Агентная сеть: MCP, A2A и агенты как посетители

MCP — открытый протокол, по которому ИИ-агент вызывает инструменты и читает данные внешней системы; стороны обмениваются сообщениями JSON-RPC.

Посетитель, который не человек

Раньше сайт посещали люди и поисковые роботы. Роботы читали страницы, чтобы показать вас в выдаче, а решать, что делать, должен был человек. Теперь есть и третий посетитель: ИИ-агент. Это программа с языковой моделью внутри, которая по просьбе человека сама ходит по сайтам и сервисам: читает цены, сравнивает, заполняет формы, записывает на приём. Человек говорит: «найди кадастрового инженера и запиши меня на завтра», а агент делает.

Что это значит для владельца сайта. Агент читает ваш сайт примерно так, как это делают программы чтения с экрана: через структуру страницы, подписи и заголовки (во многих агентах-браузерах именно дерево доступности и разметка служат основой). Если страница собрана из div без смысла, а кнопки не кнопки, агент ошибается и выбирает другого. Поэтому всё, чему вы учились в частях про HTML и доступность (например, в уроке о доступности), работает и на агентов. И у агентов появляются свои «двери»: способы, которыми сайт может отдать им данные и действия напрямую, не заставляя угадывать по пикселям.

Здесь, как и в уроке о конструкторах сайтов с ИИ, область меняется быстро. Всё названное ниже верно на октябрь 2026 года, и часть этого ещё предложения, а не стандарты.

Двери для агентов, от простой к сложной

1. Хорошая разметка и структурированные данные. Смысловые элементы, подписи, заголовки, schema.org (вы разбирали его в уроке о техническом SEO). Ничего нового писать не нужно, а польза сразу и людям, и поисковикам, и агентам. Для большинства небольших сайтов это единственная дверь, которая нужна.
2. Решения о ботах и llms.txt. Какие ИИ-боты пускать и нужен ли файл с описанием сайта. Это вы решали в уроке о GEO, и повторять не нужно.
3. API. Если у вас есть сервис (запись, заказ), у него может быть интерфейс, описанный в OpenAPI, как в уроке об API и REST. Агент вызывает его так же, как любой клиент.
4. MCP-сервер. MCP (Model Context Protocol) открытый протокол, который Anthropic представила в ноябре 2024 года, а в декабре 2025 года передала в фонд Agentic AI Foundation под Linux Foundation. Он описывает, как агент вызывает инструменты (функции с названием, описанием и схемой аргументов) и читает ресурсы (данные) у внешней системы. Участников три: хост (приложение с моделью), клиент (соединение с одним сервером) и сервер (то, что отдаёт инструменты, у вас или у провайдера). Сообщения идут в формате JSON-RPC. Большие поставщики моделей его поддержали, но спецификация активно меняется: в июле 2026 года вышла новая редакция, не полностью совместимая с прежней. Вывод для вас: MCP-сервер имеет смысл, когда у вас есть, что в него отдать (запись, каталог), и вы готовы его сопровождать.
5. NLWeb. Открытый проект с Microsoft: сайт получает конечную точку ask, на которую можно задать вопрос на естественном языке и получить ответ по данным сайта в формате schema.org; каждый экземпляр заодно работает как MCP-сервер. Подходит сайтам со структурированным списком (каталоги, рецепты, отзывы).
6. WebMCP. Предложение для браузеров: страница сама объявляет инструменты (имя, описание, схема входа), которые агент в браузере вызывает через её же JavaScript, а не нажимает кнопки вслепую. Это ещё черновик и экспериментальный, строить на нём проект рано.

A2A: агенты разговаривают с агентами

Бывает, что одному агенту нужно поручить часть работы другому (агент-помощник просит агента-бронировщика найти время). Для этого есть A2A (Agent2Agent): открытый протокол, который начала Google и передала в Linux Foundation, а поддерживают его представители многих компаний. Агенты через него находят друг друга, делегируют задачи и обмениваются результатами, не раскрывая своей внутренности. Документация описывает его как дополнение к MCP, а не замену: MCP соединяет агента с инструментами, A2A соединяет агентов между собой.

Для небольшого сайта в 2026 году писать A2A не нужно. Знать полезно: вы поймёте разговоры о «сети агентов», в которой агенты проектов, людей и сервисов договариваются друг с другом, а сайт превращается из страницы в участника такой сети.

Проверьте себя: чем MCP отличается от A2A?

MCP соединяет агента с инструментами и данными (календарь, база, поиск). A2A соединяет агентов между собой, чтобы они делегировали друг другу задачи. Они дополняют друг друга.

