Agentic Marketing w 2026: cztery rzeczy, które system musi udostępniać

Krótka odpowiedź: agentic marketing to praca marketingowa wykonywana przez oprogramowanie, które samo wybiera kolejny krok, a następnie go wykonuje. I mniej więcej tu zgoda się kończy. Pobraliśmy jedenaście stron, które wróciły dla tego terminu i jego wariantów 18 sierpnia 2026 r., a osiem z nich w ogóle nie wspomina o protokole, wywoływaniu narzędzi ani wywoływaniu funkcji — czyli o warstwie, w której agent przestaje być oknem czatu i zaczyna być czymś, co może zmienić Twoją społeczność, kampanię lub rekordy klientów. Dlatego ten post definiuje agentic marketing przez cztery rzeczy, które system musi udostępniać, zanim agent będzie mógł wykonać jakąkolwiek pracę marketingową, cytuje Model Context Protocol w kwestii tego, dlaczego etykiety, które takie systemy publikują o sobie, są niezaufane, oraz ocenia własną powierzchnię agentową Zealy według tej definicji, w tym część, w której jej nie spełniamy.

Ujawnienie: Zealy publikuje tę stronę, a Zealy sprzedaje to, o czym ona jest. Zealy to platforma społeczności i questów. Dwie z jej funkcji to agenci w rozumieniu zdefiniowanym w tym artykule: serwer MCP, którym zewnętrzna AI może sterować, oraz wbudowany recenzent AI. Wszystkie trzy pojawiają się poniżej. Wszystko tutaj o własnej powierzchni agentowej Zealy pochodzi od pierwszej strony: odczytane z repozytorium Zealy, uruchomione przez nas na własnym serwerze Zealy, nieaudytowane przez nikogo innego. Należy czytać to z sceptycyzmem, jaki zastosowałbyś wobec każdego dostawcy opisującego własny produkt.

Ostatnia weryfikacja: 18 sierpnia 2026.

Czym jest marketing agentowy?

Marketing agentowy to praca marketingowa wykonywana przez oprogramowanie, które samo wybiera kolejne działanie prowadzące do celu, zamiast podążać za procesem narysowanym przez człowieka. System kwalifikuje się tylko wtedy, gdy udostępnia cztery rzeczy: nazwane narzędzia zamiast okna czatu, sposób na ich odkrycie przed działaniem, wyraźną granicę zatwierdzania oraz granicę zaufania dla tego, co wraca.

Ta definicja jest nasza i celowo opiera się na mechanizmach, a nie na ambicjach. Każda opublikowana definicja, którą przeczytaliśmy, opisuje, co oprogramowanie próbuje robić. Żadna nie opisuje, co musi być prawdą w Twoim stosie technologicznym, zanim będzie to mogło zrobić. Oto cztery części, w kolejności, w jakiej system musi je spełnić.

1. Nazwane narzędzia, nie pole tekstowe. Agent potrzebuje operacji z nazwami, argumentami i kształtami zwracanych danych, takich jak create_campaign, list_members oraz send_message, ponieważ model, który potrafi tworzyć tylko prozę, potrafi tworzyć tylko prozę. Model Context Protocol to obecny powszechny sposób publikowania takiej listy, a jego narzędzia są tym, co nazywa kontrolowanym przez model: model językowy sam je odkrywa i wywołuje, na podstawie kontekstu i polecenia użytkownika. Bez tej warstwy masz asystenta do pisania. To użyteczny produkt; to nie jest ten produkt.
2. Odkrywanie przed działaniem. Agent musi mieć możliwość zapytać, co istnieje i co robi każda rzecz, zanim się do czegokolwiek zobowiąże. Zaszyta na stałe integracja, w której człowiek już wybrał trzy wywołania, to automatyzacja z modelem doczepionym do kopii.
3. Granica zatwierdzania wybrana celowo. Każde działanie albo zatrzymuje się dla człowieka, albo nie, i gdzieś istnieje reguła, która o tym decyduje. Reguła może być ścisła lub luźna. Nie może być niezbadana.
4. Granica zaufania dla tego, co wraca. Wyniki narzędzi to dane zapisane przez innych ludzi: członków, klientów, formularze, zescrapowane strony. Jeśli zwrócony ciąg znaków może nakłonić agenta do kolejnego wywołania narzędzia, zbudowałeś system, który przyjmuje instrukcje od każdego, kto wypełni pole zgłoszenia questa.

