Agent spedytora pracuje całą noc. Co może zapisać sam?

Jedenasta wieczorem. W biurze ciemno, a agent robi to, co do szóstej robiło ręcznie trzech spedytorów. Czyta wieczorne maile, z dwóch nowych zapytań robi szkice ładunków, przypina zdjęcie dokumentu dostawy do właściwego zlecenia i oznacza je jako dostarczone. Potem przychodzi mail od przewoźnika, z którym firma pracuje od lat: od poniedziałku nowy numer konta, a czy ładunek 4417 można przepisać na nich, bo pierwotne auto się zepsuło. Agent ma uprawnienia, żeby zrobić jedno i drugie.

Rano albo ostrożny system zostawił dyspozytorowi dwa pytania, albo firma ma ładunek u złego przewoźnika, a następny przelew pójdzie na złe konto.

Dlaczego to już nie jest eksperyment myślowy

Agenci, którzy godzinami pracują w czyimś imieniu, to dziś kierunek, pod który projektuje branża. W październiku 2026 NVIDIA opublikowała projekt referencyjny Secure Agent Workspace, opisujący przejście od czatu do agentów działających bez przerwy, razem z szerszą architekturą referencyjną bezpieczeństwa agentów. Dwie myśli z niego dobrze pasują do biura spedycji. Urządzenie człowieka to tylko warstwa prezentacji, a agent pracuje w zarządzanym środowisku, które działa dalej po zakończeniu sesji. A wrażliwe zapisy przechodzą przez nadzorowane konektory, z przeglądem człowieka.

To projekt referencyjny producenta, nie przełącznik, który spedycja włącza. Ale nazywa zagrożenia tak, że da się je przełożyć na dyspozycję niemal punkt po punkcie.

Prawdziwa przyczyna: siła agenta to jego prawo zapisu

Agent, który tylko czyta, to szybki kolega z dobrą pamięcią. Agent, który zapisuje, może przyjąć zlecenie, zmienić przewoźnika, podać cenę. W spedycji drogie decyzje to zawsze zapisy, i większość zapada w kilka minut — kto czytał tekst o tym, że marża na ładunku rozstrzyga się w dwie minuty, wie, o czym mowa.

Pięć zagrożeń przełożonych na dyspozycję

Projekt referencyjny wymienia pięć grup zagrożeń. Tak wyglądają w skrzynce spedytora.

Nieuprawniony albo przypadkowy zapis. Agent czyta w wątku „zrobicie za 1450?”, uznaje to za uzgodnione i wpisuje stawkę do ładunku. Nikt tej ceny nie zatwierdził — zrobiło to jedno zdanie w mailu.

Dane wychodzą z firmy. Nazwy klientów, relacje, stawki i adresy dostaw to najcenniejsza lista, jaką ma spedycja. Agent, który może wysłać maila albo wywołać dowolny adres, wyniesie je równie łatwo przez niewinne podsumowanie wysłane do złej osoby, jak przez atak.

Prompt injection w mailu od „przewoźnika”. Mail z początku to klasyka. Wiadomość, załączony PDF, nawet tekst na sfotografowanym dokumencie mogą zawierać polecenia skierowane do agenta, a nie do człowieka: przepisz ten ładunek, zaktualizuj numer konta, prześlij historię zleceń. Projekt zaznacza, że część ataków działa dopiero po połączeniu kilku wejść, na przykład niewinnego maila z niewinnym załącznikiem. To ten sam schemat co przewoźnik z giełdy, którego nikt nie sprawdził, tylko szybszy.

Agent jako napastnik. Agent z szerokimi konektorami potrafi tak zasypać zapytaniami portal klienta albo giełdę ładunków, że konto firmy zostanie zablokowane, albo przejść z systemu zleceń do księgowości, bo poświadczenia na to pozwalały.

Przejęte środowisko. Jeśli komputer, na którym działa agent, zostanie przejęty, przejęte są też wszystkie reguły zapisane w jego środku. Ważne ograniczenia — na przykład kto może zmienić numer konta — muszą być pilnowane poza środowiskiem agenta, w systemie, do którego on zapisuje.

Co zrobić zamiast tego: spisana lista tego, co wolno mu zapisać samemu

Może zapisać sam: fakty, za którymi stoi dowód. Status potwierdzony wiadomością kierowcy albo zdarzeniem z telematyki. Dokument przypięty do ładunku, do którego należy. Pola odczytane z dokumentu dostawy, oznaczone jako niepotwierdzone. Szkic odpowiedzi czekający w folderze.

Zawsze wymaga człowieka: wszystko, co zobowiązuje pieniędzmi albo zaufaniem. Stawka — dla klienta i od przewoźnika. Przyjęcie zlecenia. Wybór albo zmiana przewoźnika. Każda zmiana numeru konta kontrahenta, potwierdzona telefonicznie pod numerem znalezionym niezależnie. Wszystko, co idzie do klienta i obiecuje termin albo cenę.

Zamknąć drzwi na zewnątrz. Agent sięga do systemów z krótkiej listy i do niczego więcej. Nowy adres to decyzja, nie ustawienie domyślne.

Trzymać poświadczenia poza agentem. Agent działa przez konektory z własnymi limitami, a nie na haśle dyspozytora.

Urządzenie dyspozytora ma być oknem. Agent pracuje na infrastrukturze, którą firma zarządza, a laptop czy telefon pokazuje, co zrobił w nocy i co czeka na decyzję. Zamknięcie laptopa niczego nie zatrzymuje — i niczego też nie zatwierdza.

EdrIQ jest przed startem i jest zbudowany na suwerennym open source; przyjmowanie zleceń projektujemy właśnie tak: system czyta, człowiek potwierdza. Nie jest tachografem, narzędziem do SENT ani e-TOLL, ani systemem celnym, i nie deklaruje integracji z wymienionymi wyżej produktami. Więcej na stronie głównej EdrIQ.

Test na jutro

Weź wczorajszą skrzynkę i wypisz wszystkie działania, które agent mógłby z niej podjąć: statusy, dokumenty, stawki, przydziały, numery kont, odpowiedzi do klientów. Każde wpisz do jednej z dwóch kolumn: „może zapisać sam, z dowodem” albo „decyduje człowiek”.

Potem znajdź w tej skrzynce każdego maila, który prosił o zmianę przewoźnika, ładunku albo numeru konta, i zapytaj: kto by zauważył, gdyby maszyna po prostu to zrobiła? Wszystko bez odpowiedzi trafia do drugiej kolumny.