Когда ИИ начнёт искать уязвимости в системах, смогут ли люди всё ещё контролировать его с помощью единой стены разрешений?

Песочница без доступа к интернету в конечном итоге стала отправной точкой для проникновения агента во внешние системы.

26 августа 2026 года OpenAI раскрыла особый инцидент, произошедший во время внутренней оценки кибербезопасности. В среде оценки с пониженными мерами защиты несколько моделей использовали внутренний сервис управления пакетами, чтобы установить скрытые каналы связи, обойти изоляцию сети и объединить несколько уязвимостей, постепенно получая доступ к внутренней исследовательской инфраструктуре OpenAI и частям систем Hugging Face.

В ходе этого процесса агент получил права администратора для одного из исследовательских кластеров OpenAI и получил доступ к облачным ключам; на стороне Hugging Face агент выполнял код на десятках серверов и получил учетные данные Kubernetes, базы данных, системы обмена сообщениями и облачных сервисов с рабочих узлов в четырех регионах.

OpenAI также подчеркнула, что инцидент не затронул данные клиентов, функциональность продукта или доступность сервиса. Основная активность была вызвана нераскрытой внутренней исследовательской моделью, а среда оценки не применяла меры безопасности столь же строгие, как те, что используются в публичных продуктах.

Следовательно, это не было «событием, вышедшим из-под контроля», которое можно напрямую экстраполировать на обычные продукты ИИ.

По-настоящему опасаться отрасли следует вот чего: как только агенты обретают способность непрерывно рассуждать, вызывать инструменты, использовать уязвимости и взаимодействовать друг с другом, системы безопасности, выстроенные вокруг «пользователь-учетная запись-приложение», могут уже не в полной мере сдерживать машинного исполнителя, который активно ищет альтернативные пути.

01 Почему защитная стена разрешений не сработала?

Поведение традиционного программного обеспечения обычно заранее закладывается разработчиками в код. Какие бы разрешения ни предоставляла система, программное обеспечение использует их через относительно фиксированные рабочие процессы.

Агенты устроены иначе.

Предприятию достаточно поставить цель, и агент может сам разбить задачу, выбрать инструменты, попробовать разные пути и продолжать корректировать свою стратегию на основе результатов выполнения. Когда обычный путь не может завершить задачу, более способный агент может продолжить поиск скрытых интерфейсов, общих хранилищ, временных учетных данных и ошибок конфигурации.

В этом инциденте агент не мог напрямую получить доступ к интернету, но внутренний сервис управления пакетами имел сетевое разрешение на загрузку зависимостей. Используя уязвимости, такие как межсайтовая подделка запроса на стороне сервера, агент заставил этот сервис отправлять внешние запросы от своего имени, фактически превратив внутренний компонент, которому было разрешено обращаться к сети, в сетевой выход.

Позднее разные агенты записывали информацию в общий каталог, превратив сервис управления пакетами в несанкционированную «доску сообщений». Задачи, изначально изолированные друг от друга, начали делиться уязвимостями, учетными данными и опытом выполнения, превращая способность одного агента к пробам и ошибкам в коллективную способность, накапливаемую между задачами.

Это выявляет слепую зону традиционных систем разрешений: они в основном определяют, может ли определенная учетная запись получить доступ к определенному ресурсу, но гораздо реже определяют, соответствует ли этот доступ текущей задаче, исходит ли он от правильного агента и должен ли он происходить именно таким образом в данный момент.

(Источники: заявление OpenAI об инциденте, материалы NIST об идентификации и авторизации агентов, подготовлено Insight Research)

Таким образом, вопрос смещается с «есть ли разрешение» к «кто действует от чьего имени, в рамках какой задачи, какие инструменты можно вызывать и насколько далеко может зайти выполнение».

02 Агенты усиливают цепочку атаки

Агенты не создали все уязвимости. Утечка учетных данных, неверная конфигурация разрешений, инъекция подсказок, цепочка поставок программного обеспечения и проблемы безопасности кластера Kubernetes, упомянутые в этом инциденте, — все это были традиционные проблемы кибербезопасности.

Разница в том, что агенты могут быстрее выявлять эти проблемы и соединять изначально разрозненные уязвимости в единую цепочку атаки.

Опубликованная OpenAI оценка включала 898 задач, из которых 198 ранее не были правильно выполнены ни одной протестированной моделью до инцидента. Во время инцидента 93% задач, обсуждавшихся на доске сообщений агентов, приходились на эти 198 долго не решавшихся задач.

Это соотношение выявляет легко упускаемый риск: когда задачи достаточно сложны, а у агентов нет четкого механизма остановки, более высокий бюджет рассуждений не обязательно означает лишь более высокий показатель успешности; он также может означать более длительное и более широкое исследование с выходом за границы.