Wynikają z tego dwie konsekwencje i to one są powodem, dla którego w ogóle zadaliśmy sobie trud napisania definicji. Cokolwiek, czemu brakuje pierwszej części, to chatbot z lepszym marketingiem. I wszystko, czemu brakuje trzeciej części, nie podjęło decyzji o autonomii — przydarzyła się ona takiemu systemowi. Granica zatwierdzania, której nie wybrałeś, nie jest stanowiskiem projektowym, lecz wypadkiem, który jeszcze nic cię nie kosztował.

Istniejące definicje i to, gdzie każda z nich wyznacza granicę autonomii

Opublikowane definicje zgadzają się, że agent planuje i działa samodzielnie, a różnią się co do tego, ile udziału człowieka może pozostać. Vlerick Business School dopuszcza minimalną interwencję. Braze opisuje systemy, które postrzegają, decydują i działają. Young Urban Project i Netcore wyznaczają granicę na zatwierdzaniu przez człowieka na każdym kroku. Forrester całkowicie oddziela agentów od agentic AI.

Przeczytaj środkową kolumnę przed prawą. To, kto definiuje kategorię, wiele mówi o tym, gdzie wyznacza granicę.

Każdy ciąg w prawej kolumnie został dopasowany do surowego tekstu powiązanej strony pobranej 18 sierpnia 2026 r., a nie odczytany z wyniku wyszukiwania. Sześciu stron zajmujących wysokie pozycje dla tego terminu nie udało się odczytać w ogóle. Salesforce, IBM, Gartner i BCG zwracały 403 przy każdej próbie, a McKinsey i Adobe przekroczyły limit czasu. Żadna z nich nie jest tu cytowana.

Trzy strony wyznaczają też użyteczną granicę względem sąsiedniego terminu i tylko te trzy uznaliśmy za warte zachowania.

Wobec automatyzacji marketingu. Treasure Data pisze, że „marketing agentowy jest węższy niż marketing AI i odrębny od automatyzacji marketingu”, ponieważ „automatyzacja marketingu wykonuje stałe, zdefiniowane przez człowieka przepływy pracy”. Testem nie jest to, czy oprogramowanie działa bez ciebie. Twoje narzędzie do e-maili już to robi. Testem jest to, czy sekwencja kroków została wybrana z góry przez człowieka.

Wobec generatywnej AI. Optimove ujmuje to jako kontrast między dwoma wyzwalaczami: „Generatywna AI tworzy treści na podstawie ludzkich poleceń”, podczas gdy „agentowa AI podejmuje autonomiczne działania bez czekania na polecenia”. Kształt polecenia kontra kształt celu — to realna różnica i rzadko respektowana.

Wobec asystenta. Najostrzejsze zdanie, jakie ktokolwiek w tym zestawie napisał, należy do Docketa Arjun Pillai: „Asystent czeka na użytkownika, pomaga w zadaniu i żyje wewnątrz ludzkiego przepływu pracy”. Jego połowa agentowa brzmi: „Agent dąży do celu, podejmuje ograniczone decyzje, uruchamia przepływy pracy i odpowiada za część wykonania pod nadzorem”. Osobny fragment na tej samej stronie dostarcza mechanizmu, którego brakuje temu sformułowaniu: ludzie „definiują cele, zasady eskalacji, ograniczenia tematyczne i progi zatwierdzania. Agent działa w tych granicach. Gdy coś wykracza poza nie, eskaluje”. Eskalacja to granica zatwierdzania z naszej definicji, opisana od strony agenta.

Jedna niezgodność zasługuje na publikację, a nie na wygładzenie. Forrester, na stronie o przypadkach użycia agentów AI z wymienionym Craigiem Le Clairem, rozdziela dwa terminy, które każda strona dostawcy powyżej traktuje jako wymienne: agenci AI działają na „zdefiniowanych z góry regułach”, podczas gdy „agentowa AI wprowadza szerszą autonomię i zdolność adaptacji”. Uczciwe ostrzeżenie o tym cytacie — to strona docelowa podcastu, a nie opublikowana notatka badawcza, i cytujemy ją jako ramę jednej firmy analitycznej, a nie jako wyniki badań.

