AI-агенты в компаниях: готовы ли ваши системы безопасности?

AI-агенты, ранее выглядевшие как безобидные виртуальные собеседники, сегодня открывают двери в корпоративные системы, где они обретают доступ к базам данных, API-ключам и системным привилегиям. С чего всё началось? С релиза Anthropic Mythos – но сам Anthropic не спешит выкладывать этот продукт в открытый доступ, и это уже само по себе тревожный сигнал: уровень риска вырос так, что даже создатели опасаются возможных последствий.

Парадокс в том, что уровень защиты «новых работников» строится на тех же принципах, что в своё время не смогли защитить ChatGPT от джейлбрейков в 2023 году. Но если раньше был хотя бы человек, который проверял, что «наболтал» искусственный интеллект, то теперь полноценный AI-агент действует сам по себе, без всякого контроля.

Теперь AI-агенты не просто подправляют рекомендации и сыпят смешными ответами. Они встраиваются в инфраструктуру, получают прямой доступ к тайнам компании и действуют на своей, машинной скорости. Границы безопасности резко размылись. Всё чаще в IT обсуждают ситуацию, когда агент не просто просчитался в ответе, а реально скомпрометировал бизнес-процессы и утащил чувствительные данные.

В 2024 году Anthropic выпустила Model Context Protocol (MCP), стандарт, позволяющий AI-агентам напрямую подключаться к базам данных и внутренним сервисам. Не прошло и года, как обнаружилась критическая уязвимость (CVE-2025-49596, уровень угрозы 9.4 балла по международной шкале CVSS) – и индустрия снова ушла в аврал, срочно латая дыры.

Причин риска четыре: автономность (AI сам решает, что делать), привилегии (выдаются ключи и токены, разрешения к файлам), скорость (человек просто не успевает вмешаться), и широта охвата (один взломанный агент может «разгуляться» по всей системе). Последствия очевидные — стандартные защитные средства больше не справляются.

Компании отвечают шаблонно — навешивают новые программные прослойки: ставят фильтры на входящие команды, ограничивают доступы, следят за активностью. Всё это уже было: в 90-х и 2000-х патчили программные уязвимости, пока не пришли к необходимости аппаратных ограничений на уровне сети; затем пришли TPM-чипы и Secure Boot для защиты рабочих станций; потом улучшали облачные сервисы. Но основной урок так и не выучен: когда программная защита проваливается, спасает только «железо».

Сегодня у бизнеса уже нет времени на повторение старых ошибок. Недавние атаки через MCP и утечки данных благодаря Meta AI показывают: формальный контроль не спасает от реальных потерь. Поэтому безопасность должны обеспечивать не только на уровне софта, но и на уровне аппаратных элементов. Только аппаратные корни доверия («hardware root of trust») способны локализовать и остановить масштабные компрометации, когда агенты взламывают сами системы.

Отсюда вывод один: для защиты корпоративных данных в условиях AI-революции программного обеспечения больше недостаточно. Кто не сделает защиту частью своей инфраструктуры — рискует однажды проснуться с утечкой века.

Мнение автора может не совпадать с позицией редакции. Текст подготовлен для TechRadar Pro Perspectives в рамках освещения актуальных трендов в индустрии.