«Как обеспечить безопасность, когда мы подключаем инструменты и агенты ИИ к нашей электронной почте, файловому серверу, ERP-системе?» Этот вопрос всё чаще задают в организациях, где агенты вышли из пилотной стадии и перешли к повседневной работе. Что такое агент, в каких задачах он приносит ценность и почему проекты отменяются, мы разбирали в статье о проектах с ИИ-агентами. Фокус этой статьи более узкий: в каких системах и для каких операций агенту предоставлены полномочия и как эти полномочия ограничиваются.
Тема актуальна сегодня из-за новых данных. Одно из пяти действий, которые Gartner опубликовал 30 сентября 2026 года и рекомендовал руководителям по информационной безопасности выполнить до конца года, посвящено непосредственно доступу агентов. По данным опроса, который Gartner провёл во втором квартале 2026 года среди 297 руководителей по кибербезопасности, 54% организаций либо не имеют чётко определённого подхода к ограничению доступа ИИ-агентов, либо для агентов опираются на заранее определённые права доступа людей.
Что говорят данные?
Комментарий, который Gartner добавил к этому результату, хорошо передаёт суть вопроса. Чтобы система ИИ создавала серьёзный киберриск, ей не нужно достигать уровня общего искусственного интеллекта; достаточно, чтобы она была способна влиять на операции организации. Поэтому Gartner рекомендует рассматривать развёртывания ИИ продвинутого уровня так же, как риск, исходящий изнутри организации (insider risk). Рекомендация компании: управлять многоагентными автономными системами не по тому, насколько «умна» модель, а по тому, какими полномочиями на выполнение операций они обладают. Кроме того, Gartner советует защищать рабочие процессы агентов «защитными агентами», которые сужают зону влияния возможной ошибки.
Отчёт Global Cybersecurity Outlook 2026, который Всемирный экономический форум опубликовал в январе 2026 года, указывает в том же направлении. Согласно отчёту, доля участников, оценивающих безопасность инструментов ИИ, выросла с 37% в 2025 году до 64% в 2026 году, то есть за год почти удвоилась. В том же опросе 87% участников назвали связанные с ИИ уязвимости самым быстрорастущим киберриском на протяжении 2025 года.
Если прочитать эти два показателя вместе, картина такова: организации начали оценивать инструменты ИИ, но вопрос о том, к чему агенты имеют доступ после подключения к системам, пока не достиг той же зрелости.
Почему доступ агентов — особая проблема?
Черновик концептуального документа, который в феврале 2026 года опубликовал Национальный центр передового опыта в области кибербезопасности (NCCoE) при Национальном институте стандартов и технологий США (NIST), определяет агентов как системы, которые при ограниченном надзоре со стороны человека принимают решения и способны предпринимать действия. Документ обращает внимание на то, что масштаб и разнообразие таких действий могут расти в геометрической прогрессии.
Документ предлагает проект, цель которого — выяснить, как применять к агентам три базовых принципа управления идентификацией (идентификация, аутентификация и авторизация). В числе ключевых тем: способность систем управления доступом различать идентичности агентов и людей, привязка делегирования полномочий к конкретному человеку в тех случаях, когда агент работает от имени пользователя, и фиксация действий агента под его собственной идентичностью. Один из вопросов, которые NIST формулирует как открытые, тоже заслуживает внимания: как для агента, чьи будущие операции невозможно в точности предвидеть на момент развёртывания, определить «наименьшие привилегии»? Подход «опора на заранее определённые права доступа людей», выделяющийся в опросе Gartner, оставляет этот вопрос без ответа: агент работает с полномочиями, определёнными для людей, а специфичная для агента граница не проводится.
Три источника чрезмерных полномочий
OWASP, один из широко используемых справочных источников в области безопасности приложений, в списке рисков 2025 года для приложений на основе больших языковых моделей определяет эту проблему под названием «чрезмерные полномочия» (Excessive Agency). По оценке OWASP, корень проблемы, как правило, кроется в одном из трёх факторов: чрезмерная функциональность, чрезмерные разрешения и чрезмерная автономность.