Warstwa, którą pomija osiem z jedenastu definicji

Spośród jedenastu stron, które pobraliśmy dla tego terminu 18 sierpnia 2026, osiem nigdy nie wspomina Model Context Protocol, wywoływania narzędzi ani wywoływania funkcji. Ta warstwa to różnica między modelem, który napisze ci brief kampanii, a modelem, który potrafi utworzyć quest, zbanować członka lub skierować twój strumień zdarzeń gdzie indziej.

Osiem bez wzmianki o którymkolwiek z tych ciągów: braze.com, cdp.com, docket.io, forrester.com, netcore.ai, tofuhq.com, vlerick.com i youngurbanproject.com. Z pozostałych trzech hubspot.com wspomina Model Context Protocol, ale nie jest stroną definiującą. Optimove to ten, który zapadł nam w pamięć: ciąg MCP pojawia się na jego stronie tylko w menu nawigacji, jako „The Optimove MCP”, i nigdy w treści artykułu wyjaśniającego kategorię. Dostawca, który dostarcza serwer MCP, a jego własne wyjaśnienie marketingu agentowego nigdy nie dochodzi do rzeczy, którą dostarcza. To stwierdzenie o jedenastu stronach w jednym dniu, nie o całej kategorii — ale utrzymało się na każdej sprawdzonej przez nas stronie.

Dwie strony w zestawie nazywają brakującą warstwę i obie robią to dobrze.

Duncan Lennox z HubSpot pisze: „Ale agenci nie klikają po pulpitach ani nie nawigują po interfejsach; wywołują API, czytają ustrukturyzowane wyniki i podejmują działania”. Ta sama strona ujmuje zakres jako „to, co agenci mogą czytać, zapisywać i na czym działać”, co jest właściwą jednostką. Nie „czy potrafi robić marketing”, ale które rzeczowniki i które czasowniki.

Real Story Group, firma badawcza martech sprzedająca oceny dostawców, dostarcza zdanie kończące argument. W artykule o MCP z 11 czerwca 2025 główny analityk Scott Simmons nazywa go „uniwersalną warstwą abstrakcji API zbudowaną dla agentów AI” i wyciąga wniosek, że agent jest „tylko tak potężny, jak to, co dostawca zdecyduje się udostępnić”.

To ostatnie zdanie jest sednem sprawy. Marketing agentowy nie jest właściwością wybranego modelu. Jest właściwością powierzchni, którą publikują twoi dostawcy. Jeśli narzędzia są tylko do odczytu, twój agent raportuje. Jeśli nie ma narzędzi, twój agent pisze teksty. Pytanie o możliwości i pytanie o zakupy to to samo pytanie, dlatego definicje pomijające tę warstwę czyta się tak przyjemnie i tak trudno na ich podstawie działać. Jeśli chcesz szerszego obrazu kanałów, w których agent miałby działać, nasz filar marketingu web3 omawia je i ich koszty.

Dlaczego lista narzędzi jest dowodem, a etykieta narzędzia tylko wskazówką

Model Context Protocol odpowiada na pytanie, co agent może ci zrobić, każąc ci przeczytać listę narzędzi serwera, a następnie mówi klientom, by nie ufali temu, co ta lista mówi o sobie samej. Uwaga, która to stwierdza, znajduje się w schemacie, a nie w opisie, co jest częścią powodu, dla którego tak niewiele osób ją przeczytało.

Oto fragment z ToolAnnotations interfejsu w schemacie specyfikacji w wersji 2026-07-28:

UWAGA: wszystkie właściwości w ToolAnnotations są wskazówkami. Nie ma gwarancji, że wiernie opiszą zachowanie narzędzia (w tym właściwości opisowe, takie jak title).

I w tym samym temacie, ze strony strona narzędzi:

W kwestii zaufania, bezpieczeństwa i ochrony klienci MUSZĄ uznawać adnotacje narzędzi za niezaufane, chyba że pochodzą z zaufanych serwerów.

Zastanów się przez chwilę nad kształtem tego. Odpowiedź protokołu na pytanie „skąd mam wiedzieć, co to coś może mi zrobić” brzmi: przeczytaj listę. Jego kolejna instrukcja brzmi: lista jest twierdzeniem strony, którą oceniasz. Narzędzie nazwy i schematy są kluczowe, ponieważ model je wywołuje, a serwer musi je respektować. Etykiety ryzyka przypisane do nich to opis własnego zachowania przez serwer.

