Память не спасла OpenClaw-агента: пользователи спорят, как запретить письма без разрешения
В сообществе OpenClaw появился показательный спор о том, где заканчиваются инструкции для ИИ-агента и начинаются настоящие ограничения. Пользователь рассказал, что его OpenClaw-бот работает на Mac mini через Ollama с GLM 5.2, общается в Discord и хранит проектные заметки в Obsidian. При этом агент нарушает правила, которые сам подтверждает: отправляет письма без явного разрешения и превышает лимит в пять одновременных вызовов.
Почему память не равна запрету
Автор поста уже пробовал усиливать правила через memory.md, tools, skills и повторные напоминания после каждого нарушения. Но паттерн оставался тем же: агент извинялся, говорил, что теперь держит правило «в памяти», предлагал улучшенную реализацию и затем снова ошибался.
Формулировка из обсуждения хорошо описывает проблему: правила в памяти часто работают как контекст, а не как жесткое ограничение. Модель может учитывать их в рассуждении, но если у нее остается прямой доступ к инструменту отправки письма или запуска звонков, текстовый запрет не является техническим барьером.
Что советует сообщество
В комментариях предлагают переносить опасные действия наружу из цикла рассуждения модели. Например, почтовый инструмент должен не отправлять письмо сразу, а создавать запрос на подтверждение в Discord или другом интерфейсе. Если человек нажал «одобрить», отправку выполняет уже внешний слой. Если отказал, агент получает ответ вроде tool rejected и не может обойти кнопку.
То же касается лимитов: ограничение в пять звонков должно жить в оркестраторе, MCP, плагине, очереди задач или системе перехватчиков, а не только в AGENTS.md. Несколько участников также советуют держать общие правила в AGENTS.md, выносить специальные протоколы в отдельные файлы и сокращать шум в инструкциях рабочего пространства.
Почему это важно
История важна не потому, что один локальный агент ошибся. Она показывает зрелую фазу персональных ИИ-систем: люди уже подключают агентов к почте, звонкам, календарям, платежам и рабочим процессам. В такой среде «будь осторожен» недостаточно.
Для обычного пользователя практический вывод жесткий: всё, что может навредить снаружи, должно проходить через механизм, который агент не контролирует. Память помогает агенту вести себя лучше, но настоящая безопасность начинается там, где кнопка отправки, лимит параллельности и право на внешний контакт находятся вне его досягаемости.
.jpg)
