Автономные агенты приходят в компании — и это головная боль CISO
Агенты на базе LLM получают доступ к почте, коду и платёжным системам и действуют без человека в цикле. Для директора по безопасности это новый класс рисков, который старые регламенты не описывают.
Автономный агент — это не чат-бот, которому вы задаёте вопрос. Это программа на базе большой языковой модели, которая получает цель, сама планирует шаги и выполняет их: читает почту, вызывает API, пишет и запускает код, оформляет заказы, переводит деньги. В 2024–2025 годах такие агенты вышли из демо в продакшн: Microsoft продвигает Copilot Studio с автономными агентами, Salesforce выпустил Agentforce, у OpenAI есть Operator и Agents SDK, у Anthropic — Claude с исполнением инструментов и вычислением на компьютере (computer use). Как только агент получает право действовать от имени сотрудника, за его действия отвечает не только продуктовая команда, но и директор по информационной безопасности. И привычная модель угроз тут не работает.
Почему агент — это новый класс риска, а не «ещё один сервис»
Обычное приложение делает то, что в нём запрограммировано. Агент делает то, что решит модель, а модель управляется текстом — включая текст, который приходит извне. Отсюда главная головная боль: непрямая инъекция промпта. Злоумышленник кладёт вредоносную инструкцию в письмо, в тикет, в комментарий на странице или в README репозитория. Агент читает этот текст как часть задачи и выполняет то, что там написано: пересылает переписку, меняет права, удаляет данные.
Проблема в том, что для модели нет границы между «данными» и «командами». Всё это токены в одном контекстном окне1. Классический периметр, файрвол и разграничение доступа по ролям эту границу тоже не видят: с точки зрения системы агент действует легитимно, под учёткой сотрудника, которому эти права выданы.
Что конкретно ломается
- Избыточные полномочия. Агенту для «удобства» выдают широкий доступ: вся почта, весь диск, вся CRM. Скомпрометированный агент наследует всё это разом.
- Цепочки инструментов. Агент вызывает другой агент или внешний сервис через протокол вроде MCP. Ошибка или инъекция на одном звене распространяется по цепочке.
- Утечка через контекст. В окно модели попадают секреты, персональные данные, коммерческая тайна — и уходят провайдеру модели или в лог.
- Отсутствие следа. Агент принял решение — а почему именно такое, восстановить нечем. Для расследования инцидента это провал.
Что делает CISO: от запрета к управляемому допуску
Запретить агентов целиком не выйдет — их принесут бизнес-подразделения в обход ИБ, как когда-то принесли облака и мессенджеры. Реалистичная роль CISO — не вратарь, а тот, кто задаёт правила допуска. Пошагово это выглядит так:
- Инвентаризация. Найдите, где уже используются агенты и какие права им выданы. Часто ответ неприятно удивляет.
- Идентичность агента. Заведите агенту отдельную машинную учётную запись, а не общий доступ сотрудника. Тогда его действия видно отдельно.
- Минимум привилегий. Права под конкретную задачу, а не «на всякий случай». Доступ к платежам и удалению — только через подтверждение человеком.
- Человек в цикле для необратимого. Финансовые операции, отправка вовне, изменение прав — эти шаги требуют явного согласия оператора.
- Логирование и аудит. Пишите не только действия, но и цепочку рассуждений и вызванные инструменты. Без этого инцидент не разобрать.
- Изоляция. Исполнение кода — в песочнице, сетевой доступ агента — по белому списку.
Агенту нельзя выдать доверие один раз и навсегда. Каждое его действие — это отдельный запрос на авторизацию, который система обязана проверить так, будто источник команды скомпрометирован. Потому что источником команды может оказаться чужое письмо.
Ориентиры, на которые можно опереться
Готового единого стандарта по безопасности агентов пока нет, но есть материалы, с которых стоит начать. OWASP ведёт список Top 10 для LLM-приложений, где инъекция промпта стоит на первом месте, а также отдельные материалы по угрозам агентных систем. NIST выпустил AI Risk Management Framework — рамку управления рисками ИИ, не заточенную под агентов, но применимую как каркас для политики. Конкретные пункты и редакции сверяйте по первоисточникам ниже, а не по пересказам.
Сравнение подходов к контролю
| Подход | Что даёт | Ограничение | Когда применять |
|---|---|---|---|
| Human-in-the-loop (подтверждение человеком) | Блокирует необратимые ошибки и инъекции на выходе | Убивает скорость, не масштабируется на тысячи операций | Платежи, отправка вовне, изменение прав |
| Минимум привилегий + машинная идентичность | Ограничивает ущерб при компрометации, даёт аудит | Требует зрелого управления доступом (IAM) | Базовый уровень для любого агента |
| Песочница и белые списки сети | Изолирует исполнение кода и внешние вызовы | Не спасает от инъекции внутри разрешённых действий | Агенты, пишущие и запускающие код |
| Фильтрация ввода/вывода (guardrails) | Отсекает часть инъекций и утечек автоматически | Обходится перефразированием, ложные срабатывания | Дополнение, не замена другим мерам |
Ни один столбец не закрывает угрозу в одиночку. Рабочая конфигурация — это комбинация: минимум прав как основа, песочница для кода, человек в цикле на необратимых шагах, фильтры сверху.
Кому это пригодится, а кому пока рано
Внедрение автономных агентов оправдано не везде. Конкретные сценарии:
- Пригодится: обработка типовых обращений поддержки с доступом только на чтение базы знаний; сортировка и черновики ответов в почте без права отправки; сбор отчётности из нескольких систем в песочнице; рутинные операции в DevOps с обязательным ревью перед применением.
- Рано: прямой доступ агента к платёжным системам без подтверждения; автономное изменение прав и конфигураций в проде; работа с персональными данными клиентов без изоляции контекста; любые процессы, где нет логов и некому разбирать инцидент.
Простой фильтр для CISO: если действие агента необратимо и дорого откатить, значит между агентом и действием обязан стоять человек или жёсткое правило. Пока такого барьера нет, автономию в этой зоне включать не стоит.
1 Контекстное окно — объём текста (в токенах), который модель одновременно держит «перед глазами»: инструкция, история диалога и все подгруженные данные. Модель не отличает в нём команды от данных, поэтому вредоносный текст, попавший в окно вместе с обычным письмом, воспринимается наравне с вашей инструкцией.
Prompt-инженер: Идеальные запросы для Midjourney, ChatGPT и других моделей.
Спросить за 15 ₽Источники: OWASP Top 10 for LLM Applications, NIST AI Risk Management Framework (AI RMF)
Частые вопросы
Чем автономный агент отличается от обычного чат-бота с точки зрения безопасности?
Что такое инъекция промпта и почему её нельзя просто отфильтровать?
Можно ли выдать агенту доступ сотрудника, чтобы не заводить отдельную учётку?
Есть ли готовый стандарт по безопасности агентов, на который можно сослаться в политике?
Обязательно ли ставить человека на каждое действие агента?
Что делать, если агенты уже используются в компании без ведома ИБ?
Материал носит информационный характер и подготовлен редакцией «Агентуры». Он не является офертой, рекламой или индивидуальной консультацией. Упомянутые продукты, компании и торговые знаки принадлежат их правообладателям. Перед принятием решений, влекущих юридические или финансовые последствия, обратитесь к профильному специалисту.