AI-агенты как новая тёмная материя идентификации
Сначала их почти не видно. Потом без них уже не работает половина процессов. А затем выясняется неприятная вещь: у компании внезапно появилось множество цифровых сущностей с доступом к данным, API, внутренним системам и бизнес-логике — и никто толком не понимает, кто ими управляет, что они умеют и где у них границы. Именно так AI-агенты становятся новой «тёмной материей» идентификации.
Звучит немного драматично? Возможно. Но по сути всё именно так: AI-агенты быстро получают полномочия, действуют автономно, создают новые цепочки доступа и при этом часто выпадают из привычных IAM-, PAM- и IGA-процессов. Они мощные. Почти невидимые. И, что особенно скверно, нередко слабо управляемые.
Для компаний, которые уже внедряют разработку AI-агентов и автоматизацию, это не абстрактная угроза из презентации по кибербезопасности. Это вполне приземлённая архитектурная и операционная проблема: как учитывать агентные идентичности, как ограничивать их права, как отслеживать действия и как не превратить удобную автоматизацию в тихий, расползающийся риск.
Почему AI-агенты меняют саму модель идентификации
Обычная корпоративная модель доступа строилась вокруг людей, сервисных аккаунтов и, в более зрелых средах, машинных идентичностей. AI-агенты ломают эту схему не в лоб, а исподволь. Они не просто «ещё один сервис». Они принимают решения, вызывают инструменты, инициируют действия, обмениваются контекстом, используют память, а иногда и координируются друг с другом.
Короче говоря, это уже не статичный объект в каталоге. Это действующий участник цифровой среды.
У такого агента может быть доступ к CRM, ERP, почте, внутренним базам знаний, тикет-системам, хранилищам документов, платёжным операциям, аналитике и внешним API. Причём доступ этот часто собирается по кусочкам: где-то токен, где-то секрет в переменной окружения, где-то OAuth, где-то прокси-слой, где-то временный ключ, который, как водится, оказался совсем не временным.
И вот тут начинается самое интересное — в плохом смысле. Организация видит приложение, модель, оркестратор, может быть, даже журнал событий. Но не всегда видит саму идентичность агента как объект управления риском.
Что делает AI-агентов «тёмной материей»
Метафора здесь не ради красоты. Тёмную материю не видно напрямую, но её влияние заметно по последствиям. С AI-агентами похожая история.
Они быстро размножаются. Один пилотный агент превращается в пять, потом в двадцать: для поддержки, продаж, внутреннего поиска, закупок, SOC, HR и ещё «маленький эксперимент» у продуктовой команды.
Они получают разрозненные права. Не через единый контур, а через набор интеграций, секретов, коннекторов и исключений.
Они действуют от имени компании. Иногда — с правом читать. Иногда — менять. Иногда — отправлять, утверждать, запускать и удалять.
Они плохо вписываются в традиционный IAM. Потому что агент — это не просто пользователь и не просто бот. Он ближе к автономному операционному субъекту с переменным контекстом.
Они редко описаны в терминах владения. Кто владелец? Кто согласует доступ? Кто отзывает полномочия? Кто отвечает после инцидента? Тишина. Ну или длинная пауза.
Если компания не выстраивает архитектуру AI-агентов с самого начала, агентная среда начинает расти как пристройка к старому дому: сначала вроде удобно, потом сквозит отовсюду.
Главная проблема: агент есть, а управления им — почти нет
Во многих организациях AI-агенты внедряются быстрее, чем появляются правила для них. Бизнесу нужен эффект сейчас: сократить ручной труд, ускорить ответы, автоматизировать рутину, разгрузить команды. Это понятно. Но безопасность и соответствие требованиям не любят спешку — они потом выставляют счёт.
Типичный сценарий выглядит так:
команда запускает AI-агента для внутреннего поиска или обработки заявок;
агенту дают доступ к нескольким системам через API;
для удобства добавляют расширенные права, «чтобы не ломалось»;
подключают память, журналирование, внешние инструменты;
через пару месяцев никто уже не может быстро объяснить, какие именно данные агент видит, где они хранятся и что он может сделать без участия человека.
И это, честно говоря, не редкость. Это почти стандартная болезнь роста.
Где риски становятся реальными
1. Избыточные привилегии
AI-агенту часто выдают доступ «с запасом». Так проще интегрировать, меньше ошибок, быстрее запуск. Но избыточные права для автономной системы — штука опасная. Если агент ошибётся, будет скомпрометирован или начнёт действовать вне ожидаемого сценария, масштаб последствий окажется заметно выше, чем у обычного чат-бота без инструментов.
2. Непрозрачные цепочки делегирования
Агент может использовать токены пользователей, сервисные учётные записи, общие ключи или промежуточные прокси. В результате становится трудно понять, кто именно выполнил действие: человек, приложение, оркестратор или сам агент. Для расследований это кошмар. Тихий, вязкий, бюрократический кошмар.
