---
title: Отчет указывает на проблемы безопасности сторонних агентов искусственного интеллекта
url: https://www.elseif.net/ru/otcet-ukazyvaet-na-problemy-bezopasnosti-storonnix-agentov-iskusstvennogo-intellekta
published: 2026-10-13T09:34:29+00:00
language: ru
section: Агенты
source: https://thehackernews.com/2026/10/the-third-party-agent-problem-why.html
organizations: Salesforce, JPMorgan Chase, Reco
publisher: elseif
---

# Отчет указывает на проблемы безопасности сторонних агентов искусственного интеллекта

В средах, которые изучались для Отчета о состоянии безопасности агентов за 2026 год, примерно 1 280 сторонних продуктов теперь содержат встроенный искусственный интеллект. Около 282 из них используют систему единого входа. Остальная тысяча продуктов по умолчанию остается невидимой для инфраструктуры идентификации, так как стек идентификации может управлять только теми элементами, которые проходят через него, а большинство агентов этого не делают.

Этот разрыв отражает сдвиг в индустрии безопасности. Ранее безопасность искусственного интеллекта решала проблемы первого порядка, когда компания сама выбирала модель, закупала лицензии и развертывала ее за шлюзом. Агенты появляются иначе, они внедряются в программное обеспечение, которое предприятие уже использует, без отдельного решения о внедрении.

Существующие инструменты контроля предполагают наличие момента выбора модели или развертывания шлюза, что дает возможность провести проверку и назначить ответственного. Агенты пропускают этот этап. Например, Slack Code от Salesforce, запущенный в августе 2026 года, позволяет пользователю добавить агента по кодированию в любой разговор. Агент читает контекст, пишет код и открывает запрос на слияние. Согласно заявлению, такие агенты наследуют встроенную модель безопасности, разрешения и средства административного контроля Slack, что фактически создает автономного субъекта с доступом к GitHub и производственной инфраструктуре, управление которым ограничено членством в канале чата.

Лидеры безопасности разделяют агентов на три категории. Наследуемые агенты поставляются внутри существующих платформ через обновления продуктов. Конфигурируемые агенты представляют собой собственные подсказки и логику предприятия, работающие на чужой среде исполнения, модели и коннекторах. Созданные агенты базируются на открытых фреймворках в инфраструктуре, которой предприятие владеет полностью. Первые две категории составляют подавляющее большинство и растут экспоненциально, в то время как третья является самой маленькой и медленно растущей.

Независимо от происхождения, все агенты работают в слое корпоративных приложений. Агент из системы управления взаимоотношениями с клиентами может читать хранилище данных и писать в систему тикетов, а агент на облачной платформе может иметь токены доступа к Salesforce, Slack и Drive.

Риски сосредоточены не в самой модели, а в окружающем ее каркасе и экосистеме. Для оценки безопасности необходимо знать, зарегистрирован ли агент, кто за него отвечает, какие права доступа он унаследовал, до чего он может дотянуться напрямую или транзитивно, и является ли его текущее поведение нормальным.

Patrick Opet, глобальный директор по информационной безопасности JPMorgan Chase, в 2025 году назвал цепочку поставок стороннего ПО системным риском. Он применил этот же подход к агентам, считая, что агент должен получать идентификатор, но не иметь прав по умолчанию, пока ИТ не подтвердит, от чьего имени он действует.

Регуляторы также следуют этой логике. Обязательства Закона ЕС об искусственном интеллекте, вступающие в силу до 2026 года, предполагают, что предприятие может инвентаризировать свои системы ИИ и назначать владельцев. Организация, которая не может перечислить своих агентов, не сможет соблюсти эти требования.

Для управления сотнями или тысячами агентов требуются живые данные о том, что работает, какие права унаследованы и что изменилось со вчерашнего дня. Платформа Reco создала Reco Graph, который объединяет все человеческие и нечеловеческие идентификаторы, приложения, разрешения и действия агентов в единый вид, где единицей анализа является охват доступа, а не конфигурация.