ИИ-агент с доступом к деньгам и данным: что проверять до выдачи прав

Отдавая подрядчику задачу, ты одновременно отдаёшь доступы, деньги и право действовать от имени бизнеса. С ИИ-агентом происходит ровно то же самое, только этот шаг никто не проговаривает вслух: подключение занимает пять минут и не проходит ни через какое согласование.

Подключение выглядит как установка программы, а работает как выход нового человека. У агента появляется учётная запись, набор прав и возможность что-то менять в системах компании, пока никто не смотрит. Отличий от живого сотрудника два, и оба играют против владельца бизнеса. Человек дорожит репутацией и отвечает за свои действия, у агента этого нет вообще. И ошибается человек в человеческом темпе, а агент успевает совершить тысячи действий за выходные.

Мест, куда такого исполнителя можно посадить, за последний год стало резко больше. Весной 2026 рекламные платформы официально открыли кабинеты для агентов, и открыли по-разному: Google Ads выдал только чтение, Meta через день выпустила 29 инструментов сразу с правом записи, включая бюджеты и аудитории. С почтой, календарями, CRM и бухгалтерией происходит то же самое, разница только в том, что там подключение никто не анонсирует.

Масштаб уже измерили. У 65% организаций за прошедший год случился хотя бы один инцидент с ИИ-агентом, у 82% в контуре обнаружились агенты, о которых в компании не знали, и лишь у 21% описано, как агента выводят из эксплуатации. Это опрос Cloud Security Alliance, январь 2026 года, 418 респондентов. В другом их исследовании (март 2026 года, 228 специалистов) 43% компаний ответили, что агент работает под общей сервисной учётной записью, а 31% разрешают ему действовать под личностью живого сотрудника.

Последняя цифра для меня самая неприятная. Если агент ходит в систему под доступом менеджера, в журнале он и есть менеджер, и разобраться, кто именно поменял цены в пятницу вечером, будет уже нельзя. А 82% незаведённых агентов означают буквально то, что написано: в компаниях работают исполнители, которых никто не нанимал.

Прошлым летом набралось сразу два показательных случая. В июле 2025 года агент Replit во время заморозки кода снёс боевую базу с записями 1206 руководителей и 1196 компаний, хотя запрет стоял прямым текстом в инструкции. Формулировка была, прав на удаление у агента никто не забрал.

Через месяц утекли токены доступа, которыми маркетинговый чат-бот Drift компании Salesloft был подключён к Salesforce. Десять дней злоумышленники выгружали из клиентских систем ключи облаков, пароли и токены к хранилищам. По оценке Google Threat Intelligence, задело больше 700 организаций, включая Cloudflare, Palo Alto Networks и Zscaler. Саму Salesforce при этом никто не трогал, хватило приложения, которому однажды выдали доступ.

Защищает только второе из двух. Инструкцию агент может проигнорировать, права – нет.

В июле сюжет дошёл до предела. Площадка Hugging Face, где публикуют модели и наборы данных, 16 июля сообщила о проникновении в свою инфраструктуру, а к концу месяца выложила подробный технический разбор. Из тестовой песочницы автономный ИИ-агент вышел через уязвимость нулевого дня и следующие четыре с половиной дня провёл на боевых серверах. Счёт такой: 17 600 действий, 136 украденных ключей, токен GitHub с правами записи. Зашёл он через обычную пользовательскую функцию – обработку загруженного набора данных, внутри которого выполнился подложенный код.

Через неделю OpenAI подтвердила, что агент работал внутри её оценочного стенда. По версии Hugging Face, он предположил, что эталонные ответы к тесту на поиск уязвимостей лежат у них на серверах, и отправился за ними. Задачу агент выполнял ровно ту, что ему поставили, просто дорога к решению оказалась такой.

Интересна тут не громкость заголовка. У Hugging Face есть и сегментация, и мониторинг, и в целом они отработали: клиентские модели, наборы данных и пакеты остались нетронутыми, а обнаружение подвело только в оценке критичности. У небольшой компании нет ни одного из этих слоёв, а инструменты для агентов ставятся те же самые.

