Mercury: ИИ-агент в Telegram с правилами и лимитом расходов

Агент в Telegram, которому разрешили всё

Владелец студии ставит агента в Telegram: тот читает файлы, запускает команды на сервере и ходит в git. Через неделю счёт от модели выше обычного, а что агент делал ночью, не видно. Остановить его можно только выключив.

Малому бизнесу личный агент нужен, чтобы разбирал почту, правил сайт и готовил отчёты, пока вы на встрече. Но без двух рычагов его страшно подпускать к рабочему серверу. Первый рычаг: что ему можно. Второй: сколько он потратит за сутки. Mercury обещает оба, поэтому я открыл репозиторий и прочитал код вместе с README.

Что за проект и сколько ему лет

Репозиторий cosmicstack-labs/mercury-agent. Названий Mercury у агентов много, и у форков то же описание слово в слово, поэтому брать надо оригинал. Лицензия MIT, файл LICENSE на месте, платных модулей я не нашёл. Пакет называется @cosmicstack/mercury-agent, версия 1.4.2 вышла 24.10.2026, последний коммит от 30.10.2026.

Проекту около полугода: первый коммит 20.04.2026. В истории 860 коммитов и 21 автор, но 706 коммитов сделал один человек, Salman Qureshi. На странице GitHub около 3,8 тысячи звёзд, 384 форка, 14 открытых задач и 21 открытый запрос на слияние (цифры со страницы). Проект молодой, активный, на одном мейнтейнере. Если он потеряет интерес, настройка останется без поддержки. В файле SECURITY.md поддерживаемой названа ветка 1.3.x при уже вышедшей 1.4.2, так что документация местами отстаёт от кода.

Как на самом деле проверяется команда

Я читал src/capabilities/permissions.ts, метод проверки оболочки. Порядок такой. Команду режут на сегменты по цепочкам, пайпам и подстановкам, и каждый сегмент сверяют со списком запретов: sudo, rm -rf /, mkfs, shutdown, format, netsh, Set-ExecutionPolicy и другие. Совпало, значит отказ без вопросов. Этот этап идёт раньше режима Allow All, так что даже при полном доступе запрещённое не пройдёт.

Команды, которые меняют подключённые MCP-серверы или файл mercury.yaml, спрашивают всегда, даже в Allow All, а без человека не выполняются вовсе. Пути за пределами рабочей папки требуют отдельного разрешения.

Без вопроса проходит только узкий путь: команда без пайпов, подстановок и перенаправлений, первая программа из списка безопасных для чтения, пути внутри рабочей папки. Её запускают напрямую, минуя оболочку, из закреплённых системных каталогов. Всё остальное приходит вам кнопкой с точной строкой команды. Запись в файлы в режиме Ask Me спрашивает всегда, даже внутри разрешённой папки. Для автономных ботов действует другой режим: вопросов нет, всё вне выданных прав отклоняется.

В журнале изменений видно, что дыры здесь находили и закрывали: обход через find с -exec, через перенаправления, через подстановки. К этому коду есть 238 файлов тестов. Для проекта такого возраста это добросовестно, но гарантией я это не считаю. Как такой же стоп-кран ставят на уровне терминала, я описывал в статье про Shellfirm.

Бюджет, Telegram и память

Лимит по умолчанию 1 000 000 токенов в сутки, меняется в настройках или переменной DAILY_TOKEN_BUDGET. Считается он в токенах, а сколько это в деньгах, зависит от модели, и цену я бы прикинул заранее, как в статье про стоимость токенов. Счётчик лежит в token-usage.json вместе с последними 200 запросами. Сброс идёт по дате UTC.

Проверка лимита стоит в начале обработки сообщения. Контроля внутри долгого хода я не нашёл, значит один запрос с длинной цепочкой шагов может перешагнуть потолок. Ещё одна странность: проверки роли перед командами /budget set, /budget reset и /budget override я в обработчике не нашёл. Если агентом пользуется несколько человек, любой одобренный сможет поднять лимит. У ботов-помощников лимит отдельный, с предупреждением на 80 процентах.

