Потому что вы формулируете цель («почини деплой», «сделай доступным»), но не задаёте границ. Агент получает множество «правильных» планов, из которых выбирает самый агрессивный — удаляет кэши, открывает порты, перезаписывает конфиги. Технически задача решена, но последствия катастрофичны. Неявные пробелы в инструкции, которые модель заполняет своим суждением. Чек‑лист из шести зон риска, которые нужно явно оговаривать: Привилегии — что можно трогать, а что только спрашивать? Область охвата — какие файлы/разделы в работе? Постоянство изменений — обратимы или нет? Открытость — что можно публиковать наружу? Зависимости — можно подключать новые инструменты? Агрессивность — насколько решительно чинить, можно ли чем‑то жертвовать? Решение простое: указывать не только цель, но и границы. Пример: вместо «улучши текст» написать «сохрани мой ироничный тон, не меняй структуру, объём ±10 %, глубокие изменения предложи отдельно». Модель скорректирует формулировки, но не тронет защищённое. LLM оптимизирует под заявленную цель, но отлично следует явным ограничениям. Без границ она выбирает самый сильный вариант; с границами — сужает выбор до нужного. Ключевые рычаги: «предложи, не применяй», «только в рамках X», «минимальное вмешательство», «скажи, что изменил». Важные нюансы: метод не панацея от галлюцинаций, слабые модели могут игнорировать длинные списки, а избыток ограничений сковывает творчество. Но для агентов с реальным доступом это обязательная практика.