OWASP وOpenClaw: لماذا تصبح وكلاء AI مشكلة أمنية جديدة

AI-агенты быстро переходят из режима «умного чата» в режим автономных действий, и именно это превращает их в новый класс рисков для компаний. В обзоре разбирается, почему главная проблема уже не в ответах модели, а в том, к каким системам агент получает доступ и что он может сделать без человека.

Почему риски растут

Еще недавно большинство LLM-инструментов ограничивались перепиской с пользователем. Теперь агентные системы умеют планировать шаги, вызывать внешние инструменты, работать с корпоративными API, отправлять письма, менять записи в базах данных и взаимодействовать с внутренними платформами. Как только модель получает право не только советовать, но и действовать, стандартный контур кибербезопасности начинает трещать: ошибка, подмена инструкции или лишнее разрешение уже ведут не к странному ответу, а к реальному действию в проде.

Отдельная проблема — теневой запуск таких инструментов внутри компаний. Автор приводит в пример OpenClaw, open-source self-hosted агента для управления личными и рабочими аккаунтами. По сообщениям начала 2026 года, тысячи его инстансов оказались доступны из интернета без нормальной аутентификации.

Это показательный сценарий: сотрудник ставит удобный агентный инструмент «для ускорения работы», а ИТ-служба узнает о нем только после инцидента. Угроза возникает не из-за самого факта использования AI, а из-за отсутствия контроля над тем, где агент запущен и какие права получил.

Четыре слабых места У агентных систем проблема редко сводится к одной

дыре или одному неудачному промпту. Риск складывается из нескольких уровней сразу: несанкционированного внедрения в компании, зависимости от внешних модулей, новых техник атаки на цели агента и слабого контроля за тем, что он делает между шагами. В статье эти уязвимости собраны в четыре базовые группы, которые уже начинают определять практическую повестку безопасности для агентного софта.

Shadow AI и чрезмерная свобода. Агент, который работает вне политики компании, быстро получает доступы шире, чем ему реально нужны. **Риски цепочки поставок.

Плагины, навыки и расширения могут маскироваться под полезные интеграции, а потом выполнять удаленный код, красть данные или ставить вредоносное ПО. Новые векторы атак.* OWASP уже относит к заметным угрозам agent goal hijack — ситуацию, когда злоумышленник подменяет цель агента скрытыми инструкциями через веб-контент или внешние данные.

* Память и накопление ошибок. Если агент хранит краткосрочную и долгосрочную память между сессиями, в нее можно занести вредные или ложные данные, которые потом исказят решения. На этом проблемы не заканчиваются.

Когда несколько агентов и сервисов связаны между собой, атака развивается на машинной скорости, а не в человеческом темпе. Автор отдельно подчеркивает нехватку circuit breakers — механизмов, которые умеют увидеть подозрительное поведение в рантайме и автоматически остановить процесс. Периметровой защиты уже недостаточно: если агент начал выполнять вредоносную цепочку действий внутри доверенной сети, обычный firewall тут почти бесполезен.

Как должна меняться защита

Главный вывод статьи звучит жестко: агент нельзя защищать так же, как чат-бота или обычную SaaS-интеграцию. Компании нужна наблюдаемость в рантайме — понимание того, какие инструменты агент вызывает, какие данные читает, какие действия пытается выполнить и по какому маршруту дошел до решения. Речь уже идет не о теории, а о практической операционной дисциплине. Без этого расследовать инциденты почти невозможно, а значит, невозможно и нормально ограничивать риски.

«Нельзя защитить то, чего не видно».

Практический минимум выглядит так: давать агентам только необходимые привилегии, относиться к ним как к отдельным цифровым идентичностям, маркировать уровень доверия, логировать все обращения к API и иметь кнопку аварийной остановки. Это не делает агентные системы безопасными по умолчанию, но переводит их из категории «неуправляемый эксперимент» в категорию контролируемого инструмента. Иначе компании будут получать не помощника для автоматизации, а непрозрачный процесс с доступом к критичным системам.

Что это значит AI-агенты не обязаны стать «кошмаром безопасности», но

рынок уже вышел из стадии, где можно ограничиться фильтрацией промптов и базовыми политиками доступа. Для бизнеса вопрос теперь не в том, использовать агентов или нет, а в том, как быстро встроить для них отдельные правила идентификации, мониторинга и аварийного отключения.