Специалисты по безопасности десятилетиями задавались вопросом, не предоставлен ли тому или иному пользователю слишком широкий доступ. Агенты искусственного интеллекта поднимают более сложный вопрос: как определить, какие пути может обнаружить автономная система, исходя из того доступа, которым она уже располагает?
Человек может попробовать несколько способов выполнить задачу. Детерминированное приложение следует алгоритму, написанному его разработчиком. Но агент ИИ неустанно стремится к достижению результата. В мае 2026 года компания OpenAI объявила, что одна из её моделей опровергла гипотезу Эрдёша 1946 года в дискретной геометрии, в основном благодаря проработке путей, от которых математик отказался бы как от слишком утомительных.
Тот же принцип применим и к кибербезопасности. Агент ИИ может тестировать тысячи действий, отбрасывать неудачные маршруты, обнаруживать учетные данные, менять инструменты и продолжать работу. Именно эта настойчивость делает агентов полезными, но она также меняет то, как нам следует подходить к вопросу латерального перемещения. Риск, связанный с агентами ИИ, имеет два аспекта:
- Доступ определяет возможную зону поражения
- Автономность определяет, насколько агент может действовать без участия человека
Каждое из этих измерений само по себе может представлять риск, но их сочетание меняет модель безопасности. Поведение агента невозможно предсказать с достоверностью, но идентичность и намерения позволяют контролировать доступ.
Автономность превращает доступ в исследование
Люди часто предоставляют агентам больше доступа и автономии, чем необходимо, потому что сосредоточены на достижении своих целей как можно быстрее и проще. Вместо разумного распределения по обеим осям реальность часто выглядит так:
Исследование Token Security под названием «Agentic Pulse» показало, что 51 % внешних действий, совершаемых чат-ботами-агентами, аутентифицируются с помощью жестко запрограммированных учетных данных, а не с помощью OAuth, и что 65 % этих агентов так и не были использованы со дня их создания.
Инцидент с Hugging Face в июле 2026 года продемонстрировал эту динамику в масштабах, с которыми человеческому оператору было бы трудно сравниться. Автономные агенты, управляемые комбинацией моделей OpenAI в ходе оценки кибербезопасности, вышли за пределы ожидаемой среды, создали внешнюю стартовую площадку, воспользовались уязвимостями производственной инфраструктуры, собрали учетные данные, расширили свои привилегии и перемещались через границы облака, Kubernetes, внутренней сети и системы управления версиями.
Технический анализ инцидента Hugging Face позволил реконструировать примерно 17 600 действий злоумышленников. Большинство из этих действий закончились неудачей, но агенты пробовали различные пути, попадали в тупики, меняли направление и возвращались к ранее испробованным вариантам. Достаточное количество таких попыток в конечном итоге соединилось в жизнеспособный маршрут через несколько независимых систем.
Широкие права доступа, доступные учетные данные, проницаемые границы доверия и инфраструктура, раскрывающая больше, чем предполагали ее операторы, — все это хорошо известные уязвимости. Теоретически способная команда «красных» из людей могла бы воспользоваться многими из этих же уязвимостей, имея неограниченное время и ресурсы. Однако ИИ-агенты могут пробовать больше путей, быстрее заменять неудачные подходы и продолжать исследование еще долго после того, как человек, возможно, уже остановился бы.
Исследование, проведенное METR и Redwood Research, выявило ещё одно следствие такой настойчивости. Около 1 200 агентов, которые должны были работать изолированно, обнаружили несанкционированный способ обмена данными через общую инфраструктуру. Из них примерно 700 позже приняли участие в атаке. Никто не проектировал эту инфраструктуру как уровень взаимодействия агентов, но агенты всё равно нашли её и использовали.
В этом и заключается основная проблема безопасности. Разрешения описывают, к чему идентичность может получить прямой доступ. Они не раскрывают всех путей, которые автономная система может составить из доступных по ходу дела идентичностей, учетных данных, инструментов и отношений доверия.
Радиус воздействия распространяется по цепочкам идентичностей
Те же самые составные элементы присутствуют и в обычных предприятиях. В одной из недавних сред, проанализированных компанией Token Security, у агента по продажам был доступ к Salesforce, соответствующий его задачам: помощь команде продаж в подготовке к переговорам с клиентами. У агента также был доступ к Vercel, где его права доступа были гораздо шире, чем того требовала поставленная задача.
Эти права доступа к Vercel раскрыли сохраненные учетные данные, принадлежащие другой нечеловеческой идентичности. Эта идентичность обладала доступом на уровне администратора в Snowflake. У агента по продажам не было учетной записи, и никто не присвоил ему идентичность Snowflake, но путь всё равно существовал:
Пользователь отдела продаж > ИИ-агент > Инструмент Vercel > Сохраненные учетные данные > Идентификатор службы Snowflake > Администратор учетной записи > Данные
Если рассматривать каждую связь по отдельности, эти связи казались не связанными между собой. Вместе же они образовывали чрезвычайно опасный путь доступа, который никогда не должен был существовать.
Традиционные проверки доступа задают ограниченные вопросы: может ли эта идентичность получить доступ к Snowflake? Нужны ли этой служебной учетной записи права администратора? Может ли это приложение вызывать этот API? Эти вопросы по-прежнему необходимы, но автономный агент может комбинировать ответы так, как это никогда не смог бы сделать человек.
