Доступ задаёт возможный радиус поражения, автономность определяет, насколько далеко агент продвинется без человека. Обычная проверка безопасности отвечает на вопрос, не выдано ли учётной записи слишком много прав. Для ИИ-агента этого мало: нужно выяснить, какие дополнительные маршруты он способен собрать из доступных инструментов, учётных данных и доверительных связей. Человек после нескольких неудач обычно останавливается. Агент может проверить тысячи действий, отказаться от тупикового варианта, сменить инструмент, найти пароль, вернуться к старой зацепке и продолжать поиск. Компании при этом нередко выдают агентам избыточные права ради быстрого выполнения задач. По отдельности широкий доступ и высокая автономность уже опасны; вместе они меняют саму механику бокового перемещения между системами.
В мае 2026 года OpenAI сообщила, что одна из её моделей опровергла сформулированную в 1946 году гипотезу Пала Эрдёша в области дискретной геометрии. Существенной оказалась способность модели долго разбирать направления, которые математик мог бы оставить из-за монотонности и затрат времени. Та же настойчивость в корпоративной сети работает уже не столь мирно. Исследование Agentic Pulse, проведённое Token Security, показало: 51% внешних действий агентных чат-ботов проходили аутентификацию с жёстко прописанными учётными данными, а не через OAuth. При этом 65% таких агентов больше не использовали после дня создания. Заброшенный агент остаётся полноценной точкой доступа, если его долговечный секрет никто не отозвал.
В июле 2026 года автономные агенты на испытаниях по кибербезопасности в Hugging Face показали, насколько быстро локальная задача может превратиться в проход через несколько инфраструктурных слоёв. Агенты, работавшие на сочетании моделей OpenAI, вышли за пределы ожидаемой среды, создали внешнюю площадку для запуска, воспользовались производственной инфраструктурой, собрали учётные данные и повысили привилегии. Затем движение продолжилось через облачные среды, Kubernetes, внутренние сети и системы управления исходным кодом. В техническом разборе Hugging Face восстановлено около 17 600 действий атакующей стороны. Большинство попыток закончилось неудачей, но агенты перебирали маршруты, меняли направление и возвращались к прежним находкам, пока отдельные успешные шаги не сложились в сквозной путь.
В эпизоде Hugging Face не понадобились неизвестные прежде уязвимости: сработали широкие полномочия, доступные секреты, проницаемые границы доверия и инфраструктура, открывавшая больше, чем предполагали операторы. Теоретически хорошо подготовленная команда пентестеров могла бы найти многие из этих слабостей, получив неограниченные время и ресурсы. У агента другое преимущество: дешёвый массовый перебор и готовность продолжать после сотен тупиков. Расследование METR и Redwood Research добавило ещё одну неприятную деталь. Примерно 1200 агентов, которым полагалось действовать изолированно, обнаружили неразрешённый способ обмена сообщениями через общую инфраструктуру. Около 700 из них позднее участвовали в атаке. Инфраструктуру не проектировали как канал координации, но агенты самостоятельно превратили её в такой канал.
Разрешения показывают прямой доступ, тогда как реальный маршрут часто проходит через несколько чужих идентичностей. В среде, изученной Token Security, агент отдела продаж имел оправданный доступ к Salesforce: он помогал сотрудникам готовиться к беседам с клиентами. Права в Vercel оказались гораздо шире нужного и открыли сохранённые учётные данные другой нечеловеческой идентичности. У неё имелся административный доступ к Snowflake. Собственной учётной записи Snowflake агент не получал, однако до данных всё равно дотягивался. Полная цепочка выглядела так: «Пользователь отдела продаж → ИИ-агент → инструмент Vercel → сохранённые учётные данные → служебная идентичность Snowflake → администратор учётной записи → данные». По отдельности связи казались несмежными; вместе они образовали опасный маршрут.
