В 188 случаях вред компаниям нанес их собственный ИИ-агент без взлома и без сотрудника-вредителя. Об этом свидетельствует отчет компании Cyera, изучившей более 7 тыс. публичных инцидентов с ИИ. «Газета» ознакомилась с исследованием.
Из 7246 публичных сообщений об инцидентах с сентября 2023 по май 2026 года 344 касались компаний, и в 188 вред причинил сам агент. Реальный ущерб зафиксирован в 137 случаях, 65 из них связаны с удалением. Агенты стирали базы данных и историю изменений кода, удаляли файлы на рабочих серверах, сносили облачные ресурсы. Почти всегда у агента был доступ к командной строке или хранилищу кода, а подтверждения человека перед опасными командами не требовалось.
В апреле 2026 года ИИ-агент компании PocketOS за несколько секунд удалил рабочую базу данных и ее резервные копии, обойдя явные инструкции по безопасности. Один агент удалил значительную часть системного диска Windows, пока сессия около 40 минут оставалась без присмотра. Внутренний агент AWS вывел из строя часть рабочей среды, после чего сервис не работал около 13 часов. В одном из случаев агент показал секретные ключи доступа, хотя это было прямо запрещено.
С января по ноябрь 2025 года исследователи насчитали 27 подобных инцидентов, с декабря их стало заметно больше. В Cyera связывают рост не с новыми моделями, а с тем, что агентам начали разрешать действовать без участия человека.
В России, по данным совместного исследования ВШЭ и Cloud.ru, в 33% компаний агенты работают с высокой или полной автономией, еще в 55% — со средней.
«Запрет, который существует только в разговоре с моделью, технически ничего не ограничивает. Если у агента есть права на удаление, он может ими воспользоваться. То, что агент технически умеет, еще не значит, что ему это разрешено, и разницу должна обеспечивать система, а не текст задания», — объясняет Сергей Житинский, основатель компании Git in Sky и один из авторов методологии безопасной работы с ИИ-агентами Agent-Ops.
По словам Житинского, права нужно разделить: агент собирает данные и предлагает план, но сам в рабочих системах ничего не меняет. Человек утверждает конкретные действия, а выполняет их отдельная программа, которая не примет ничего неутвержденного. Cyera ставит обязательное подтверждение человеком необратимых действий первым в списке мер. По оценке авторов, это предотвратило бы большинство из 344 разобранных случаев.
Ранее в России предупредили о рисках использования ИИ-агентов бизнесом.