Риски: каждая дверь это поверхность атаки

Чем больше вы отдаёте агентам, тем больше возможностей для ошибки и злоупотребления. Три главных риска.

Подмена инструкций (prompt injection). Модель не всегда отличает инструкцию владельца от данных, которые она читает. Поэтому текст на странице, ответ сервиса или описание инструмента могут содержать скрытую «инструкцию», которую агент примет за настоящую. Для описаний инструментов это называют «отравлением инструментов» (tool poisoning); исследователи описали его в апреле 2025 года. В организации OWASP это риск номер один для приложений на языковых моделях (ссылка в источниках).

Лишние права. Если агенту открыть запись и оплату без подтверждения, любая подмена или ошибка превращается в запись не туда или платёж не тому. Правило: минимум прав, ровно то, что нужно действию. Чтение открывать можно, запись и оплату только с подтверждением человека.

Утечка данных. Если инструмент возвращает контакты, имена людей или заявки, то подменённая инструкция сможет вынести их наружу. Что не должно уходить, в инструментах не должно быть вообще. Спецификация MCP отдельно предупреждает о путанице полномочий в прокси-серверах и запрещает передавать токены насквозь; кроме того, в инструментах для работы с MCP находили серьёзные уязвимости (по данным Википедии, в 2025 году).

И ещё три привычки для любой открытой агентам двери: проверять ввод на сервере (агент такой же клиент, как браузер, и честным его считать нельзя), ограничивать частоту и вести журнал.

Поиграйте на схеме. Выберите уровни для четырёх действий, включите подмену инструкции и ответы с контактами и посмотрите, когда подмена приводит к беде. Это учебная модель: вызовы расписаны вручную по образцу MCP.

Это учебная модель. Ни агента, ни протокола здесь нет: вызовы расписаны вручную по образцу MCP (имя инструмента, аргументы, результат), чтобы было видно, что даёт каждый выбор.

Действие	Уровень
Прочитать предложения и цены	закрытотолько чтение
Задать вопрос	закрытотолько чтение
Записаться	закрытос подтверждением человекабез подтверждения
Оплатить	закрытос подтверждением человекабез подтверждения

Ответы инструмента могут содержать телефон и почту владельца В описании инструмента спрятана чужая инструкция

Что произошло

1. Человек → агент «Запиши меня: Главное действие. Если возможно, оплати».
2. tool: list_offers {} вернул названия и цены предложений (только чтение)
3. tool: ask { question: "Какие документы взять?" } вернул ответ из ваших текстов
4. tool: book { slot: "завтра 10:00" } создан черновик; человеку показано «Записать на завтра, 10:00?» и ждёт ответа
5. tool: pay недоступен: оплата только человеком на странице сайта

Правила, которые видны на схеме: чтение открывать можно по умолчанию; запись и оплата только с подтверждением человека; контакты не отдавать; описания инструментов писать и проверять самому.

Проверьте себя: почему запись и оплата должны идти только с подтверждением человека?

Агент может ошибиться или поддаться подмене инструкции. Подтверждение человека превращает возможную беду в вопрос «записать на завтра, 10:00?», на который человек ответит нет.

Практика

Решите, что ваш сайт отдаёт агентам. В таблице для четырёх действий (читать предложения, записаться на ваше главное действие, задать вопрос, оплатить) впишите формат, права и подтверждение человека. Потом назовите данные, которые не отдаются вообще, риски, которые вы учитываете, и своё решение про llms.txt, MCP и NLWeb с причиной.

Для небольшого сайта типичный честный ответ: чистая разметка и структурированные данные, MCP и NLWeb пока не делаем, потому что нет сервиса, который стоило бы открыть. Если же у вас есть запись по API, можно расписать её как MCP-инструмент: с подтверждением человека и без контактов в ответах. Проверка читает вашу таблицу и абзацы: она увидит, что у записи есть подтверждение, названы данные, которые не отдаются, и оба риска, а само решение остаётся вашим.

Что было не так с 2025 годом

В 2025 году «агентный веб» был обещанием: все презентации говорили, что агенты будут покупать за нас. На практике агенты спотыкались о формы, капчи и кнопки из div, а двери (MCP и ему подобные) строили на скорую руку и находили в них уязвимости. К концу 2026 года ясно главное: агенты читают то, что читают люди, а потому качество вашей разметки и честность ваших фактов стали ещё важнее. А особенный повод для осторожности: каждая дверь, которую вы открыли, надо уметь закрыть и подтвердить, кто и что через неё прошёл.