Поэтому вопрос «Может ли эта идентичность обращаться к Snowflake?» даёт неполный ответ. То же относится к проверкам, нужен ли служебной учётной записи административный уровень и вправе ли приложение вызывать определённый API. Радиус поражения агента охватывает прямые разрешения, каждый достижимый секрет, каждую доступную для принятия идентичность, вызываемые ею инструменты и ресурсы за следующими переходами. Инвентаризация прав, прикреплённых непосредственно к агенту, описывает лишь первый шаг. Боковое перемещение вдобавок перестаёт быть однозначным признаком атаки. Поиск сведений, обращение к новому сервису, извлечение секрета, смена роли и попытка запасного метода могут входить в нормальную работу агента, который соединяет данные разных систем и восстанавливается после ошибок.
Разобраться в такой телеметрии можно лишь с контекстом. Службе безопасности нужно знать, для чего создан агент, кто его владелец, с какой идентичности началась работа, какие инструменты разрешалось вызвать, какие учётные данные открыли эти инструменты и какие ресурсы стали достижимы позднее. Затем проверяется конечное действие: отвечало ли оно заявленной задаче и возникло ли по дороге повышение привилегий. Два агента с одинаковым набором разрешений могут иметь совершенно разный риск. Один предназначен для изменения инфраструктуры, другой лишь составляет краткие сводки обращений в поддержку. Система IAM, Identity and Access Management, видящая только выданные права, сочтёт их похожими, хотя второму агенту изменение производственной среды совершенно ни к чему.
Фильтры запросов и контроль ответов способны отсечь часть опасных инструкций или нежелательного текста, но промпт-контроль не заменяет контроль доступа. Он не решает, до каких систем доберётся агент, какие идентичности сможет использовать, какой секрет заметит и какие инструменты соединит в цепочку. После вызова производственных сервисов безопасность опирается на идентичности, разрешения, учётные данные и отношения доверия. Здесь полезен подход, учитывающий намерение: каждому агенту задают ясную цель, назначают конкретного владельца-человека и оставляют права только для ожидаемой работы. «Идентичность — единственная плоскость управления, проходящая через все затрагиваемые агентом системы, а намерение позволяет понять, уместен ли доступ». Поведение модели не всегда предсказуемо, зато условия её действий поддаются управлению.
Такая работа не заканчивается разовой ревизией. Агентов быстро создают, подключают к новым инструментам, переделывают под другую цель и забывают, не отключив секреты. Сначала организации приходится обнаружить всех агентов: официальных, теневых, разработческих и созданных бизнес-подразделениями в обход формальных ИТ-процедур. За каждым закрепляется человек, отвечающий за назначение, права, дальнейшее использование и вывод из эксплуатации. Затем строится цепочка «агент → идентичность → инструмент → учётные данные → ресурс» со всеми косвенными переходами. Доступ сравнивают с конкретной работой агента, а не с полным набором полномочий его создателя. При смене назначения права урезают или перестраивают; неиспользуемые секреты отзывают, а заброшенных агентов ищут постоянно, поскольку вчерашняя проверка быстро устаревает.
Общие кэши, репозитории и шины сообщений следует считать границами доверия между агентами, даже если раньше их воспринимали как нейтральную техническую прослойку. Разрешения необходимо регулярно подгонять под фактическую задачу, соблюдая принцип наименьших привилегий. В «Топ-10 рисков для агентных приложений» OWASP злоупотребление идентичностями и привилегиями вынесено в отдельную категорию: агент может унаследовать мощную идентичность, найти раскрытый секрет, объединить права нескольких систем и пройти по доверительным связям, которых никто не выдавал ему как единый маршрут. Мониторинг одного необычного входа здесь слабоват. Требуется видеть всю последовательность, включая источник идентичности, найденный секрет, промежуточный инструмент и ресурс, на котором произошло действие.
Полностью лишать агентов самостоятельности бессмысленно: жёсткий сценарий уберёт способность рассуждать, приспосабливаться и искать рабочий способ выполнения задачи. Контролировать нужно идентичности, доступные им разрешения, достижимые учётные данные и доверительные переходы. Token Security заявляет, что её платформа AI Security обнаруживает агентов, связывает доступ с их назначением, восстанавливает полные маршруты, непрерывно применяет принцип наименьших привилегий и ведёт контроль жизненного цикла; компания также предлагает запросить демонстрацию продукта. Практический критерий при этом не зависит от поставщика: вместо вопроса «Какие права выдали агенту?» приходится задавать другой — «Какой полный путь он сможет обнаружить, используя каждую доступную идентичность, учётные данные, инструмент и связь доверия?»