- Чрезмерная функциональность: Инструмент, к которому подключён агент, содержит и такие функции, которые не требуются для выполнения задачи. Например, предоставление агенту, которому нужно только читать документы, плагина, способного изменять и удалять документы.
- Чрезмерные разрешения: У инструмента в бэкенд-системах более широкие полномочия, чем необходимо. В примере OWASP плагин, которому нужно только читать данные, подключается к базе данных с идентичностью, имеющей также права на обновление и удаление.
- Чрезмерная автономность: Операции с серьёзными последствиями выполняются без независимой проверки или одобрения.
Примерный сценарий OWASP делает риск конкретным. Ассистент, настроенный для составления сводок входящих писем, из-за выбранного плагина обладает и правом отправки электронных писем. Письмо, составленное со злым умыслом, посредством косвенной инъекции промпта может направить ассистента на сканирование конфиденциальной информации и передачу её вовне. В этом сценарии проблема не только в том, что модель «обманули», но и в том, что у агента есть полномочие, в котором он вообще не нуждался.
Практический путь: контрольный список по доступу агентов
Приведённые ниже шаги — это общая рамочная схема, составленная на основе рекомендаций из источников Gartner, NIST NCCoE и OWASP; её необходимо адаптировать под структуру систем каждой организации.
- Проведите инвентаризацию агентов. Перечислите, какие агенты и инструменты ИИ подключены к каким системам, от чьего имени они работают и какие учётные данные используют.
- Присвойте каждому агенту отдельную идентичность. Агенты не должны работать через общие учётные записи или с личными полномочиями сотрудника. Как предлагает документ NIST, система управления доступом должна уметь отличать агента от человека.
- Сужайте полномочия в соответствии с задачей. Как рекомендует OWASP, ограничьте число плагинов, их функции и разрешения в бэкенд-системах до минимально необходимого уровня. Агенту, который выполняет задачи чтения, не предоставляйте права записи.
- Избегайте инструментов без чётких границ. Вместо таких широких инструментов, как выполнение команд или получение данных с любого адреса, отдавайте предпочтение узким инструментам, выполняющим только одну задачу.
- Ограничивайте агента, работающего от имени пользователя, полномочиями этого пользователя. Если агент выполняет операции от имени человека, он не должен получать доступ к большему, чем доступно этому человеку, а делегирование полномочий должно фиксироваться.
- Не оставляйте решение о полномочиях за моделью. Согласно принципу OWASP «полного посредничества» (complete mediation), о том, может ли операция быть выполнена, должна решать не модель, а авторизация в бэкенд-системе.
- Требуйте одобрения человека для операций с серьёзными последствиями. Такие операции, как платежи, массовая рассылка электронных писем и удаление записей, не должны выполняться без одобрения.
- Ведите журнал, отслеживайте, ограничивайте частоту операций. Фиксируйте действия агента под его собственной идентичностью, отслеживайте необычное поведение. OWASP отмечает, что ограничение частоты операций, хотя и не предотвращает вред, способно уменьшить ущерб.
Заключение
Данные Gartner показывают, что более чем в половине организаций доступ агентов либо не определён, либо опирается на полномочия людей. Между тем риск возникает не столько от того, насколько совершенна модель, сколько от того, до чего агент способен дотянуться. Поэтому безопасность агентов начинается ещё до инвестиций в новые технологии — с применения существующей дисциплины управления идентификацией и доступом и к агентам: отдельная идентичность, узкие полномочия, одобрение человеком и журналирование.
С точки зрения Orient Global, выполнение первых трёх пунктов этого контрольного списка до запуска нового агента закладывает основу для последующих шагов.
#interimmanagement #forwarddeployedengineering