В корпоративных сетях уже живут ИИ-агенты, о которых ИТ-команды часто узнают последними: без владельца, нормальной идентичности и понятных прав доступа. Cisco называет это новой слепой зоной: безопасность агентного ИИ ломает привычные правила IAM быстрее, чем компании успевают писать политики.
По данным ZDNet, вице-президент Cisco по продуктам идентификации Мэтт Колфилд, отвечающий за Duo Agentic Identity, предупреждает: разработчики уже подключают автономных агентов к production-системам без участия ИТ. Для русскоязычных команд это звучит неприятно знакомо: сначала «быстрый скрипт для автоматизации», потом доступ к CRM, базе клиентов, почте и внутренним API, а затем вопрос от безопасников: кто это вообще запустил?
Проблема не в том, что бизнес экспериментирует с агентным ИИ. Проблема в том, что агенты ведут себя не как обычные пользователи и не как старые сервисные аккаунты. Они могут запрашивать данные, запускать процессы, отправлять сообщения, принимать решения и делать это на машинной скорости. Иногда — без подтверждения человека. Классическая модель идентификации, где сотрудника один раз завели в систему, выдали роли и иногда пересматривают доступы, здесь трещит по швам.
До агентного ИИ инструменты для не-человеческих идентичностей в основном жили вокруг service accounts, API-ключей и других предсказуемых сущностей. У них понятный владелец, относительно стабильный набор действий и не слишком много сюрпризов. Агент же может наследовать контекст, в котором запущен, и вместе с ним получить слишком широкий доступ. В худшем случае он не просто читает данные, а начинает использовать инструменты так, как никто явно не разрешал: выгружает записи, запускает workflow, пишет пользователям или дергает внутренние системы.
Cisco предлагает смотреть на проблему через обновленную логику Zero Trust: не доверять агенту по умолчанию, не давать ему больше прав, чем нужно для конкретной задачи, и постоянно проверять уже выданное доверие. На практике это упирается в три вещи: видеть всех активных агентов, назначать каждому человеческого владельца и контролировать не весь сеанс целиком, а каждое отдельное действие. Для безопасности агентного ИИ это важный сдвиг: вопрос уже не «может ли агент пользоваться этим инструментом», а «может ли он прямо сейчас выполнить именно эту операцию при таких условиях».
Первый слой — инвентаризация. Колфилд говорит, что Cisco регулярно находит «теневых» агентов почти в каждой среде, которую изучает: кто-то из разработчиков поднял агента для одной задачи, подключил к нескольким внутренним системам и пошел дальше. Обычные IAM-системы часто видят только тех, кто сам пришел за проверкой личности. Duo Agentic Identity, по словам Cisco, использует возможности платформы шире: смотрит не только на запросы идентификации, но и на сетевые коммуникации. За счет этого компания обещает находить агента в момент, когда тот начинает работать, а не после очередного ручного аудита.
Второй слой — жизненный цикл. Найти агента мало: если у него нет владельца, он остается ничейной автоматизацией с доступом к бизнес-системам. Cisco предлагает обращаться с агентами как с отдельными объектами идентичности: заводить, привязывать к конкретному человеку, включать в группы политик, мониторить активность и выводить из эксплуатации, когда задача завершена. В Duo Agentic Identity это строится поверх Duo Directory. Заявлена поддержка OAuth 2.1 и Model Context Protocol, чтобы подход не зависел от одного фреймворка или поставщика агентной платформы.
Третий слой — точное применение политик. Самый рискованный сценарий, по оценке Cisco, — переизбыточные права у автономного агента. Для контроля компания использует MCP-шлюз между агентом и инструментами, к которым тот обращается. Шлюз перехватывает запрос, проверяет его через движок авторизации и разрешает или блокирует действие до того, как оно дойдет до целевой системы. Агенту можно разрешить читать карточку клиента, но запретить экспорт. Можно позволить подготовить письмо, но не отправлять его без подтверждения человека. Это уже не грубая роль «доступ к CRM», а политика на уровне отдельного tool call.
Для разработчиков это означает, что эпоха «я просто подключил агента к API на тест» быстро заканчивается. Для CISO и ИТ-директоров — что реестр агентов, владельцы, логи действий и offboarding станут такими же обязательными, как учет сотрудников и сервисных аккаунтов. Для продактов — что скорость экспериментов с ИИ придется совмещать с инженерной дисциплиной: агент, способный экономить часы команде, одновременно может стать новым способом тихо обойти контроль доступа.
Главный вопрос теперь не в том, будут ли компании внедрять автономных агентов: будут, потому что бизнес уже увидел вкус автоматизации end-to-end. Вопрос в другом: кто первым научится управлять этими агентами как полноценными участниками корпоративной инфраструктуры, а кто обнаружит их уже после инцидента, когда «помощник» успел сделать чуть больше, чем от него ожидали.