Telegram подключён через библиотеку grammY в режиме опроса, публичный адрес серверу не нужен. Работает только в личных чатах: в группе бот отвечает отказом. Первому написавшему выдают код, и по коду его одобряет оператор при настройке. Остальные ждут одобрения администратора кнопкой. Роль member не может ставить навыки и не получает плагины и MCP.

Перед командой /permissions роль в коде telegram.ts тоже не проверяется, я смотрел только этот файл. Режим Allow All добавляет временный доступ на чтение и запись от корня, список запретов остаётся. Память лежит в SQLite на вашем диске, в ~/.mercury/memory/second-brain/. Факты из разговоров извлекаются автоматически. Как именно, я не смотрел, но если это делает модель, куски переписки уходят её провайдеру.

Что важно учесть

Журнала действий в готовом виде нет. Логгер по умолчанию молчит, очередь работ хранит входящие сообщения и итог, а построчной записи каждой выполненной команды у основного агента я не нашёл. Append-only журнал запусков есть у ботов-помощников. Потому журнал, который нельзя переписать задним числом, придётся делать отдельно, как в статье про журнал работы агента.

Модели: DeepSeek по умолчанию, OpenAI, Anthropic, Grok, Ollama, LM Studio, любой адрес, совместимый с OpenAI. Доступны ли эти API из вашей страны, я не проверял. Signal**, Discord** и Slack я не открывал вообще. Из реального запуска у меня ничего нет: ни установки, ни живого диалога, ни проверки, что запрещённая команда отклоняется на моей машине. Всё выше сказано по коду.

Что можно сделать уже сейчас

Первое. Поставить Mercury на отдельную машину, где нет ничего ценного, и дать ему одну рабочую папку. Режим Ask Me оставить, Allow All не включать.

Второе. Закрыть Telegram для всех, кроме вас: один одобренный пользователь, никаких «членов». Так вопрос с /budget и /permissions снимается сам.

Третье. Поставить лимит ниже привычного и неделю сверять счётчик Mercury с кабинетом провайдера модели. Расхождения покажут, где агент делал больше, чем сказал.

Если делать это с нуля, под ваш процесс, настройка агента с правилами, Telegram, журналом и лимитом расходов входит в услугу по ИИ-агентам. Стоимость смотрите на странице цен.

Частые вопросы

Можно ли отдать Mercury доступ к рабочему серверу?

Я бы не давал полный доступ. По коду запрещённые команды режутся жёстко, а остальное требует вашего ответа, но проект молодой, и обходы в нём находили не раз. Начинать стоит с отдельной папки и режима вопросов.

Лимит токенов защищает от лишних трат?

Частично. Он ограничивает сутки, но проверяется перед сообщением, посреди длинной задачи его никто не сверяет. Плюс его может изменить любой одобренный пользователь. Жёсткий потолок надёжнее ставить ещё и у провайдера модели.

Подойдёт ли локальная модель вместо облачной?

Заявлена поддержка Ollama и LM Studio. Как слабая локальная модель справляется с длинными цепочками шагов и честно ли она их выполняет, я не проверял. Проверка разрешений от модели не зависит, она работает на стороне программы.

Коротко о главном

Mercury всерьёз решает вопрос «что агенту можно»: запреты проверяются раньше всего, спорное уходит человеку, обходы закрываются тестами. Лимит и журнал сделаны слабее, чем разрешения, а Telegram с несколькими пользователями требует аккуратной настройки.

Хотите личного агента в Telegram, но с правилами, лимитом и журналом, которые вы сможете показать партнёру или проверяющему? Напишите мне в Telegram слово «МАНДАТ». Я соберу настройку под ваш процесс и скажу заранее, где у такой схемы пределы.