Istnieją cztery takie etykiety — readOnlyHint, destructiveHint, idempotentHint i openWorldHint — a dwie z nich, destructiveHint i openWorldHint, domyślnie przyjmują true. Narzędzie bez etykiety jest więc uznawane za destrukcyjne i zakłada się, że sięga do świata zewnętrznego, co jest słusznym wyborem i przeciwieństwem tego, czego oczekuje większość ludzi.

Ten, który ma znaczenie dla definicji marketingu agentowego, to destructiveHint, ze względu na to, o co nie pyta. Oddziela nadpisywanie od dodawania. Szkoda to inna oś, a schemat nie ma dla niej kolumny, więc czysto addytywne wywołanie może być najdonioślejszą rzeczą, jaką agent robi z Twoim stackiem, a mimo to serwer działający w całkowicie dobrej wierze oznaczy je jako bezpieczne. Co w praktyce oznacza każda flaga i jak wygląda prawdziwa lista po zastosowaniu domyślnych ustawień, opisuje przewodnik obok.

To także uczciwa wersja tego, co marketerzy wciąż nazywają agent washing. Young Urban Project nazywa to precyzyjnie: „Najczęstszym błędem jest agent washing, czyli branie istniejącego produktu automatyzacyjnego lub chatbotowego i rebranding go jako agentowego bez dodania pod spodem warstwy planowania lub decyzyjnej”, i dodaje, że „demo jest skryptowane, by ukryć dokładnie tę lukę, która ma znaczenie”. Listę narzędzi znacznie trudniej oskryptować niż demo. To także jedyny artefakt w całej tej kategorii, który kupujący może sprawdzić bez współpracy dostawcy, dlatego napisaliśmy osobny przewodnik po tym, jak wyliczyć narzędzia dowolnego serwera MCP przed połączeniem się z nim.

Gdzie przebiega granica zatwierdzania i kto ma ją wyznaczyć

Model Context Protocol mówi, że człowiek powinien zawsze być w pętli z możliwością odrzucania wywołań narzędzi, i mówi to aplikacji klienta jako SHOULD, a nie MUST. Nic w protokole nie zobowiązuje serwera, z którym się łączysz. Gdzie przebiega twoja granica zatwierdzania, to czyjś wybór, często nie twój.

Dokładne zdanie:

W kwestii zaufania, bezpieczeństwa i ochrony SHOULD człowiek powinien zawsze być w pętli z możliwością odrzucania wywołań narzędzi.

Ta sama sekcja bezpieczeństwa prosi klientów o „Pokazywanie użytkownikowi danych wejściowych narzędzi przed wywołaniem serwera, aby uniknąć złośliwego lub przypadkowego wycieku danych” oraz o „Walidację wyników narzędzi przed przekazaniem ich do LLM”. Oba zalecenia są skierowane do klienta: tego, co działa po twojej stronie, Claude'a, ChatGPT lub wewnętrznego harnessu, który obsługuje model. Więc w prostym odczytaniu protokołu bezpieczeństwo twojego agentowego marketingu jest zadaniem twojego klienta, a serwer, z którym się połączyłeś, nie jest ci winien niczego poza uczciwą listą narzędzi.

Kategoria zdaje sobie z tego sprawę i nie bardzo wie, co z tym zrobić. Przewodniki dostawców rutynowo definiują agenta przez nieobecność człowieka, a potem, niżej na tej samej stronie, mówią ci, gdzie umieścić człowieka z powrotem; rozbieramy jedną z takich stron w czy agent AI naprawdę może prowadzić twoją społeczność. Obie połowy są szczere. Definicja jest napisana dla rynku, a instrukcja dla wdrożenia, i to w luce między nimi zapadają wszystkie rzeczywiste decyzje o autonomii.

