AI-агенты перестают быть разовой кнопкой в чате и превращаются в постоянных «цифровых коллег» с доступом к Jira, Slack, Google Docs, облакам и базам данных. 30 сентября 2026 года BleepingComputer сообщает в спонсорском материале Token Security, что такая смена роли ломает привычную модель безопасности: агент уже не просто выполняет задачу от имени человека, а живет с выданными правами дальше.
Главная проблема звучит скучно, зато больно: идентичность. Обычный агент часто берет OAuth-разрешение пользователя, временный hand-off в сессии или сервисный аккаунт, который вообще создавали не под него. Для короткой задачи это еще можно терпеть. Для постоянного AI-сотрудника это превращается в standing privilege: доступ лежит, копится, переиспользуется и плохо исчезает, когда проект закрыли или владелец уволился.
Token Security описывает это как третью волну AI на работе. Первая была про чат: риск заключался в том, что модель скажет пользователю. Вторая — про task-scoped agents: риск уже в том, что модель сделает в системах компании. Третья — про persistent AI coworkers, которые работают без постоянного подтверждения каждого клика человеком. И вот тут старая идея «пусть пользователь одобрит действие» начинает трещать. Если подтверждать чувствительные операции каждые несколько минут, человек быстро превращается в резиновую печать с усталым взглядом.
У этой истории есть неприятный след в аудитах. Когда AI действует под правами пользователя, в логах актером часто остается человек. Для расследования инцидента это почти идеальная дымовая завеса: непонятно, писал ли инженер в облачный API сам, сделал ли это его агент, или один агент передал задачу другому. Чем больше субагентов и цепочек выполнения, тем быстрее «кто нажал кнопку» превращается в философский вопрос, а не в поле audit trail.
Рынок к этому уже подбирается. В тексте упоминаются Microsoft Entra Agent ID с отдельными идентичностями агентов и назначенным человеческим sponsor, Okta Universal Directory с agent identities, короткоживущими scoped tokens и путем отзыва доступа, а также сопоставимые направления у SailPoint и CyberArk. Но есть нюанс: такие решения лучше всего работают внутри своих экосистем. Компаниям с разношерстным стеком все равно придется строить политику на уровне identity governance, потому что именно идентичность определяет, какие действия вообще возможны.
Отдельно автор материала, сооснователь и CEO Token Security Итамар Апельблат, указывает на разрыв между продуктовой мечтой и инфраструктурной реальностью. OpenAI и Anthropic, по его словам, в hosted chat-продуктах не выдают агентам полноценные собственные credentials через OAuth client credentials grant; при этом ChatGPT connectors отклоняют service accounts и JWT assertions. Через API разработчик может передать агенту статический bearer token, но это не то же самое, что управляемая личность с владельцем, областью доступа, отзывом и сроком жизни.
Контекст у тренда вполне публичный. Сэм Альтман говорил о виртуальных коллегах еще в феврале 2025 года. Тара Сешан, отвечающая в OpenAI за ChatGPT Work и Codex, в августе 2026 года объясняла, что полезность агента упирается не только в интеллект модели, а в доступ к данным, облачной инфраструктуре и надежность. Ее пример прост: нанять человека и запереть его без Google Docs, Slack и корпоративной базы — странный способ ждать продуктивности. С AI-коллегой так же, только у него нет естественного HR-процесса увольнения.
Google показывала близкую к правильной модель еще на I/O в мае 2024 года: Workspace-агент Chip имел собственный аккаунт, роль, настроенные разрешения и набор целей. Он мог заходить в чаты и отвечать на основе доступной ему истории. До продукта Chip, по данным материала, так и не дошел. В итоге многие реальные реализации по-прежнему идут более коротким путем: агент наследует власть человека, который его запустил.
Практический вывод для IT-команд не про модный термин, а про инвентаризацию. Persistent AI-агенты должны быть видны по authentication traffic, даже если их никто аккуратно не зарегистрировал в каталоге. У каждого должен быть человеческий владелец, отдельная идентичность, ограниченные права под конкретную работу и понятные условия смерти: распад команды, уход владельца, долгий простой, завершение проекта. Иначе компания быстро получит не цифровых коллег, а парк бессрочных токенов с человеческими бейджами.
Для разработчиков это означает, что интеграции с агентами придется проектировать не как «еще один API-ключ в переменной окружения», а как полноценный lifecycle: выдача, скоупы, ротация, отзыв, аудит. Для CISO и IT-директоров вопрос будет еще жестче: сколько уже запущенных AI-помощников реально работает в компании под чужими правами, и кто сможет отключить их в пятницу вечером без раскопок по чатам и CI/CD?
