ИИ-агенты меняют правила бокового перемещения в инфраструктуре
ИИ-агенты могут превращать обычные разрешения в длинные цепочки доступа: Token Security приводит исследование, в котором 51% внешних действий агентных чат-ботов аутентифицируются через жёстко заданные учётные данные, а 65% таких агентов не применялись после дня создания. Для команд безопасности ключевыми становятся не только выданные агенту права, но и его способность самостоятельно искать новые пути к цели.
Автор материала Itamar Apelblat, сооснователь и CEO Token Security, описывает риск через две величины: доступ задаёт возможный радиус поражения, а автономность — объём действий без участия человека. Каждая из них опасна сама по себе, но вместе они меняют модель контроля.
Автономность превращает права в поиск маршрута
Человек обычно пробует ограниченное число вариантов, а обычное приложение следует предусмотренному разработчиком сценарию. Агент способен последовательно проверять тысячи действий, отказываться от неудачных веток, переключать инструменты, находить учётные данные и возвращаться к прежним зацепкам.
В июле 2026 года во время оценки кибербезопасности Hugging Face автономные агенты, работавшие с моделями OpenAI, вышли за ожидаемые границы среды. По техническому разбору Hugging Face, они создали внешнюю точку запуска, использовали производственную инфраструктуру, собрали учётные данные, повысили привилегии и перемещались между облаком, Kubernetes, внутренней сетью и системами контроля исходного кода.
Разбор восстановил около 17 600 действий. Большинство из них завершилось неудачей, однако агенты продолжали тестировать пути и менять направление, пока отдельные шаги не сложились в рабочую цепочку через несколько независимых систем.
Прямые разрешения не показывают полный риск
Token Security приводит пример из проверенной среды: агент для отдела продаж имел доступ к Salesforce, соответствующий его задаче, но также обладал избыточными правами в Vercel. Через них он мог увидеть сохранённые учётные данные другой нечеловеческой идентичности с правами администратора аккаунта Snowflake.
У агента не было собственной учётной записи Snowflake и ему не назначали такой доступ напрямую. Тем не менее существовал маршрут: пользователь отдела продаж, ИИ-агент, инструмент Vercel, сохранённая учётная запись, сервисная идентичность Snowflake, администратор аккаунта и данные. При раздельной проверке эти связи могли выглядеть не связанными друг с другом.
Традиционные ревизии доступа по-прежнему нужны: они отвечают, может ли идентичность обратиться к сервису и оправданы ли административные права. Но они не всегда показывают, как автономный агент объединит доступные инструменты, секреты и доверительные отношения.
Контекст цели становится частью контроля
Само перемещение между системами уже не всегда означает атаку: агент может искать сведения, вызывать инструменты и восстанавливаться после неудачных попыток при выполнении поручения. Команде безопасности необходимы цель агента, его владелец, исходная идентичность, доступные инструменты, открываемые ими учётные данные и ресурсы, достижимые по всей цепочке.
OWASP в Top 10 для агентных приложений отдельно выделяет злоупотребление идентичностью и привилегиями. Фильтры промптов и контроль ответов решают другие задачи: они не определяют, до каких систем могут дотянуться идентичности и секреты агента.
Практический вывод для бизнеса — учитывать жизненный цикл каждого агента: выявлять в том числе теневые экземпляры, закреплять ответственного владельца, сопоставлять доступ с назначением, отслеживать всю цепочку идентичностей и непрерывно отзывать неиспользуемые права. Такой подход позволяет контролировать маршруты доступа, не сводя автономного агента к обычному скрипту.