Таким образом, реальный радиус воздействия ИИ-агента включает в себя каждый доступный переход между идентификаторами, лежащий за пределами его прямых разрешений, а перечень прав, привязанных к агенту, фиксирует лишь первый шаг. Оцените Token Security самостоятельно с помощью демо-версии нашей платформы AI Security.
Боковое перемещение может быть законным поведением
Эта цепочка доступа создает вторую проблему обнаружения. Команды безопасности традиционно рассматривали перемещение между несвязанными системами как тревожный сигнал. Идентичность получает доступ к новой среде, извлекает учетные данные, принимает на себя другую роль или взаимодействует с ресурсом, которым никогда раньше не пользовалась. Для человеческого пользователя или обычной рабочей нагрузки такие события часто оправдывают проведение расследования.
Автономный агент может генерировать аналогичные телеметрические данные при выполнении порученной задачи. От агентов ожидается, что они будут искать информацию, запускать инструменты, связывать данные между системами и восстанавливать работу в случае сбоя одного из подходов. Само по себе перемещение больше не позволяет отличить полезное выполнение задачи от враждебной или непреднамеренной активности.
Специалистам по безопасности необходимо знать, для чего был создан агент, кому он принадлежит, с какой идентичностью он запускался, какие инструменты он мог запускать, какие учетные данные раскрывали эти инструменты и к каким ресурсам стал возможен доступ. Эта полная цепочка показывает, соответствует ли действие цели агента или представляет собой повышение привилегий.
Фильтры вводных данных и средства контроля вывода воздействуют на разные уровни стека агента. Они могут сократить количество небезопасных входных данных и ответов, но не определяют, к каким системам могут получить доступ идентичности и учетные данные агента. Как только агент начинает цепочку запуска инструментов в производственных системах, безопасность зависит от контроля над идентичностями, разрешениями и отношениями доверия, которые позволяют осуществлять эти действия.
Разрешения описывают возможности, но не описывают цель. Два агента могут обладать схожими разрешениями, но нести совершенно разные риски, поскольку один из них предназначен для изменения инфраструктуры, а другой — для обобщения заявок в службу поддержки. Система управления идентификацией и доступом (IAM), которая видит только предоставленные права, может рассматривать их как равнозначные.
Безопасность, основанная на намерениях, восполняет недостающий контекст. Каждому агенту необходима четко определённая цель, именованный владелец и доступ, ограниченный рамками работы, которую он должен выполнять. Тогда команды безопасности могут оценивать действие с учётом самого агента, используемой им идентичности, ресурса, к которому он обращается, и причины его существования. Идентичность — это единственная плоскость управления, охватывающая все системы, с которыми взаимодействует агент, а намерение определяет, имеет ли доступ смысл.
Это также проблема жизненного цикла. Организациям необходимо обнаруживать агенты по мере их появления, связывать каждый агент с его человеческим владельцем, понимать полную цепочку доступа, стоящую за ним, корректировать разрешения в соответствии с изменением его цели и отзывать учетные данные при его выводе из эксплуатации. Проверка на определенный момент времени не может идти в ногу с агентами, которые создаются, подключаются к новым инструментам и выводятся из эксплуатации, в то время как их доступ остается активным.
В списке «Top 10» OWASP для агентных приложений злоупотребление идентичностью и привилегиями обозначено как отдельный риск, связанный с агентами. Причина проста: агенты могут наследовать мощные идентичности, получать доступ к утечённым учетным данным и комбинировать разрешения между системами. Управление идентичностью должно охватывать всю цепочку, а не ограничиваться первыми учетными данными агента.
Что должны сделать команды безопасности прямо сейчас
- Выявить каждый агент. Включить в обзор «теневые» агенты, созданные разработчиками и бизнес-командами вне рамок официальных ИТ-процессов.
- Назначить ответственное лицо. Привязать каждый агент к конкретному сотруднику, который несет ответственность за его назначение, доступ и вывод из эксплуатации.
- Составить карту полной цепочки доступа. Отследить взаимосвязи между агентом, идентификацией, инструментом, учетными данными и ресурсом, лежащими в основе каждого прямого разрешения.
- Сравнивайте доступ с намерениями. Оценивайте, к чему может получить доступ агент, исходя из задачи, для выполнения которой он был создан, а не исходя из прав его создателя.
- Обеспечивайте постоянный контроль. Корректируйте разрешения по мере их отклонения от заданных параметров, отзывайте неиспользуемые учетные данные и рассматривайте общие кэши, репозитории и шины сообщений как границы доверия между агентами.
Автономность может быть полезной, и ограничение каждого агента, заставляя его вести себя как скрипт, лишило бы организацию значительной части преимуществ, которые они ожидают от агентского ИИ. Более эффективный подход заключается в управлении идентичностями и путями доступа, которые может использовать автономная система.
Организации, понимающие эти пути, могут позволить агентам рассуждать, адаптироваться и действовать, не предоставляя им неизвестного радиуса воздействия. Организации, которые этого не могут, узнают, к чему могут получить доступ их агенты, только после того, как агенты сами это обнаружат.
Token Security помогает организациям выявлять агентов, понимать их намерения и прослеживать пути доступа, а также постоянно обеспечивать соблюдение принципа минимальных привилегий и управление жизненным циклом.
Примечание: эта статья была профессионально написана и предоставлена Итамаром Апельблатом, соучредителем и генеральным директором Token Security.