Wersja, o którą warto się spierać, to ani „pełna autonomia”, ani „zatwierdzaj wszystko”. Chodzi o to, że granica jest ustawieniem podejmowanym przy każdej decyzji, z kosztem po obu stronach, a mechanizm, który ją egzekwuje, sam jest oprogramowaniem, które może zawieść — co pokazała awaria moderacji na Discordzie na początku tego roku, gdzie etap przeglądu przez człowieka istniał w opublikowanym projekcie, a błąd usunął go ze ścieżki. Pisaliśmy o co to oznacza dla pozwolenia agentowi na prowadzenie społeczności osobno, bo zasługuje na więcej niż jedno zdanie.

Istnieje też teraz zmierzona odpowiedź na pytanie, które wywołania zasługują na bramkę, i nie jest to ta, którą podpowiada intuicja. SABER: Small Actions, Big Errors — Safeguarding Mutating Steps in LLM Agents, autorstwa Alejandro Cuadrona, Pengfei Yu, Yang Liu i Arpita Gupty, złożonego 26 listopada 2025 r., bada, gdzie trajektoria agenta korzystającego z narzędzi, gdy się psuje, faktycznie cię kosztuje. Raportuje, że „W przeciwieństwie do tego, odchylenia w akcjach niemutujących mają niewielki wpływ lub nie mają go wcale”. Zdanie bezpośrednio przed nim podaje drugą stronę: każde dodatkowe odchylenie w mutującej akcji zmniejsza szanse na sukces nawet o 92% w jednej z jej dwóch domen i nawet o 96% w drugiej, w przypadku modeli najnowszej generacji. Awarie koncentrują się w wywołaniach, które zmieniają stan.

Wniosek projektowy jest nieefektowny i tani: ogranicz zapisy, zostaw odczyty w spokoju i przestań traktować „człowieka w pętli” jako jeden pokrętło z jednym ustawieniem. Serwer Zealy akurat działa w ten sposób i powinniśmy jasno powiedzieć, że nie wyprowadziliśmy tego z tego artykułu — artykuł pojawił się po projekcie i się z nim zgadza, co jest słabszą rzeczą niż inżynieria oparta na dowodach i silniejszą rzeczą niż nic. Z cytowaniem wiąże się jedno zastrzeżenie: SABER dokumentuje błędy adnotacji w benchmarku, na którym się opiera, i publikuje poprawioną wersję, co jest dobrym powodem, by nie cytować starszych wyników benchmarków agentów narzędziowych tak, jakby nadal opisywały obecne modele. Drugim powodem ostrożności z pojedynczą liczbą jest to, że awaria agenta jest w dużej mierze problemem wariancji — badania wieloturowe dzielą degradację na niewielką utratę zdolności i duży wzrost zawodności, co jest innym problemem zarządzania niż model, który po prostu nie jest wystarczająco dobry.

Ten sam wzorzec „pozostawiony implementatorowi” występuje o warstwę niżej, w czwartej części naszej definicji. Pobraliśmy siedem stron specyfikacji i bezpieczeństwa 18 sierpnia 2026 r. i przeszukaliśmy je: model zagrożeń w specyfikacji to model zagrożeń autoryzacji i transportu, obejmujący między innymi confused deputy, token passthrough, server-side request forgery i przejęty lokalny serwer, podczas gdy atak na warstwę modelu pozostawiono implementatorom. Na pobranych stronach fraza „prompt injection” nie występuje; cztery dopasowania „injection” w dokumencie najlepszych praktyk bezpieczeństwa to cross-site scripting, shell command injection i remote code execution. To nie jest skarga na specyfikację transportu, która ma prawo określać swój zakres. To stwierdzenie, którą połowę problemu dziedziczysz w momencie podłączenia czegokolwiek i dlaczego granica zaufania dla zwracanych danych musi być czyimś wyraźnym zadaniem, a nie zakładaną właściwością protokołu.

Zealy nie spełnia własnej definicji i tu jest

Według najsurowszych definicji w tym poście — „bez zatwierdzania przez człowieka każdego pojedynczego kroku” Young Urban Project i „bez wymagania zatwierdzenia przez człowieka na każdym kroku” Netcore — Zealy nie prowadzi marketingu agentowego. Każdy zapis przez powierzchnię agenta Zealy zatrzymuje się dla osoby, a zapisy są wyłączone, dopóki operator ich nie włączy.

Wolelibyśmy to powiedzieć, niż przegrać spór później. Oto pełna karta wyników według naszych własnych czterech części, pierwszoosobowa i nieaudytowana.