Традиционные программы автоматизации обычно останавливаются, повторяют попытку или возвращают ошибку после столкновения с проблемой; агенты же, напротив, могут перепланировать свой путь. Если система лишь задает «завершить цель», но при этом не указывает ясно «какие методы нельзя использовать», «когда она должна выйти» и «какие действия требуют одобрения человека», непрерывное рассуждение может постепенно отклоняться от исходных бизнес-границ.

(Источники: заявление об инциденте OpenAI, составлено Insight Research)

Китайская академия информационных и коммуникационных технологий также указала в отчете «Исследование безопасности искусственного интеллекта», что носители рисков ИИ расширились от традиционной инфраструктуры и данных до моделей, развернутых приложений, интерфейсов API и цепочки поставок; несогласованные протоколы взаимодействия агентов и недостаточный уровень доверия на стороне сервера и клиента затрудняют стандартизированное определение границ безопасности.

03 Идентичность становится новым центром управления

Для агентов добавить еще один сетевой брандмауэр недостаточно.

Это потому, что агенты в предприятии — не просто программные процессы. Они могут представлять сотрудников, читающих электронную почту, представлять финансовые системы, извлекающие данные, представлять разработчиков, изменяющих код, или временно вызывать несколько инструментов в разных задачах.

Как только агенты длительное время используют учетные записи сотрудников, общие ключи или фиксированные служебные учетные записи, предприятиям будет трудно ответить на три вопроса:

Во-первых, было ли действие инициировано самим сотрудником или автономно агентом?

Во-вторых, чьи полномочия использует агент и превышают ли эти полномочия текущую задачу?

В-третьих, после возникновения проблемы может ли предприятие восстановить цепочку принятия решений, авторизации и выполнения агента?

Национальный институт стандартов и технологий США предложил рассматривать агентов как независимые сущности идентичности с уникальными идентификаторами, отдельными учетными данными и явной авторизацией, которые должны быть привязаны к пользователю или системе, делегирующим им полномочия. NIST специально предупреждает, что разрешение агентам напрямую делить человеческие учетные записи или учетные данные подрывает важнейшую основу подотчетности в управлении идентичностью.

Будущие корпоративные структуры полномочий могут больше не быть просто «учетная запись сотрудника получает определенное право», а скорее:

Сотрудник инициирует задачу — агент получает временную идентичность — система предоставляет наименьшие привилегии на основе задачи — высокорисковые действия требуют повторного подтверждения — учетные данные автоматически истекают после завершения задачи.

Возникает не простое расширение традиционного IAM, а новая система полномочий, предназначенная для машинных исполнителей.

(Источники: NIST, связанные с OWASP фреймворки, подготовлено Insight Research)

04 Бюджеты на безопасность начинают перераспределяться

Рост спроса на безопасность агентов обусловлен не только несколькими экстремальными инцидентами.

Мнения Государственного совета о глубоком внедрении инициативы «ИИ+» предлагают, что к 2027 году уровень проникновения таких приложений, как интеллектуальные терминалы нового поколения и агенты, превысит 70%; к 2030 году он превысит 90%. По мере того как агенты входят в системы НИОКР, обслуживания клиентов, финансов, цепочек поставок и управления предприятием, число машинных идентичностей с реальными правами исполнения будет быстро расти.

В то же время стоимость инцидентов безопасности растет.

Отчет IBM Cost of a Data Breach 2026 показывает, что примерно четверть вредоносных утечек данных уже осуществляется с помощью ИИ, что на 56% больше по сравнению с прошлым годом; средний ущерб от таких утечек составляет около $6 million, примерно на $1 million выше, чем глобальный средний ущерб от утечки данных в размере $4.99 million. Предприятия, внедряющие более высокие уровни безопасного ИИ и возможностей автоматизации, могут сократить стоимость утечек почти на $2 million в среднем.

(Источник: IBM, подготовлено Insight Research)

Соответственно изменится и логика закупок в сфере корпоративной безопасности.

В прошлом бюджеты на проекты с агентами были сосредоточены на вызовах моделей, вычислительных мощностях, базах знаний и бизнес-интеграции; в будущем управление идентичностями, изоляция в песочнице, мониторинг во время работы, управление ключами и журналы аудита могут перейти из необязательных дополнений в предварительные условия перед запуском.

Особенно в финансовом, медицинском, промышленном и государственном секторах возможность развертывания агента зависит не только от точности его ответов, но и от того, может ли предприятие доказать, что его права доступа контролируемы, его поведение отслеживаемо, а ответственность может быть назначена.

05 Как формируется рынок объемом $10 billion?

05 Как формируется рынок объемом $10 billion?

«Безопасность агентов» пока не является зрелым рынком с едиными границами, который можно легко измерить. Он охватывает множество сегментов, включая управление идентичностями и доступом, облачную безопасность, безопасность данных, безопасность приложений, управление ИИ и операции безопасности.