3. Память, RAG и утечка контекста
Когда агент использует долговременную память, retrieval-пайплайны или корпоративный поиск, появляется риск несанкционированного доступа к чувствительным данным. Особенно если не продуманы фильтрация, сегментация прав и политика хранения контекста. Здесь критически важны агентная память и RAG, спроектированные не только ради качества ответов, но и ради контроля доступа, аудита и минимизации утечек.
4. Мультиагентные взаимодействия
Один агент ещё можно отследить вручную. Десять агентов, которые обмениваются задачами, контекстом и результатами, — уже совсем другая история. В мультиагентных системах поверхность атаки расширяется не линейно, а довольно неприятно: через маршрутизацию задач, доверие между агентами, общую память, брокеры сообщений и скрытые зависимости.
5. Отсутствие формального compliance-контура
Если AI-агент работает с персональными данными, коммерческой тайной, финансовыми операциями или регулируемыми процессами, без нормального governance не обойтись. Нужны политики, журналирование, разграничение доступа, контроль изменений, процедуры отзыва прав и понятная модель ответственности. Иначе вопрос «соответствуем ли мы требованиям?» быстро превращается в вопрос «а кто вообще это одобрил?»
Почему традиционные инструменты IAM не решают проблему полностью
Потому что они создавались не под это. Да, часть механизмов остаётся полезной: каталог идентичностей, SSO, RBAC, управление секретами, аудит, PAM-контроли. Но AI-агент — сущность более подвижная. Его поведение зависит от промпта, контекста, памяти, инструментов, ограничений оркестратора и внешних сигналов.
Проще говоря, недостаточно знать, что агенту «разрешён доступ к системе». Нужно понимать:
в каком контексте доступ разрешён;
какие действия допустимы, а какие нет;
может ли агент делегировать задачу другому агенту;
какие данные он вправе сохранять в память;
как быстро можно отозвать его полномочия;
какие сигналы указывают на отклонение от нормального поведения.
То есть нужен не просто IAM, а более широкий слой управления агентными идентичностями, поведением и риском.
Что стоит делать компаниям уже сейчас
Не потом, не «когда пилот взлетит», не после первого инцидента. Сейчас.
Инвентаризировать всех AI-агентов
Банально, но без этого никуда. У компании должен быть реестр всех агентных систем: кто владелец, где они работают, к каким данным и инструментам подключены, какие модели используют, где хранят память, какие действия могут выполнять.
Выделить агентную идентичность как отдельный класс объектов
Не смешивать AI-агентов с обычными сервисными аккаунтами. У них другой профиль риска, другая динамика доступа и другая модель контроля. Это отдельная категория — со своими политиками, жизненным циклом и требованиями к аудиту.
Внедрить принцип минимально необходимых прав
Да, это звучит как старая песня. Но в случае AI-агентов она снова становится хитом. Агент должен получать только те права, которые нужны для конкретной задачи, на ограниченное время и в контролируемом контексте.
Проектировать безопасность на уровне архитектуры
Не прикручивать её сбоку. Нужны изоляция инструментов, сегментация доступа, безопасное хранение секретов, policy enforcement, журналирование действий, human-in-the-loop для критичных операций и механизмы аварийной остановки. Если тема для вас актуальна, стоит отдельно проработать безопасность AI-агентов ещё до масштабирования в прод.
Связать AI-инициативы с compliance и governance
Особенно в enterprise-среде. AI compliance — это уже не факультатив. Нужно заранее определить, какие данные доступны агенту, где проходят границы автономии, какие журналы обязательны, как проходит проверка изменений и какие требования действуют для регулируемых сценариев. Для этого полезно выстраивать отдельный контур соответствия требованиям для AI.
Куда всё движется
Скорее всего, к миру, где у компаний будет больше AI-агентов, чем классических бизнес-приложений, напрямую видимых пользователю. Часть из них станет внутренними операторами процессов. Часть — аналитическими посредниками. Часть — автономными исполнителями в цепочках продаж, поддержки, закупок, ИБ и разработки.
И вот тогда вопрос идентификации перестанет быть второстепенным. Он станет центральным. Потому что в агентной среде доступ — это не просто право войти. Это право действовать, интерпретировать, передавать контекст, вызывать инструменты и влиять на реальные бизнес-результаты.
Если совсем по-честному, рынок пока ещё только учится смотреть на AI-агентов не как на «умный интерфейс», а как на новый класс цифровых субъектов. С собственными идентичностями, зонами доверия, рисками и обязанностями. Запоздать с этим пониманием можно. Но дорого.
Вывод, хотя это скорее предупреждение
AI-агенты уже становятся невидимым слоем корпоративной инфраструктуры. Они ускоряют процессы, снижают нагрузку на команды и открывают новые сценарии автоматизации. Но вместе с этим создают новую, плохо картографированную область идентификационного риска.
Поэтому главный вопрос сегодня не в том, будут ли компании использовать AI-агентов. Будут, ещё как. Вопрос в другом: смогут ли они управлять их доступом, поведением и ответственностью до того, как эта «тёмная материя» начнёт искривлять всю систему безопасности вокруг себя.
И да — лучше разобраться с этим раньше. Потом, как обычно, будет шумно, дорого и немного поздновато.