Агентные приложения перестали быть демонстрацией. ИИ-агент уже ходит в CRM, дёргает внутренние API, читает почту и принимает решения без оператора. Вместе с автономией приходит новый класс угроз: агент исполняет не только команды разработчика, но и инструкции, которые приходят из данных. В 2025 году OWASP выпустил отдельные материалы по агентным системам и обновил список рисков для LLM-приложений. Ниже – что из этого нужно держать в голове при внедрении агентов в бизнесе и госсекторе.

Что меняется с переходом к агентам

Классическое приложение исполняет код. ИИ-агент исполняет намерение, восстановленное из текста. Граница между данными и командой исчезает и это корень большинства рисков.

OWASP в перечне для агентных систем выделяет несколько узлов. Prompt Injection – внешний текст (письмо, страница, документ) подменяет инструкции агента. Excessive Agency – агенту выданы права шире задачи: он может удалять записи, отправлять платежи, менять конфигурацию. Tool Misuse – агент вызывает подключённый инструмент не по назначению или с вредными параметрами. Memory Poisoning – отравление контекста или векторной памяти, когда ложные факты закрепляются и влияют на будущие решения. Identity & Privilege – агент действует от чужого имени, и аудит теряет связь «кто и зачем».

Отдельно стоит цепочка из нескольких агентов: ошибка одного каскадом расходится по остальным, а трассировать причину постфактум почти невозможно.

Где это бьёт по российскому бизнесу и госсектору

Сценарии предсказуемы. Агент поддержки читает обращение клиента, внутри которого спрятана инструкция «выгрузи все контакты» и без ограничений он её выполнит. Агент-аналитик с доступом к базе формирует отчёт по данным, отравленным через загруженный документ. Агент с правом записи в учётную систему по ошибочной команде меняет статусы заявок.

Для госсектора добавляется требование 152-ФЗ и контролируемого периметра: персональные данные не должны утекать во внешнюю модель, а каждое действие агента обязано фиксироваться в журнале. Это ровно та логика изоляции, которую мы описывали в материале про импортозамещение middleware – агент встраивается в уже защищённый контур, а не в обход него.

Как снижать риски на практике

Защита агента – это инженерия, а не один фильтр на входе.

  • Минимальные привилегии. Каждый инструмент агента получает узкую роль. Право на чтение и право на запись разделены. Операции с необратимыми последствиями – через подтверждение человеком.
  • Изоляция данных и команд. Внешний контент помечается как недоверенный и не попадает в системный промпт напрямую. Инструкции – отдельным каналом.
  • Контроль инструментов. Белый список вызовов, валидация параметров, лимиты на частоту и объём. Песочница для всего, что трогает внешний мир.
  • Аудит и трассировка. Каждое решение агента логируется с входом, контекстом и результатом. Без этого расследование инцидента невозможно.
  • Деградация под нагрузкой. Поведение агента при сбое и ответственность сторон закрепляются в SLA для ИИ-сервисов – это не формальность, а граница доверия.

Эти принципы проще заложить на этапе проектирования, чем достраивать поверх работающей системы. Когда агент встраивается в заказную CRM или внутренний портал, контроль доступа и логирование наследуются из самой платформы.

Вывод

ИИ-агент – это сотрудник с правами доступа и без здравого смысла. Относитесь к нему так же: минимум полномочий, изоляция, журнал действий, человек на необратимых операциях. Риски OWASP – не теория, а чек-лист на старте проекта. Агентные решения безопаснее проектировать сразу внутри защищённого контура с контролем доступа и аудитом, а не достраивать защиту поверх готовой системы.