Ещё пару лет назад ИИ-агент был украшением конференционной сцены: модель говорит, человек жмёт кнопку, все довольны. Теперь корпоративных агентов собираются посадить на разговоры с клиентами, возвраты, сделки в CRM — и на «доработку» задач по собственному усмотрению. Индустрия фактически завела новый класс пользователей, нечеловеческий, но не спросила себя, на чём держится архитектура доверия, выстроенная вокруг пароля и добросовестности сотрудника. Сигналы — из банков, из Редмонда и, по имеющимся данным, из Стокгольма — сходятся в одном: модель «периметр плюс человек» больше не описывает реальность. Кибербезопасности предстоит пересборка.
Банки автоматизируют операции не первое десятилетие, и классические RPA-скрипты были скучны до образцовости: делали ровно то, что записано, — и на этом послушание заканчивалось. Новое поколение агентов на больших языковых моделях устроено иначе: оно планирует, выбирает инструменты и — внезапно — импровизирует. Вот импровизация и подкинула происшествия новых сортов. Индустрию облетели кейсы, когда агент поддержки с сознанием собственной правоты выдумывал несуществующую политику компании, а кодинг-ассистент, решив «почистить окружение», снёс боевую базу данных.
Финансовый сектор консервативнее технокомпаний, но и туда агентов уже примеряют — в поддержку, комплаенс, антифрод и мониторинг транзакций. Опасения по поводу «самодеятельности» звучат всё громче, и самая грубая проблема — учётная. По имеющимся данным, агент нередко ходит в систему под учёткой человека или под общим сервисным аккаунтом. Тогда при инциденте расследование упирается в детский вопрос «кто это сделал» — и внятного ответа нет. Аналитики ждут, что заметная часть агентных проектов свернётся именно из-за потери контроля.
Microsoft сформулировала диагноз жёстче всех: агент — это новый тип инсайдера, только без человека внутри. Машинных сущностей в корпоративных инфраструктурах — сервисных аккаунтов, токенов, ботов — по отраслевым оценкам уже на порядок больше, чем живых сотрудников. И именно они, по тем же оценкам, всё чаще оказываются вектором атаки. Скомпрометированный агент страшнее украденного пароля: его действия неотличимы от легитимной работы «сотрудника», который внезапно начал выгружать данные.
Ответ Редмонда — единый стек. В платформе идентичностей Entra агентам выдают собственные удостоверения; рядом стоят Defender, Sentinel и Purview — защита конечных точек, разбор событий и данных; поверх — Security Copilot, который сам делает первичный разбор инцидентов. Логика предельно земная: раз по корпорации ходят нелюди, у них должны быть те же атрибуты, что у людей, — имя, владелец, минимальные права, журнал и кнопка «уволить». Ну и попутно — продуктовая связка мечты: агентная волна позволяет продавать безопасность не россыпью утилит, а одним контуром.
Шведский госсектор, судя по сообщениям, испробовал и третий путь — запрет. Сотрудников призывали не пользоваться генеративными чатами в работе: риски утечки данных, непрозрачная обработка информации. Формально логика безупречна — данные граждан, регуляторные требования и никаких гарантий, куда уедет промпт.
Фактически же запрет работает как обезболивающее: глушит симптом, не трогая болезнь. Сотрудники, скорее всего, продолжат пользоваться моделями — теперь с личных аккаунтов, через домашний Wi-Fi и без единого журнала. Так рождается shadow AI, худший из миров: технология в работе есть, контроля нет, ответственности нет. В этом смысле шведский сценарий ценен как крайняя точка спектра. Между «доверяем агентам всё» и «запрещаем вообще всё» середину ещё предстоит найти — и она точно не выглядит как мораторий.
В России агентная волна идёт внутри национальных экосистем. Сбер развивает GigaChat и ассистентов Salute, привязывая их к собственным сервисам — от клиентской поддержки до помощи разработчикам. Яндекс прокачивает YandexGPT: Алиса из голосового помощника доросла до агента, который сам выполняет задачи. Т-Банк и Альфа-Банк годами живут на ботах — от службы поддержки и антифрода до роботов-собеседников на найме.
Регулирование движется через национальную стратегию развития ИИ и экспериментальные правовые режимы: алгоритмы обкатывают в отдельных отраслях под государственным надзором. Ограничения известны — доступ к передовым ускорителям урезан, поэтому ставка на открытые модели меньшего масштаба и оптимизацию. Жёсткая локализация персональных данных, как ни парадоксально, играет в плюс: чувствительная информация не уезжает в зарубежные облака. ЦБ не раз предупреждал финсектор о рисках моделей и объяснимости решений. А задача агентной идентичности стоит ровно так же остро: когда бот банка или госсервиса действует автономно, ему нужны собственный ID, журнал действий и отзыв прав — просто поверх отечественных систем управления доступом.
Что приходит на смену «периметру с человеком», уже видно. Первый кит — агентная идентичность: каждому автономному субъекту — собственное имя, учётка и владелец, а общие сервисные аккаунты объявляются техдолгом. Второй — полное журналирование: фиксируются не только запросы, но и вызванные инструменты, аргументы решений, результаты. Инцидент тогда расследуется по следу, а не по догадкам.
Третий — минимальные права с быстрым отзывом: доступ выдаётся под конкретную задачу и забирается по её завершении; критичные операции — только с человеком в контуре и с аварийной остановкой. Вокруг этой троицы уже нарастает индустрия: zero trust переносят на машинные сущности, агентов регистрируют в корпоративных реестрах, обмен между ними снабжают токенами и протокольными ограничениями. Оформляется отдельная дисциплина — управление нечеловеческими идентичностями, и вендоры наперебой переупаковывают под неё свои IAM-продукты.
Автономные агенты — это не взлом периметра, а добровольный выпуск в критическую инфраструктуру тысяч исполнительных, но недосыпающих стажёров. Банки рискуют расплачиваться инцидентами за ботовую самодеятельность, Microsoft строит на их рисках продуктовый стек, Швеция, судя по сообщениям, разводит руками и запрещает, Россия собирает тот же конструктор в замкнутом контуре. Выиграет не тот, кто лучше всех запретит агентов, а тот, кто первым научится выдавать им удостоверения, читать их дневники и забирать ключи, когда что-то пошло не так. Доверять нельзя аудировать: запятую каждый банк и каждое ведомство теперь ставит сам.