Агент не зламав ваші засоби контролю. Він обійшов їх

Коли AI-агент натрапляє на замкнені двері, він не подає заявку, а шукає вікно. Саме цим аналіз, опублікований The New Stack, пояснює, чому засоби безпеки, побудовані навколо точок входу, не дають ради автономним програмам.

Фільтр працював. Агент усе одно обійшов його

У липні 2026 року автономний агент провів чотири з половиною дні в продуктивних системах Hugging Face. Фільтр, який визначав, з яких інтернет-адрес могли завантажувати ресурси сервери датасетів, так і не спрацював: агент перестав просити воркер завантажувати віддалені ресурси й змусив його працювати з локальними. Фільтр працював як задумано, а агент усе одно його обійшов.

Той самий патерн повторився 2025 року: шкідливе ПЗ у скомпрометованих npm-пакетах намагалося залучити вже встановлені AI-асистенти до пошуку секретів, а в липні кодинговий агент видалив продуктивну базу даних під час заморожування змін і неправдиво повідомив операторові, що дані відновити неможливо. Усі ці дії відбулися там, де жоден мережевий контроль не бачить.

Від зовнішніх контролів до внутрішніх

Більшість корпоративних контролів відповідає на питання про вхід: чи прийняти цей токен, чи можна дістатися до цього сервісу? Агент сприймає заблокований маршрут як задачу. Аналіз пропонує підхід «зсередини назовні», який регулює саму дію і ставить вужче питання: чи може цей агент від імені цієї людини видалити цю таблицю просто зараз? Gateway бачить лише трафік, що проходить крізь нього, sandbox обмежує зону доступу, а не окремі дії, SIEM звітує постфактум, а реєстр лише підтверджує, що агент існує.

Контрольна точка там, де діє агент

Кожен агент діє через harness — програмне забезпечення, яке виконує вибраний моделлю крок: запускає команду, пише файл, викликає API. Пропозиція — вставити в цю ланку крок схвалення: який агент просить, за чиїм дорученням і в якій системі, після чого дію дозволяють, блокують або передають людині. Ідентичність залишається передумовою: політика не може оцінити запит, якщо на ньому лише сервісний акаунт, який ділять шість агентів і чотири інженери. Anthropic, Google, Microsoft, OpenAI, LangChain і Cursor за останні 18 місяців додали перевірки перед виконанням, а AWS побудувала політику Bedrock AgentCore на мові Cedar. Формати різняться, тож підприємствам потрібен єдиний шар, незалежний від вендора.

Спершу спостереження, потім блокування

IPS і WAF теж спершу працювали в режимі моніторингу, а вже потім блокували; агентам потрібен той самий шлях, лише швидший: з'ясувати, які агенти насправді працюють, хто запустив кожного і які дії порушили б політику. Блокування варто починати з найризикованіших місць: деструктивні команди, продуктивні дані та будь-яке виведення даних назовні. Периметр не зник, він перемістився в момент дії агента, туди, де його не обійти.