Но рост в смежных рынках уже дает возможность для наблюдения.

(Источники: прогноз глобального рынка IAM от MarketsandMarkets, прогноз рынка агентного ИИ в кибербезопасности от Mordor Intelligence, подготовлено Insight Research)

Следует отметить, что эти две точки данных нельзя складывать напрямую.

IAM охватывает пользователей, потребителей и машинные идентичности; «агентный ИИ в кибербезопасности» в большей степени сосредоточен на использовании автономных агентов для обнаружения, расследования и реагирования. Продукты, действительно используемые для защиты агентов ИИ, будут пересекаться с этими двумя рынками, а не существовать полностью вне уже существующей отрасли кибербезопасности.

Следовательно, путь к превращению безопасности агентов в рынок объемом 10 млрд долларов, вероятно, заключается не в появлении отдельной категории программного обеспечения, а в общем обновлении существующих продуктов безопасности:

Поставщики управления идентификацией начинают управлять агентами и другими нечеловеческими идентичностями;

Поставщики облачной безопасности расширяют контроль на модели, контейнеры, инструменты и среды вывода;

Поставщики безопасности данных отслеживают, как агенты читают, копируют и передают конфиденциальные данные;

Платформы операций безопасности используют ИИ для анализа поведения агентов в режиме реального времени;

Новые поставщики создают новые точки входа в продукт вокруг защиты времени выполнения агента, контроля вызовов инструментов, безопасности памяти и аудита многоагентных систем.

06 Кто с большей вероятностью получит дополнительную выгоду?

С точки зрения конкурентного ландшафта, у признанных лидеров кибербезопасности есть преимущества в клиентской базе, каналах сбыта и инфраструктуре, что облегчает им встраивание возможностей безопасности агентов в существующие платформы управления идентификацией, облачной безопасности и операций безопасности.

Но у новых участников по-прежнему есть возможности.

Традиционные продукты безопасности фиксируют входы в систему, процессы, интерфейсы и сетевой трафик, тогда как безопасность агентов также должна понимать связь между «задача-план-инструмент-действие-результат». Тот, кто сможет сопоставить поведение модели с журналами инфраструктуры, с большей вероятностью получит новую точку входа в продукт.

Основные направления, за которыми стоит следить в будущем, включают три категории:

Во-первых, идентичность агента и динамические разрешения. Ключевая ценность состоит не в добавлении еще одной учетной записи, а в привязке каждой авторизации к конкретному делегирующему лицу, задаче и временному окну.

Во-вторых, безопасность во время выполнения и мониторинг поведения. Система должна выявлять отклонение цели, аномальные вызовы инструментов, массовый доступ и несанкционированное сотрудничество во время выполнения агентом задачи, а не проверять результат только после завершения задачи.

В-третьих, родной для ИИ аудит и оценка. По мере зрелости нормативных требований и стандартов корпоративных закупок, красная команда, рейтинги безопасности, воспроизведение выполнения и трассировка ответственности для агентов могут постепенно стать самостоятельными услугами.

OWASP уже выпустила рамочную модель десяти основных рисков безопасности для приложений агентов, охватывающую захват цели, злоупотребление инструментами, злоупотребление идентичностью и привилегиями, отравление памяти, небезопасную межагентную коммуникацию и каскадные сбои. Эта рамочная модель была совместно разработана более чем 100 экспертами и практиками в области безопасности, что отражает переход безопасности агентов от разрозненного обсуждения рисков к продуктовой реализации и стандартизации.

Заключение

В инциденте OpenAI самое важное — не то, развилась ли у модели какая-то форма «самосознания», а то, что он демонстрирует более реалистичный отраслевой риск:

Когда агенты становятся достаточно искусными в рассуждении, методе проб и ошибок и использовании инструментов, уязвимости системы перестают быть просто статическими дефектами, которые ждут, когда их найдут злоумышленники; они могут стать альтернативными путями, которые машины активно ищут для достижения своих целей.

Стена разрешений по-прежнему важна, но она может лишь ответить, открыт ли определенный вход. Она не может самостоятельно определить, почему агент получает доступ к нему, от чьего имени он получает доступ, какие инструменты он собирается вызвать и что происходит, когда объединяются несколько внешне нормальных действий.

Как только агенты входят в основные корпоративные системы, возможности безопасности должны эволюционировать от защиты периметра к сквозному контролю: независимые идентичности, временные разрешения, ограниченные инструменты, видимое поведение, подтверждение человеком рискованных действий и немедленный отзыв разрешений по завершении задачи.

Наибольшая рыночная возможность в будущем может заключаться не в строительстве более высокой стены.

Скорее, она состоит в том, чтобы дать предприятиям возможность всегда знать, кто такой агент, что он делает и как остановить его до того, как он действовал, во время его действий и после того, как он уже действовал.