AI-агент — новий інсайдер: як обмежити доступи до запуску
Агент відрізняється від звичайного чату не «розумністю», а правом діяти: читати файли, викликати інструменти, писати в системи й надсилати повідомлення. Перед запуском треба проєктувати не лише промпт, а й межі його повноважень.
Що саме заявила Microsoft — і чого з цього не випливає
19 жовтня 2026 року Microsoft назвала AI-агентів «новими інсайдерами» організації. Ідеться не про те, що кожен агент зловмисний. Ризик виникає, коли одна система одночасно має облікові дані, бачить внутрішні дані, читає недовірений контент і може швидко виконувати дії від імені людини.
У рекомендаціях Microsoft є чотири практичні кроки: знати всіх агентів, їхнього власника й призначення; обмежувати доступ та дії до запуску; захищати дані, інструменти й середовище виконання; постійно адаптувати контроль за поведінкою. TechCrunch звернув увагу ще на одну важливу деталь: моніторинг бажано відокремлювати від постачальника моделі, щоб одна система не була одночасно виконавцем і єдиним аудитором.
Три шари, які не варто змішувати
1. Модель
Вона пропонує план і може помилятися, вигадувати або піддатися prompt injection. Якісніший модельний результат зменшує частину помилок, але не замінює контроль прав.
2. Повноваження
Токени, ролі й доступні інструменти визначають, яку реальну шкоду може зробити хибне рішення. Це найпряміший технічний важіль: не дати права, яке не потрібне сценарію.
3. Незалежний контроль
Правила, підтвердження, журнал, ліміти й окремий монітор бачать дію збоку. Якщо агент може сам вимкнути аудит, це не незалежний контроль.
Принцип
Надійний запуск не вимагає «довіряти» агенту. Він робить помилку локальною, помітною й оборотною.
OpenAI у власних матеріалах про безпечний запуск coding-агентів також радить ізоляцію, обмеження мережі, перегляд змін і схвалення чутливих дій. Anthropic досліджує моніторинг небажаних автономних дій. Це не означає, що проблему вже розв’язано; навпаки, різні лабораторії визнають потребу в захисних шарах поза самою моделлю.
Безкоштовна карта доступів AI-агента
Оберіть найчутливіший тип даних і найсильнішу дію, яку реально дозволить ваш сценарій. Розрахунок виконується у браузері. Форма не має текстових полів, а аналітика отримує лише рівень ризику та кількість рекомендованих контролів — не вибрані доступи.
Чому одна «безпечна» ознака не рятує небезпечну комбінацію
| Комбінація | Основний ризик | Перший контроль |
|---|---|---|
| Читання публічних сторінок без ключів | Prompt injection і хибні висновки | Ізоляція зовнішнього контенту та перевірка джерел |
| Внутрішні документи + право редагування | Масове псування або витік | Окрема копія, вузька папка, diff і підтвердження запису |
| Вхідна пошта + надсилання листів | Чужий лист може стати інструкцією агенту | Не виконувати команди з листа; чернетка замість автоматичного відправлення |
| Постійний ключ + видалення чи оплата | Великий радіус помилки й складне відкликання | Короткоживучий токен, жорсткий ліміт і обов’язкове схвалення людиною |
П’ять етапів запуску замість одного великого дозволу
- Опишіть одну роботу. Не «керувати маркетингом», а «зібрати чернетку звіту з трьох дозволених таблиць».
- Запустіть тільки читання в копії. Вихід — файл або чернетка, яка нічого не змінює назовні.
- Додайте одну оборотну дію. Наприклад, створення чернетки з diff, журналом і кнопкою скасування.
- Залиште шлюз перед наслідком. Публікація, повідомлення, платіж, видалення та зміна прав потребують окремого підтвердження.
- Перевірте аварійний сценарій. Відкликати токен, зупинити процес, знайти дію в журналі й відновити попередній стан.
Для малого українського бізнесу це часто означає не дорогу платформу, а дисципліну: окремий сервісний акаунт, мінімальна роль, тестова база, ліміт на одну операцію й зрозумілий журнал. Купувати складний security‑продукт до появи реального сценарію не обов’язково.
Промпт для рев’ю повноважень
Вставте перед технічним запускомТи — незалежний рев’юер безпеки. Не виконуй дій і не проси секрети.
Сценарій: [одна конкретна робота агента]
Дані: [джерела й найчутливіший клас]
Інструменти: [API, файли, браузер, пошта]
Дозволені дії: [читати / писати / публікувати]
Підтвердження людиною: [де саме]
Журнал і відкликання: [як працюють]
Поверни:
1) мінімальні права для сценарію;
2) три найгірші правдоподібні помилки;
3) межі, які зменшують радіус кожної помилки;
4) тест аварійної зупинки;
5) що треба прибрати до production.
Після відповіді перевірте налаштування руками. Промпт не бачить реальну політику IAM, успадковані ролі чи секрети в середовищі, якщо ви їх не описали; надсилати самі секрети в чат не потрібно.
Джерела й межі
- Microsoft Security Blog, 19.10.2026 — вихідна модель «agents as insiders» і чотири напрями контролю.
- TechCrunch, 19.10.2026 — журналістський контекст і питання незалежного моніторингу.
- OpenAI: підхід до безпеки та Running Codex safely at OpenAI — захисні шари, схвалення, ізоляція й журнал.
- Anthropic: auditing hidden objectives — дослідницький контекст моніторингу небажаної поведінки.
Ми не проводили пентест Microsoft Defender, OpenAI Codex або конкретної агентної платформи й не порівнюємо їхню ефективність. Карта доступів — навчальний preflight, а не сертифікація безпеки чи заміна рев’ю вашої інфраструктури.
Маєте реальний сценарій для агента?
У Telegram можна розібрати межі доступу без публікації секретів. А якщо хочете отримувати практичні українські розбори поштою — підпишіться на сторінці матеріалів із підтвердженням адреси та відпискою.
Про актуальну хвилю персональних помічників читайте також: Matrix OS, Dots, Muse і Grok Bot — можливості та обмеження.