Wszystkie cztery są obecne, co jest łatwą częścią. Trzecia jest ustawiona w niewłaściwą stronę względem etykiety. Serwer Zealy umieszcza bramkę zatwierdzania po stronie serwera, co wykracza poza to, czego protokół wymaga od serwera, i poza to, na co pozwala ścisła definicja marketingu agentowego. Samo pole narzędzi jest wystarczająco duże, by warto je audytować — 72 nazwane narzędzia w momencie, gdy je liczyliśmy — ale liczba nie jest tu najważniejsza. Ważne jest ustawienie.

Nie możemy też twierdzić, że cały produkt jest spójny. Zealy udostępnia również recenzenta AI, który samodzielnie zamyka zgłoszenie questa, bez udziału człowieka na tej ścieżce: ta sama firma, przeciwne ustawienie, przy decyzji wpływającej na to, czy członek otrzyma wypłatę. Oba wybory są do obrony; uczciwie nie możemy jednak powiedzieć, że istnieje jedna firmowa odpowiedź na pytanie, ile autonomii jest właściwe.

Więc zdejmijmy etykietę. To, co Zealy faktycznie oferuje, to powierzchnia czytelna dla agentów z krokiem zatwierdzenia przez człowieka, co jest nudną nazwą rzeczy, której większość zespołów powinna chcieć najpierw. Jeśli chcesz poznać mechanikę podłączania, dokumentacja integracji MCP jest kanoniczna i ten wpis celowo jej nie powtarza; jeśli chcesz starszą, szerszą powierzchnię pod spodem, dokumentacja API ją obejmuje. A jeśli nigdy nie używałeś produktu, czym jest Zealy czy krótsza trasa prowadzi przez.

O co zapytać, zanim kupisz coś zwanego marketingiem agentowym

Poproś o listę narzędzi. Sprzedawca marketingu agentowego albo pokaże ci nazwane operacje, do których agent ma dostęp, wraz z przypisanymi uprawnieniami, albo nie. Wszystko inne — język planowania, język dążenia do celu i demo — jest zgodne z chatbotem podłączonym do formularza, a Young Urban Project ma na to nazwę.

Pięć pytań w kolejności, która daje najwięcej informacji przy najmniejszej liczbie spotkań:

1. „Do jakich operacji agent ma dostęp, z nazwy?” Jeśli odpowiedź to zdanie o możliwościach, a nie lista, masz swoją odpowiedź. Jeśli to lista, czytaj ją pod kątem czasowników. Odczyt, zapis, usuwanie, wysyłanie, publikowanie, płatność.
2. „Które z nich mogą działać beze mnie?” Nie „czy w pętli jest człowiek”: na to pytanie każdy odpowie twierdząco. Zapytaj, które konkretne wywołania pomijają osobę i kto wybrał taki podział.
3. Co się dzieje z tekstem napisanym przez klienta, gdy agent go odczytuje? Pytasz, czy wyniki narzędzi są traktowane jako dane, czy jako potencjalne instrukcje. Dostawca, który to przemyślał, odpowie od razu, bo to właśnie ten tryb awarii nie daje spać jego inżynierom.
4. "Co oznaczają wasze etykiety ryzyka?" Następnie sprawdź odpowiedź względem specyfikacji, a nie prezentacji sprzedażowej, i zapytaj o wartości domyślne — większość ludzi zgaduje je odwrotnie.
5. "Czego nie potrafi?" Lista ograniczeń to najtańszy możliwy sygnał wiarygodności, a prawie nikt jej nie publikuje. Jej brak nie jest dowodem na nic. Jej obecność jest warta bardzo wiele.

Na koniec warto powiedzieć o kolejności działań, bo decyzja zakupowa jest tu zwykle podejmowana w złym momencie. Większość zespołów oceniających agentowy marketing nie zapisała jeszcze, które z ich powtarzalnych zadań można bezpiecznie przekazać, a których nie — a ta decyzja jest taka sama niezależnie od tego, czy ręce należą do kontraktora, moderatora czy modelu. Jak delegować zadania społeczności przepracowuje to z ludźmi, a analiza przenosi się niemal bez zmian. Zrób to najpierw. Agent wciąż będzie na miejscu, a ty będziesz wiedzieć, które narzędzia naprawdę chcesz mu dać.