Только 47% CISO уверены, что могут найти всех AI-агентов в своей инфраструктуре, и это уже не футурология, а рабочая боль IAM-команд. Безопасность AI-агентов быстро превращается в вопрос контроля идентичностей: кто действует от имени компании, к каким данным ходит и кто вообще разрешил ему это делать.
О проблеме сообщает The Hacker News со ссылкой на Global CISO Insights 2026 от Okta и анонс вебинара с Мэттом Иммлером, региональным CSO Okta. Главная мысль простая и неприятная: AI-агенты уже подключаются к приложениям, обрабатывают данные, вызывают API и выполняют действия в бизнес-системах, но часто живут по правилам старых сервисных аккаунтов. Для людей у компании есть MFA, роли, ревью доступа и увольнительный чек-лист. Для агента, который дергает CRM, таск-трекер и внутренний API, нередко есть только токен с широкими правами и чья-то смутная память в Slack.
Даже видимость не решает задачу целиком. По данным Okta, среди руководителей безопасности, которые уверены, что могут обнаружить AI-агентов, около 80% всё равно опасаются, что избыточные права остаются без нормального пересмотра. Это важная разница: найти агента в окружении и понять, что ему действительно можно делать, — разные уровни зрелости. Первый уровень отвечает на вопрос «он существует?». Второй — «почему у него есть доступ к продакшен-данным, кто владелец и когда это последний раз проверяли?»
Пока большинство компаний пытаются натянуть на AI-агентов старую модель сервисных учеток. В исследовании говорится, что только четверть организаций использует специализированный фреймворк для защиты AI-агентов. Еще 21% полагается на общие учетные данные или сервисные аккаунты с широкими правами. Для разработчиков это знакомая картина: сначала нужно быстро собрать интеграцию, потом она внезапно становится частью продакшена, а через полгода никто не хочет трогать ключи, потому что «может сломаться автоматизация продаж».
Проблема в том, что AI-агент не просто хранит секрет или запускает cron-задачу. Он может принимать решения, комбинировать данные из нескольких систем, инициировать действия и делать это с высокой скоростью. Если у такого агента есть лишний доступ, риск растет не линейно. Ошибка в промпте, небезопасная интеграция, подмена входных данных или компрометация токена могут дать атакующему удобный маршрут внутри компании. Особенно неприятно, если права агента никто не ревьюит так же строго, как права сотрудника с доступом к финансовым, клиентским или инженерным системам.
Okta предлагает смотреть на каждого AI-агента как на полноценную идентичность. У него должен быть владелец, назначение, ограниченные разрешения, жизненный цикл и регулярная проверка доступа. Это звучит не так эффектно, как очередной демо-ролик с автономным помощником, зато ближе к реальности эксплуатации. Безопасность AI-агентов упирается не в красивую политику «мы за инновации», а в скучные, но критичные вопросы: кто одобрил подключение, какие системы доступны, зачем нужны эти права, можно ли быстро отозвать доступ и что при этом сломается.
Отдельный пласт — теневой AI. Блокировать всё подряд обычно бесполезно: команды всё равно найдут SaaS-инструмент, расширение, скрипт или агентную обвязку, если это экономит часы ручной работы. Но разрешать всё без инвентаризации еще хуже. Компании нужна процедура обнаружения AI-инструментов, привязка к владельцам, классификация доступа и понятный маршрут легализации. Не «поймали и запретили», а «нашли, оценили риск, ограничили права, включили в общий контур контроля».
Для бизнеса это означает, что внедрение агентных систем нельзя оставлять только продуктовым и инженерным командам. CISO, IAM, compliance и владельцы данных должны появляться в проекте раньше, чем агент получит доступ к реальным клиентским таблицам или внутренним workflow. Для разработчиков — что токены, роли и scopes придется проектировать аккуратнее: минимальные права, отдельные учетные записи, аудит действий, понятная ротация секретов и возможность отключить агента без каскадного падения сервисов.
На рынке уже видно смещение акцента: AI-губернанс перестает быть разговором про этику презентаций и становится частью практической security architecture. Следующий конфликт в компаниях будет не о том, можно ли использовать AI-агентов, а о том, кто отвечает за их действия, как быстро можно урезать им доступ и сколько таких «помощников» уже работает в продакшене без паспорта, владельца и срока годности.
