ИИ-агент публикует в соцсети: какие границы мы ставим и что всё равно пошло не так

Mellow Hub публикует в десять соцсетей и сделан для случая, когда посты туда кладёт ИИ-агент: Claude, ChatGPT или скрипт, через MCP или REST API. 29 сентября 2026 года наш основатель сформулировал позицию продукта одной фразой: весь смысл MCP в том, что агент пользователя публикует без лишних подтверждений. Поэтому по умолчанию в Hub стоит автопилот. Этот кейс о том, что мы построили, чтобы автопилот можно было спокойно доверить, что проверили на боевом сервере и что всё равно пошло не так.

Ситуация: у агента ключи от ваших аккаунтов

Агент, который умеет публиковать, умеет опубликовать и не то, и не тогда, и много раз подряд. Отвечать на это подтверждением каждого поста мы не хотели: так агент снова превращается в форму, которую заполняет человек. Мы хотели, чтобы человек решал один раз, при подключении агента, и в любой момент мог это решение увидеть и отменить.

Из чего состоит доверенность

Человек, вошедший в Hub, — владелец. Агент получает либо OAuth-доступ (на нём построен вход в спецификации MCP; так агент подключается из claude.ai или ChatGPT, а человек подтверждает экран согласия Hub), либо API-ключ из кабинета. У обоих одни и те же границы, и выбирает их человек:

1. Аккаунты. К каким подключённым аккаунтам агенту можно прикасаться. Пустой выбор сервер отклоняет, а не считает «всеми»; аккаунты, подключённые позже, входят, только если человек это отметил.
2. Режим. Автопилот публикует сам. Проверка готовит пост, проверяет его и останавливается: пост ждёт в статусе pending_review, пока его не одобрит вошедший человек.
3. Лимит в день. На экране согласия — от 1 до 1000 постов, по умолчанию 50. Пост считается в тот день по UTC, когда выходит; отклонённый запрос лимит не тратит.
4. Срок. Без срока, 90, 30, 7 или 1 день на экране согласия; у ключа есть ещё вариант «год».
5. Журнал. Каждое действие с этим доступом записывается, а экран «Агенты» показывает рядом ключи, подключённые приложения и журнал.
6. Отзыв. Одна кнопка на экране «Агенты»; действует со следующего запроса.

Два действия не доступны никакому ключу, какие бы права ему ни дали: создать другой ключ и одобрить пост, который ждёт проверки. Оба требуют вошедшего человека — иначе ключ мог бы обойти собственные границы. Единственное право, которое тратит деньги, генерация на ИИ-кредиты человека, никогда не отмечено заранее.

С 23 октября 2026 года есть ещё строка «Полный доступ (автопилот)»: все права, все аккаунты сейчас и в будущем, 300 постов в день и 90 дней. Это предустановка тех же настроек, а не особый вид доступа: лимит и срок по-прежнему можно поменять.

Что мы проверили на боевом сервере

Полная запись этих прогонов — со всеми клиентами и всеми отказами; здесь только то, что касается границ.

20 сентября 2026 года, три клиента с настоящими моделями. Официальный Python MCP SDK с моделью Kimi K2.6, Claude Code (Claude Sonnet 5) и Hermes CLI работали по одному доступу: два аккаунта, автопилот, пять постов в день, один день. Они прочитали свои лимиты, получили отказ на чужом канале, создали, перенесли и отменили посты и выложили одну картинку в Instagram и Threads — оба поста вышли с публичными ссылками. Повторённый запрос на создание вернул тот же пост, и дневной остаток упал с пяти до двух за три поста, а не за четыре. После отзыва доступа на экране «Агенты» оба токена доступа отвечали 401, а оба токена обновления отклонялись.

Тот же прогон нашёл три настоящих дефекта, исправленных до релиза: два одновременных обновления могли выпустить две рабочие пары токенов, два одновременных поста могли проскочить мимо дневного лимита, а один OAuth-клиент в двух профилях тратил лимит одного профиля в другом.

