O mecanismo, na medida em que o podemos identificar, é um efeito composicional dos dois primeiros: hipóteses novas que sobrevivem ao stress-testing são sistematicamente melhor desenhadas no momento em que entram na fila de experiências.
Tempo para a primeira ação candidata. Caiu 41% na mediana. As referências da Categoria A eliminam uma grande classe de ciclos de clarificação entre o agente e o revisor humano.
A metodologia completa, a composição da coorte e os deltas por espaço de trabalho estão no apêndice distribuído aos operadores piloto. Publicaremos uma versão anonimizada assim que uma segunda coorte terminar no 3º trimestre.
7. O que isto muda sobre a forma como o loop é operado
A camada de browsing não reduz o número de humanos envolvidos no loop. Ela muda o que eles fazem. Antes, a habilidade rara do analista sênior era a própria autoria da hipótese: saber o que perguntar a uma dada oportunidade de receita. Depois, a habilidade rara é a adjudicação da hipótese: saber qual das hipóteses propostas pelo agente merece holdout. Este é um trabalho genuinamente diferente, mais próximo de um revisor científico do que de um analista, e os espaços de trabalho que obtiveram o maior uplift foram aqueles que ajustaram a equipe para refletir isso.
8. O que se segue
Extração tipada. As obtenções da Categoria D aparecerão no feed de oportunidade como objetos conformes ao schema, em vez de texto livre, para que uma alteração de preço de um concorrente se torne um sinal tipificado que pode ser unido ao próprio modelo de elasticidade de preço do workspace.
Notebooks de pesquisa. Uma superfície revisável onde um humano pode ver a sessão de navegação completa do agente para uma determinada hipótese, incluindo as páginas que buscou, as páginas que rejeitou e o rastro de raciocínio, antes que a hipótese seja elegível para um slot de experimento.
Reputação da fonte entre workspaces. Sinal anonimizado e opt-in sobre quais fontes produzem hipóteses que sobrevivem a testes de stress em toda a base de operadores. Esta é a parte com a qual somos mais cautelosos, porque os sistemas de reputação têm os seus próprios modos de falha, e preferimos lançá-lo tarde do que lançá-lo errado.
9. Encerramento
O valor da camada de navegação não é que os agentes possam navegar na internet. Os agentes conseguem navegar na internet há anos. O valor é que, dentro de um loop de decisioning com proveniência estrita, mitigadores estruturais para a pesquisa de confirmação e medição aleatória contra um holdout preservado, o contexto externo torna-se uma entrada que pode ser avaliada tão rigorosamente quanto qualquer sinal primário. A web deixa de ser uma demonstração e torna-se uma fonte controlada de variação na única estação do loop que sempre foi realmente limitada pela imaginação.
A navegação agêntica é uma capacidade delimitada e auditável que permite que agentes de IA acedam, leiam e citem páginas web públicas como parte de um ciclo de decisão, com cada acesso armazenado como um objeto de primeira classe com URL, carimbo de data/hora e hash de conteúdo.
Por que deixar os agentes navegarem na web aberta?
Porque a autoria de hipóteses é a única estação num ciclo de decisioning de receita que não é naturalmente limitada por dados primários. O contexto externo é o que eleva as hipóteses da própria distribuição de dados do operador e do pré-treino do modelo.
Como a prompt injection é tratada quando os agentes navegam em páginas públicas?
O conteúdo obtido nunca é composto diretamente numa solicitação de sistema. É analisado para remover instruções, preservado como evidência num slot de contexto separado, e o agente é solicitado a raciocinar sobre ele como dados. Um conjunto de injeção da equipa vermelha é executado semanalmente contra um grupo rotativo de páginas reais obtidas.
Os agentes Markin podem comprar, inscrever-se ou enviar formulários em sites de terceiros?
Não. A camada de browsing é apenas de leitura contra qualquer superfície que o operador não possua. Qualquer escrita passa pela camada de ação do workspace com autorização humana.
Os mesmos loops que esta nota descreve são executados 24 horas por dia, 7 dias por semana, na sua base de clientes. Veja o espaço de trabalho decidir, experimentar e executar 1:1.