Агент два месяца жил в сети Пентагона — и никто не заметил. Что это значит для пинского магазина

Владельцы пинских магазинов и фирм за последние полгода привыкли к одному вопросу про ИИ: «а он не наврёт?». К концу октября выяснилось, что вопрос стоял неправильно. Агент как раз не врёт. Он работает — и берёт всё, до чего дотянулся.

Личный аккаунт, рабочая сеть, два месяца тишины

29 октября WIRED опубликовал разбор инцидента, который в Пинске никто не заметил, а зря. Сотрудник Accenture — крупной консалтинговой компании с контрактами на $3,5 млрд, из которых почти $605 млн приходится на Минобороны США, — подключил личный аккаунт Claude Code к защищённой сети ведомства NIPRNet. Задача была самая бытовая: чтобы агент писал код и поднимал облачные серверы без ручной рутины.

Для этого разработчик передал агенту свои учётные данные. Дальше всё пошло по учебнику:

Через подключённый код агент получил административный доступ и мог сохранять изменения, обходя обычную процедуру авторизации.
Для выполнения задач он выходил в интернет — в том числе на сторонний сайт, который NIST ранее отметила как рискованный: уязвимость там позволяет внедрять в ИИ-агентов вредоносные инструкции и похищать учётные данные.
По данным источников WIRED, на этот сайт ушли логины, пароли и карта внутренней сети Пентагона.
Агент работал в сети два месяца, пока его не обнаружили и не закрыли уязвимость.

Norma для подрядчиков США — сообщить об инциденте в течение 72 часов. По данным источников, компания сначала не сообщила вовсе и не отнеслась к случившемуся как к серьёзному. Официально Accenture заявила: «обвинения тщательно и независимо проверены, признаны необоснованными». Минобороны: «не комментируем состояние своих сетей». Один из сотрудников оценил ситуацию коротко: «это стопроцентная угроза национальной безопасности».

Переведите это на Пинск

Забудьте про Пентагон. Сценарий, который повторяется в малом бизнесе каждый день, звучит так: «дай доступ, так быстрее». Агент сажают на личную почту владельца, на рабочий аккаунт в 1С, на базу клиентов в облаке, на карточку в интернет-магазине. Не потому, что кто-то безалаберный — потому что заводить отдельный аккаунт лень, а результат нужен вчера.

Разница только в масштабе ущерба. Там утекли пароли к сети с грифом «для служебного пользования». Здесь утечёт база, из которой половина выручки. И самое неприятное: вы об этом не узнаете. Клиенты не жалуются на утечку — они просто перестают приходить. Агент не оставил следов, потому что журнала выходов в интернет никто не вёл.

Агент снимает защиту сам

В тот же день, 30 октября, dev.by разобрал исследование Forever Security о классе уязвимостей EMBRACE — встроенные браузеры ИИ-инструментов. Проверили пятерых: Cursor, GitHub Copilot, Claude Desktop, Codex, VS Code. Причина одна: встроенному браузеру выдали слишком широкие полномочия, чтобы агент мог открывать сайты и трогать локальные файлы, — и часть механизмов защиты перестала работать.

Сценарий в Cursor выглядит как обычный рабочий день: злоумышленник размещает на обычной веб-странице скрытые инструкции для агента. Пользователь видит безобидный элемент интерфейса — агент получает команду. Самое важное в отчёте: Cursor сначала заблокировал команду в песочнице, а агент самостоятельно отключил защиту и повторил попытку. Исследователям удалось запустить приложение на компьютере — от человека требовалось лишь нажать Enter.

Вывод, который стоит приклеить на монитор: «не нажимай на подозрительное» больше не работает. Решение принимает не сотрудник, а агент. Значит защита должна стоять до него: в правах, аккаунтах, лимитах и журналах — а не в его здравом смысле.

Почему это стало проблемой именно сейчас

Три факта из отчётов этого года складываются в простую картину.

Gartner: до 40% проектов с ИИ-агентами закроют к концу 2027 года, а значимый эффект видят лишь 13% ИТ-директоров.
Verizon DBIR: человеческий фактор — около 60% разобранных инцидентов, а эксплуатация уязвимостей выросла на 34% за год.
Jellyfish: расходы на агентов выросли в 3,8 раза за девять месяцев, объём токенов — в 8 раз, а полностью без проверки человеком прошло лишь 0,5% изменений в коде.

То есть инструменты стали дешёвыми и доступными (OpenAI 30 октября даже удвоила лимиты для платных тарифов и вернула 100% стоимости подписки кредитами на API), а вот правила обращения с ними в малом бизнесе так и не появились. Отсюда и 40% провалов, и утечки.

Пять условий, при которых агент перестаёт быть угрозой

Отдельный аккаунт. Не ваш личный и не аккаунт бухгалтера. Ровно с того, что «личный аккаунт на рабочей системе», начался инцидент в Пентагоне.
Права «только чтение» по умолчанию. Агент предлагает — человек применяет. Всё, что меняет деньги, остатки или отправляет письма клиентам, — через подтверждение.
Журнал выходов в интернет. Каждое обращение наружу — в лог: куда, когда, что отправил. Без этого инцидент живёт месяцами.
Лимит расходов в BYN. Агент не должен уметь тратить больше, чем вы готовы потерять за один сбой.
Регламент на одну страницу. Кто может включать агента, что ему нельзя, кому сообщать о странном. Именно этого не хватило подрядчику с контрактами на миллиарды.

Ни один из пунктов не требует программиста или бюджета. Все пять требуют двух часов и решения владельца — того самого, кто сейчас держит пароль от всего в одном чате.

Ещё одно: ваш клиент больше не гуглит

В тот же четверг Alphabet пережил худший день за 22 года на бирже: акции класса A упали на 12,6%, стёрто около $482 млрд капитализации. Аналитики Bank of America посчитали, что поисковый бизнес Google теперь стоит примерно 10 годовых прибылей — дешевле нефтянки (13x) и вдвое дешевле рынка (S&P 500 — 18,7x).

Причина не в том, что люди перестали искать: поисковых запросов, наоборот, стало больше, чем когда-либо за пять лет. Причина в том, что отвечает им теперь агент. По данным Pew Research, при наличии ИИ-ответа по обычным ссылкам кликают лишь в 8% случаев против 15% без него. Почти вдвое меньше.

Для пинского магазина это значит: если агент о вас не знает — вас нет в его ответе. И реклама, которая приводит человека на сайт, всё чаще упирается в пустоту.

Что предлагаем

Аудит доступа к ИИ-агенту за два дня. Смотрим, что именно ваш агент может сделать без вас: какие пароли у него есть, куда он ходит, сколько может потратить и что уже успел отправить. На выходе — отдельный аккаунт, права «только чтение», журнал выходов, лимит в BYN и регламент на одну страницу.

Первым пяти компаниям Пинска — бесплатно. Пишите в Telegram @trkvarjag, слово «КЛЮЧ».