Сотрудники собирают ИИ-агентов сами, и у 93% лишних подключений полный доступ

Представьте: финансовый директор за вечер собирает себе агента, который ходит в отчётность и отвечает на вопросы. Удобно, так что он делится им с коллегами. Никто никого не взламывал, но теперь любой, кто пишет этому агенту в чат, фактически работает с правами CFO. Именно такой кейс описал Business Insider, и это, пожалуй, главный риск корпоративного ИИ прямо сейчас.

Проблема не в хакерах, а в энтузиастах

ИИ-ассистенты вроде Copilot, ChatGPT, Claude и Gemini уже стоят почти в каждой крупной компании. Но параллельно маркетологи, бухгалтеры и юристы собирают собственных агентов через вайбкод или лоукод-билдеры. Для них результат очевиден: подцепил таблицу, подключил пару инструментов, расшарил на отдел. Права доступа при этом никого не волнуют, а разобраться в них непрофильному сотруднику зачастую просто нечем: он не девопс.

Масштаб, по данным стартапа Opsin, впечатляет. У 93% подключений, которые агенту не нужны для его задачи, стоял полный доступ ко всей системе. Классический пример: агент помогает оформлять отпуска, но имеет доступ к базе зарплат. И только одно подключение из 200 требовало подтверждения человека перед действием. Цифры приводит сам вендор, так что относиться к ним стоит как к ориентиру, а не как к независимому аудиту. Но направление понятно.

Причина проста: агент по умолчанию наследует права создателя. Чем выше должность автора, тем опаснее его поделка. А расшаривание превращает личного помощника в общую чёрную дверь.

Как с этим борется Opsin

Основатели компании пришли из Abnormal Security, где антифишинг строится не на сигнатурах, а на поведении: письмо подозрительно, если не похоже на обычную манеру отправителя. Тот же подход они перенесли на агентов. Opsin подключается к корпоративным Copilot, ChatGPT, Claude и Gemini, находит всех самодельных агентов и заводит на каждого досье: кто создал, зачем, какие инструменты подключены, какие данные агент видит, кому он расшарен.

Дальше система следит за поведением. Если «помощник по отпускам» вдруг лезет в финансовую отчётность, его отправляют в карантин, а владельцу приходит уведомление. Логика CEO компании такова: в голову агента не заглянуть, поэтому судить надо по поступкам. На прошлой неделе Opsin объявил о раунде на $21M.

Что делать на практике

Для разработчиков и безопасников вывод неприятный, но полезный. Во-первых, проведите инвентаризацию: сколько агентов в компании уже есть и кто их создал. Почти наверняка больше, чем вы думаете. Во-вторых, запретите агентам работать под личными правами автора: нужны отдельные сервисные учётки с минимальным набором доступов под конкретную задачу. В-третьих, для действий с записью, удалением и отправкой наружу ставьте обязательное подтверждение человеком, пусть это и замедляет магию автоматизации.

Продактам, которые делают ноукод-платформы и корпоративные конструкторы агентов, стоит задуматься о дефолтах. Если по умолчанию агент получает все права пользователя, это ваш баг, а не вина маркетолога. Показывайте, к чему подключён агент, и предупреждайте при шаринге.

Ограничение подхода тоже есть. Поведенческий мониторинг ловит аномалии постфактум и требует периода обучения, а агент, который изначально имеет избыточные права и делает привычные для себя вещи, может остаться незамеченным. Поэтому мониторинг дополняет принцип минимальных привилегий, но не заменяет его.

Итог: главная угроза от ИИ в офисе пока выглядит не как восставшая машина, а как усердный сотрудник с расшаренной ссылкой. Агентам действительно нужен свой «отдел кадров», и рынок под это уже формируется.