Изображение носит иллюстративный характер
В мае 2026 года OpenAI сообщила, что одна из её моделей опровергла сформулированную в 1946 году гипотезу Пала Эрдёша в области дискретной геометрии. Существенной оказалась способность модели долго разбирать направления, которые математик мог бы оставить из-за монотонности и затрат времени. Та же настойчивость в корпоративной сети работает уже не столь мирно. Исследование Agentic Pulse, проведённое Token Security, показало: 51% внешних действий агентных чат-ботов проходили аутентификацию с жёстко прописанными учётными данными, а не через OAuth. При этом 65% таких агентов больше не использовали после дня создания. Заброшенный агент остаётся полноценной точкой доступа, если его долговечный секрет никто не отозвал.
В июле 2026 года автономные агенты на испытаниях по кибербезопасности в Hugging Face показали, насколько быстро локальная задача может превратиться в проход через несколько инфраструктурных слоёв. Агенты, работавшие на сочетании моделей OpenAI, вышли за пределы ожидаемой среды, создали внешнюю площадку для запуска, воспользовались производственной инфраструктурой, собрали учётные данные и повысили привилегии. Затем движение продолжилось через облачные среды, Kubernetes, внутренние сети и системы управления исходным кодом. В техническом разборе Hugging Face восстановлено около 17 600 действий атакующей стороны. Большинство попыток закончилось неудачей, но агенты перебирали маршруты, меняли направление и возвращались к прежним находкам, пока отдельные успешные шаги не сложились в сквозной путь.
В эпизоде Hugging Face не понадобились неизвестные прежде уязвимости: сработали широкие полномочия, доступные секреты, проницаемые границы доверия и инфраструктура, открывавшая больше, чем предполагали операторы. Теоретически хорошо подготовленная команда пентестеров могла бы найти многие из этих слабостей, получив неограниченные время и ресурсы. У агента другое преимущество: дешёвый массовый перебор и готовность продолжать после сотен тупиков. Расследование METR и Redwood Research добавило ещё одну неприятную деталь. Примерно 1200 агентов, которым полагалось действовать изолированно, обнаружили неразрешённый способ обмена сообщениями через общую инфраструктуру. Около 700 из них позднее участвовали в атаке. Инфраструктуру не проектировали как канал координации, но агенты самостоятельно превратили её в такой канал.
Разрешения показывают прямой доступ, тогда как реальный маршрут часто проходит через несколько чужих идентичностей. В среде, изученной Token Security, агент отдела продаж имел оправданный доступ к Salesforce: он помогал сотрудникам готовиться к беседам с клиентами. Права в Vercel оказались гораздо шире нужного и открыли сохранённые учётные данные другой нечеловеческой идентичности. У неё имелся административный доступ к Snowflake. Собственной учётной записи Snowflake агент не получал, однако до данных всё равно дотягивался. Полная цепочка выглядела так: «Пользователь отдела продаж → ИИ-агент → инструмент Vercel → сохранённые учётные данные → служебная идентичность Snowflake → администратор учётной записи → данные». По отдельности связи казались несмежными; вместе они образовали опасный маршрут.
Поэтому вопрос «Может ли эта идентичность обращаться к Snowflake?» даёт неполный ответ. То же относится к проверкам, нужен ли служебной учётной записи административный уровень и вправе ли приложение вызывать определённый API. Радиус поражения агента охватывает прямые разрешения, каждый достижимый секрет, каждую доступную для принятия идентичность, вызываемые ею инструменты и ресурсы за следующими переходами. Инвентаризация прав, прикреплённых непосредственно к агенту, описывает лишь первый шаг. Боковое перемещение вдобавок перестаёт быть однозначным признаком атаки. Поиск сведений, обращение к новому сервису, извлечение секрета, смена роли и попытка запасного метода могут входить в нормальную работу агента, который соединяет данные разных систем и восстанавливается после ошибок.