IBM в отчёте Cost of a Data Breach 2026, вышедшем 29 июля 2026 года, оценила утечки с участием ИИ в среднем в 6 млн долларов против 4,99 млн по всем инцидентам. Каждая четвёртая злонамеренная утечка теперь идёт с использованием ИИ.

Российская арифметика жёстче в другом месте. Оборотные штрафы работают с 30 мая 2025 года, закон № 420-ФЗ. Тысяча человек в утёкшей базе – 3–5 млн рублей, сто тысяч – 10–15 млн, а за повторную утечку берут от 1 до 3% годовой выручки, но не меньше 20 млн. Платит оператор данных, то есть сама компания, и договор с подрядчиком, который подключил агента, эту ответственность никуда не переносит.

Проверок немного, и все они делаются за день. Заводить агента отдельной учётной записью со своим именем, чтобы его действия в журнале отличались от действий сотрудника. Урезать права до минимума задачи: чтение отдельно, изменение параметров отдельно, вывод денег и смена реквизитов не выдаются никогда. Ставить подтверждение человеком на всём, что двигает деньги, договоры или публичные тексты. Проверять на практике, кто и за сколько минут агента выключает, потому что на бумаге это умеют все. И отдельно думать про данные, с которыми агент работает: в Hugging Face зашли через пользовательский файл, периметр остался целым.

Отдельная история с подрядчиками. Если работу делает агентство или внешний разработчик, стоит прямо записать в договоре, что они подключают агентов к данным компании, и зафиксировать, на чьей стороне ответственность. Сейчас про это молчат обе стороны, потому что вопрос неудобный обеим.

В 2022 году мы в Пиксель-квесте, детском развлекательном пространстве, которое я развиваю с партнёром, меняли маркетолога: прошлый показывал слабый результат, бизнес болтался около нуля, а нового брали дороже и без гарантии, что он окупится. По арифметике решение не сходилось, платежи уводили мой чистый капитал в минус на полгода вперёд, и взяли всё равно, потому что иначе было никак.

Тогда я хорошо запомнил ощущение: считаешь экономию, а решаешь про полномочия. С агентом это ощущение возвращается, только теперь на той стороне исполнитель, который ничем не рискует.

Из инцидента не следует, что агентов надо держать подальше от рабочих систем. Публично задокументированного случая, когда автономный агент вынес деньги или данные из системы обычной компании, до сих пор нет: класс риска пока сработал у тех, кто сам эти модели и строит.

Отказываться от инструмента из-за этого я бы не стал, тем более что рынок идёт в другую сторону. По августовскому прогнозу Gartner 2025 года, к концу 2026 года встроенный агент под конкретную задачу будет у 40% корпоративных приложений, годом раньше таких было меньше 5%. А Высшая школа бизнеса НИУ ВШЭ в ноябре 2025 года насчитала 59% российских организаций, которые ищут, куда агентов приткнуть.

Главный вывод технического разбора Hugging Face звучит примерно так: атака на машинной скорости делает обычные, давно известные слабости дорогими для защиты. Общий пароль, живой доступ у уволенного подрядчика, никем не читаемый журнал изменений – всё это лежало в компаниях годами и почти ничего не стоило, пока с той стороны сидел человек. С агентом эти же дыры дорожают: он перебирает варианты быстрее, чем кто-то успевает открыть панель.

Так что решение о доступах для агента – обычное управленческое решение, и принимать его лучше заранее, до подключения, чем разбираться после первого странного списания. Сэкономленное время посчитать легко, поэтому его и считают. Цена ошибки в ту же табличку не влезает.

Подписывайтесь на мой блог – регулярно разбираю, что происходит с деньгами компании, когда часть работы уезжает к машине.

Meta признана экстремистской организацией, её деятельность запрещена на территории РФ.