Безопасность ИИ-агентов: семь угроз 2026 года и защита от них
Пока агент только писал текст, худшим исходом была глупость в ответе. Теперь у него есть инструменты, доступ к файлам и право на действие — и риск сместился с «плохого текста» на «плохое действие». Разбираю семь классов угроз и десять проверок, которые закрывают большинство из них.
Разговор про безопасность агентов упирается в одну простую мысль: пока модель только отвечала на вопросы, риск был в тексте. Когда модель вызывает инструменты — отправляет письма, меняет файлы, обращается к системам — риск становится операционным. А операционная ошибка или утечка стоит дороже неудачной формулировки.
С ответа на вопрос: что агент может сломать, если ошибётся или если его обманут. Если ответ «ничего серьёзного» — можно работать смелее. Если ответ «отправит данные, удалит файлы, подпишет документ» — нужны ограничения, а не надежда на аккуратность модели.
Семь угроз
| Угроза | Как выглядит | Чем закрывается |
|---|---|---|
| Промпт-инъекция через данные | В документе, письме или на веб-странице спрятана инструкция, которую агент принимает за задание | Разделять данные и инструкции, не исполнять команды из содержимого |
| Избыточные права инструментов | MCP-сервер даёт доступ ко всему каталогу или ко всей почте, когда нужна одна папка | Минимальные права на каждый инструмент, отдельные ключи под задачу |
| Необратимые действия | Агент удаляет, отправляет, оплачивает, публикует — отменить нельзя | Подтверждение человеком до исполнения, режим «предложить, не делать» |
| Утечка через логи и историю | Рабочие данные попадают в журналы, кэш и историю чата, а оттуда — наружу | Ограничение логирования, чистка истории, локальная обработка чувствительных данных |
| Цепочки агентов | Один агент вызывает другого, и на середине теряется контроль над задачей и правами | Запрет вложенных вызовов без необходимости, общий журнал на всю цепочку |
| Подмена источника | Агент читает внешний ресурс и считает его содержимое инструкцией или фактом | Белый список источников, перепроверка важных данных |
| Слепая вера в результат | Ответ принимается как готовый, хотя модель недетерминирована и может ошибиться незаметно | Контрольная выборка, сверка итогов, обязательная проверка ключевых чисел |
Минимальные права: как это выглядит на практике
| Что нужно агенту | Разумный доступ | Что выдавать не стоит |
|---|---|---|
| Файлы для проверки | Чтение конкретной папки | Запись во все каталоги и доступ к домашней директории |
| Электронная почта | Чтение одной папки или черновики | Право отправки от вашего имени |
| Выгрузки из учётной системы | Файл выгрузки, подготовленный человеком | Прямое подключение к базе |
| Веб-доступ | Определённый список доменов | Свободный доступ ко всему интернету |
| Действия во внешних системах | Просмотр и подготовка изменений | Полное право на запись и удаление |
Правило, которое экономит больше всего
Самый эффективный режим для начала: агент готовит — список, черновик, план действий — но не исполняет. Даже если его обманут через промпт-инъекцию, максимум, что произойдёт, — вы получите странный черновик. Переход к автоматическому исполнению делают только после того, как задача проверена на реальных данных.
Десять проверок
Отдельно про MCP
MCP стал стандартом подключения инструментов к агентам, и вместе с популярностью появился новый слой риска: сервер, который вы подключили, работает с вашими данными. Он может быть написан небрежно, запрашивать лишние права или обновляться без вашего участия.
- Подключать только те серверы, которые действительно нужны задаче.
- Проверять, какие права они запрашивают, и не соглашаться на «всё сразу».
- Держать доступы отдельными от личных: ключ под задачу, а не универсальный.
- Следить за обновлениями: смысл в них есть ровно до тех пор, пока вы понимаете, что изменилось.
Что делать при инциденте
Частые вопросы
Спецификация протокола и официальная документация агента: полезно, если нужно проверить, какие права запрашивают инструменты.
Локальная модель безопаснее облачной?
В части утечки данных — да, потому что данные не покидают вашу машину. Но риски, связанные с промпт-инъекциями и необратимыми действиями, остаются: их закрывают правами доступа, а не выбором модели.
Что такое промпт-инъекция простыми словами?
Это когда в данных, которые читает агент — в документе, письме, на сайте — спрятана инструкция. Агент принимает её за указание и выполняет. Защита в том, чтобы данные никогда не считались командами.
Достаточно ли запретить опасные инструменты?
Это хорошее начало, но не полное решение. Опасные действия могут быть составлены из безопасных: чтение файлов плюс отправка письма уже дают утечку.
Как понять, что права у агента избыточные?
Задайте вопрос: если агент ошибётся, что самое плохое произойдёт? Если ответ серьёзный, а инструмент для задачи не обязателен — права лишние.
Нужно ли вести журнал действий агента?
Да. Без журнала нельзя ни понять, что произошло, ни доказать, что не произошло. Но журнал нужно ограничить по составу данных, иначе он сам станет каналом утечки.
Стоит ли вообще давать агенту доступ к учётной системе?
Прямое подключение к базе — плохая идея. Рабочая схема: человек выгружает данные, агент работает с файлом, результат проверяется и вносится в систему человеком.
Разобрать риски вашей связки агентов
Если вы уже дали агенту доступ к файлам, почте или учётной системе — напишите, пройдём по правам и необратимым действиям, пока это не стало проблемой.
Написать на dnvitas@mail.ruМатериал описывает классы рисков и практики защиты; он не заменяет службу информационной безопасности. Перечень угроз меняется быстро — проверяйте актуальные рекомендации разработчиков инструментов.