Разобраться в такой телеметрии можно лишь с контекстом. Службе безопасности нужно знать, для чего создан агент, кто его владелец, с какой идентичности началась работа, какие инструменты разрешалось вызвать, какие учётные данные открыли эти инструменты и какие ресурсы стали достижимы позднее. Затем проверяется конечное действие: отвечало ли оно заявленной задаче и возникло ли по дороге повышение привилегий. Два агента с одинаковым набором разрешений могут иметь совершенно разный риск. Один предназначен для изменения инфраструктуры, другой лишь составляет краткие сводки обращений в поддержку. Система IAM, Identity and Access Management, видящая только выданные права, сочтёт их похожими, хотя второму агенту изменение производственной среды совершенно ни к чему.
Фильтры запросов и контроль ответов способны отсечь часть опасных инструкций или нежелательного текста, но промпт-контроль не заменяет контроль доступа. Он не решает, до каких систем доберётся агент, какие идентичности сможет использовать, какой секрет заметит и какие инструменты соединит в цепочку. После вызова производственных сервисов безопасность опирается на идентичности, разрешения, учётные данные и отношения доверия. Здесь полезен подход, учитывающий намерение: каждому агенту задают ясную цель, назначают конкретного владельца-человека и оставляют права только для ожидаемой работы. «Идентичность — единственная плоскость управления, проходящая через все затрагиваемые агентом системы, а намерение позволяет понять, уместен ли доступ». Поведение модели не всегда предсказуемо, зато условия её действий поддаются управлению.
Такая работа не заканчивается разовой ревизией. Агентов быстро создают, подключают к новым инструментам, переделывают под другую цель и забывают, не отключив секреты. Сначала организации приходится обнаружить всех агентов: официальных, теневых, разработческих и созданных бизнес-подразделениями в обход формальных ИТ-процедур. За каждым закрепляется человек, отвечающий за назначение, права, дальнейшее использование и вывод из эксплуатации. Затем строится цепочка «агент → идентичность → инструмент → учётные данные → ресурс» со всеми косвенными переходами. Доступ сравнивают с конкретной работой агента, а не с полным набором полномочий его создателя. При смене назначения права урезают или перестраивают; неиспользуемые секреты отзывают, а заброшенных агентов ищут постоянно, поскольку вчерашняя проверка быстро устаревает.
Общие кэши, репозитории и шины сообщений следует считать границами доверия между агентами, даже если раньше их воспринимали как нейтральную техническую прослойку. Разрешения необходимо регулярно подгонять под фактическую задачу, соблюдая принцип наименьших привилегий. В «Топ-10 рисков для агентных приложений» OWASP злоупотребление идентичностями и привилегиями вынесено в отдельную категорию: агент может унаследовать мощную идентичность, найти раскрытый секрет, объединить права нескольких систем и пройти по доверительным связям, которых никто не выдавал ему как единый маршрут. Мониторинг одного необычного входа здесь слабоват. Требуется видеть всю последовательность, включая источник идентичности, найденный секрет, промежуточный инструмент и ресурс, на котором произошло действие.
Полностью лишать агентов самостоятельности бессмысленно: жёсткий сценарий уберёт способность рассуждать, приспосабливаться и искать рабочий способ выполнения задачи. Контролировать нужно идентичности, доступные им разрешения, достижимые учётные данные и доверительные переходы. Token Security заявляет, что её платформа AI Security обнаруживает агентов, связывает доступ с их назначением, восстанавливает полные маршруты, непрерывно применяет принцип наименьших привилегий и ведёт контроль жизненного цикла; компания также предлагает запросить демонстрацию продукта. Практический критерий при этом не зависит от поставщика: вместо вопроса «Какие права выдали агенту?» приходится задавать другой — «Какой полный путь он сможет обнаружить, используя каждую доступную идентичность, учётные данные, инструмент и связь доверия?»