24 сентября 2026 года, Claude в режиме проверки. Коннектор Claude заново прошёл экран согласия с доступом к одному аккаунту Instagram, @mellow_planner, в режиме проверки, три поста в день, на один день. Он вызвал whoami и list_channels, от validate_post узнал, что посту в Instagram нужна картинка, прошёл проверку с изображением и создал пост, который вернулся со статусом pending_review. Человек одобрил его, и примерно через минуту пост был в Instagram. Затем доступ отозвали: в журнале видны и одобрение, и отзыв, а следующий запрос Claude получил отказ «Authentication required».

Что пошло не так и что мы поменяли

• 29 сентября: ключ с полными правами, который ими не был. Окно «Новый ключ агента» открывалось с уже отмеченной галочкой «Проверять перед публикацией», и ключ, который основатель делал с полным доступом, получился в режиме проверки — три поста повисли в ожидании. С 30 сентября окно открывается на автопилоте, как и экран согласия.
• 30 сентября: экран согласия, который ничего не давал. Он начинался с двух прав на чтение, режима проверки и без аккаунтов, так что быстрое «Разрешить» создавало подключение, которое ничего не могло. Теперь экран приходит заполненным тем, что попросило приложение, кроме ИИ-кредитов.
• 2 октября: лимит считался не так. Лимит считал созданные посты за скользящие 24 часа. Наш собственный агент, ставивший месяц по два ролика в день, 56 постов, упёрся в лимит 50 раньше, чем месяц был заполнен. Теперь пост считается в день выхода.
• 11 октября: режим проверки всё ещё мог перенести пост. Доступ в режиме проверки не мог переписать одобренный пост, но мог перенести его на другой час — и одобренный пост мог выйти тогда, когда на это никто не соглашался. Теперь запрещено и то, и другое.
• 22 октября: 34 поста, которых никто не видел. Агент с правом публиковать сам получил задачу сделать контент о наших результатах — сделал и сразу поставил 34 поста на неделю вперёд в личные аккаунты основателя. Тот их не видел: стиль был не его, один ролик выглядел как слайд-шоу, а одна строка обещала «3 поста бесплатно» — агент неверно прочитал строку внизу страницы тарифов. Все 34 отменили той же ночью; проверка показала: 34 отменено, 0 опубликовано.

Границы 22 октября сработали: посты лежали в одном профиле, под одним лимитом, в журнале, и их можно было отменить, потому что ни один ещё не вышел. Чего границы не умеют — судить о вкусе. С тех пор всё для личных аккаунтов основателя сначала попадает на страницу проверки, где у каждого пункта есть «да», «нет» и комментарий, и только потом в Hub.

Когда 13 октября 2026 года Anthropic одобрила Hub для каталога коннекторов Claude, ревьюер предложил подтверждать каждый пост на автопилоте или сделать проверку режимом по умолчанию. Мы оставили автопилот. Его оправдывает то, что весь список выше держится вместе: доверенность явная, узкая, видимая и отзываемая.

Как сделать самому

1. Дайте агенту собственный доступ — OAuth или ключ, — а не свой пароль. В Hub один доступ открывает один профиль.
2. Отметьте только нужные аккаунты и не включайте «аккаунты, подключённые позже», если не уверены.
3. Выберите режим для каждого агента: проверку, пока не знаете, как он пишет (как устроена публикация с одобрением), автопилот — когда знаете.
4. Поставьте дневной лимит чуть выше реального плана: 50 остановили наш месяц из 56 постов.
5. Поставьте срок. Для первого доступа разумно 7 или 30 дней.
6. Попросите агента сначала вызывать whoami, перед create_post — validate_post, и передавать ключ идемпотентности при каждом создании, чтобы повтор не публиковал дважды.
7. Первые дни читайте журнал. Отзывая доступ, проверьте и очередь: на 7 октября 2026 года отзыв останавливает новые запросы, но не отменяет то, что агент уже запланировал, — это видно по нашему кейсу с ChatGPT.

Без Hub задайте те же вопросы любому коннектору: может ли он ограничить аккаунты, держать посты на проверке, ограничить день, истечь, записать каждое действие и отключиться сразу? Наш чек-лист разбирает каждый вопрос.

Цифры коротко