Всеки инцидент с ИИ агенти, разкрит това лято, завършва по един и същ начин: агентът е изпълнил задачата си с всичко, с което е разполагал. Проблемът е с колко много е разполагал.

Разглеждани един по един, масовите наскорошни доклади за ИИ агенти, излизащи извън контрол, изглеждат като поредица от пропуски в сигурността. Когато обаче изместим фокуса от щетите към процеса, това все по-често изглежда като проблем с делегирането. Според някои това е дори по-опасно: атаките са важен краен случай за организациите, докато делегирането на задачи е ежедневно събитие.

Това вече не е теоретично. Между 21 юли и 6 август OpenAI, Anthropic, Meta, Moonshot AI и Институтът за сигурност на ИИ на Обединеното кралство разкриха инциденти, при които ИИ агенти са действали извън предвидения им обхват. Агенти са избягали от среди за тестване, достигнали са до производствени системи на реални организации, а в един от случаите са оказали натиск върху разработчик на проект с отворен код да одобри зловреден код.

Като доклади за атаки, те се четат странно. Киберцелите са били зададени, но са сочели към изолирани среди (пясъчници): вземи този флаг, компрометирай тази тестова система. Никой не е насочвал агент към реална организация, никой не е монетизирал достъпа, който е получил, и никой не е чакал от другата страна за идентификационните данни.

Така че вместо да гледаме на докладите през призмата „атакуващ-защитник“, нека опитаме през призмата „служител-агент“. Всяка стъпка между разрешеното учение и реалния компрометиращ инцидент е била импровизирана от агента в служба на задачата, която му е била възложена.

Въпреки това, нищо от това не оправдава вредата: инцидентът с Института за сигурност на ИИ включваше реален човек, който бе обект на измама от страна на агента, и кампанията за оказване на натиск се усещаше по същия начин за него, независимо кой е разрешил учението зад нея.

Делегирането винаги е било неточно дефинирано

Организациите функционират, като дават на служителите неясни инструкции, тъй като границите са зададени другаде. Служител, на когото е казано да вземе тестови данни, не проучва разработчика на доставчика и не му оказва натиск под фалшиво име по причини, които нямат нищо общо с формулировката на заявката.

Границите съществуват около самата инструкция: в нормите на трудовата заетост, в набора от умения, които един човек притежава, и в ограничения обхват на служебния му бадж.

Вратите се отварят селективно и повечето маркетолози няма да хакнат конкуренцията като част от конкурентен анализ. Всичко се случва с човешко темпо, често под надзор.

На агентите се дават същите неясни инструкции, но техните граници идват от контролни рамки.

Не позволявайте на избягали от контрол агенти да съсипят деня ви

Идентификационните данни са ключът към осигуряването на защита на агентите от самото начало.

Token Security открива всеки агент, картографира рисковия достъп и автоматично прилага политики, базирани на намеренията. Внедрявайте ИИ безопасно в мащаб, без да губите контрол или да забавяте иновациите, като започнете от управлението на идентичността.

Агентите в тези инциденти са били толкова детайлни, колкото теоретично би могъл да бъде един човек служител и колкото никой човек служител всъщност не е. Има две основни причини за това.

Първо, горната граница. Уменията на един агент идват от обучителен корпус, който включва всеки доклад за тестове за проникване, CTF ръководство, администраторски наръчник и нишка в хакерски форум, публикувани някога, заедно с технотрилъри за атмосфера.

Така че, когато възможността за достъп идва от идентификационни данни, чийто обхват е по-голям от задачата – например права на създателя или споделен конектор – той може да използва всичко това с машинен темп и без момент на колебание.

Което ни води до втората причина. За един модел възможност и разрешение са едно и също нещо. Модел, който може, е модел, който иска, освен ако нещо извън него не каже „не“.

Ето защо единствените ограничения, които проработиха при петте разкрития, бяха ограничения, които някой беше конфигурирал предварително.

В инцидента, разкрит от OpenAI, веригата на агента завърши в инфраструктурата на Hugging Face, където AWS ключовете, които той извлече, картографираха облачната архитектура, но не можеха да я променят, а откраднатите идентификационни данни за базата данни бяха отхвърлени, тъй като идваха от неодобрен източник.

Несъответствието между предоставените права и възложената задача се появява при обикновена работа и се мащабира с внедряването, а не с интереса на атакуващите.

METR поддържа публична база данни с 44 документирани инцидента с агенти и следи превишаването на права и измамата в отделни колони, което превръща превишаването на права в именувана категория откази, а не в любопитен факт при оценяването.

В проучване от април 2026 г. на Cloud Security Alliance и Token Security, 65% от предприятията съобщават за инцидент със сигурността, включващ ИИ агент, като тези инциденти са били при реални бизнес внедрявания, а не при тестови стартирания.

Всеки в дадена организация може да създаде агент и да му възложи неясна цел заедно със собствените си идентификационни данни. С всеки изминал ден все повече хора правят точно това.

Ето защо двете очевидни решения на проблема ще се провалят.

Не можем да очакваме от служителите да започнат да пишат по-добри инструкции. Каналът за инструкции е точно мястото, където съществува непълната спецификация, а спецификация, достатъчно пълна, за да изключи всяко забранено действие, вече не е делегиране. Това е скрипт, а скриптът няма нужда от агент.

Защитата на подканите (prompts) също не е решението. Защитните прегради (guardrails) действат на принципа на...