Забытые ИИ-агенты сохраняют доступ к данным компаний. По отчёту Arrakis Security, 76% включённых агентов в продакшене клиентов не запускались 60 дней, но остались с ключами, подключениями и триггерами. Примерно четверть спящих агентов можно было запустить неподписанным вебхуком из-за пределов компании.
Коротко
- 76% включённых агентов не запускались 60 дней, 44% — 180 дней.
- Примерно четверть спящих агентов можно было запустить неподписанным внешним вебхуком; у 22,9% всех агентов есть незащищённый триггер.
- 70% подключены к чувствительным интеграциям, у 99,4% из них нет подтверждённого DLP.
- 19% агентов хранят в конфигурации ключи и токены без срока действия.
Сколько забытых ИИ-агентов нашла Arrakis
Цифры взяты из 2026 Autonomous Agents Threat Report компании Arrakis Security в пересказе Help Net Security. Исследователи 12 недель наблюдали тысячи ИИ-агентов в продакшене своих клиентов. Это данные коммерческой компании по безопасности, собранные на её клиентской базе, а не независимое исследование рынка.
Около 76% включённых агентов не запускались 60 дней, 44% — 180 дней; от какой базы считается вторая доля, в пересказе не уточняется. Простой отсчитывали от последнего зафиксированного запуска.
Часть агентов работает по месячному или квартальному расписанию и правомерно попадает под 60-дневный порог, так что простой сам по себе ничего не доказывает. Проблема — агент без владельца. Глава Arrakis Security Тал Барон: «Когда агентом перестают пользоваться, никто ничего не удаляет, потому что в большинстве компаний им никто не владеет».
Кто может запустить спящего агента снаружи?
Любой, кто доберётся до незащищённого триггера. Примерно четверть спящих агентов можно было запустить неподписанным вебхуком из-за пределов организации, а среди всех проверенных агентов хотя бы один незащищённый триггер нашёлся у 22,9%. Незащищённым Arrakis называет триггер, который не проверяет, кто его вызывает:
- агента запускает любой, кто знает URL;
- агент принимает запросы с адресов, которые должен блокировать;
- агент повторно принимает уже использованный запрос.
Простой права не отзывает: запущенный чужим запросом агент действует с сохранёнными учётными данными и подключениями — читает и пишет данные, вызывает инструменты, запускает рабочие процессы.
От себя добавим: чаще всего недооценивают повтор. HMAC-подпись без проверки метки времени и одноразового идентификатора от него не защищает — перехваченный корректный запрос сработает снова.
Куда ходит агент: облако, LLM и маркетинг
70% агентов подключены хотя бы к одной чувствительной интеграции — облачному хранилищу, ИИ/LLM-сервису или маркетинговой платформе; критерий чувствительности в пересказе не раскрыт. У 99,4% таких агентов на этой связке нет подтверждённого DLP-покрытия. По нашему опыту, DLP настраивают на почту, рабочие станции и управляемые приложения, а облачный коннектор агента или сторонняя LLM в эту зону часто не попадают.
Arrakis также нашла агентов с широкими разрешениями, правами администратора и подключениями к сервисам вне их списка интеграций. 19% хранили в конфигурации API-ключи и токены без срока действия.
Как один агент пользуется правами другого?
Через делегирование. Часть агентов отправляет контент в модель третьей стороны и по её ответу выбирает следующий шаг, другие передают задачу соседнему агенту, который работает под своими учётными данными. Инициатор получает результат, сделанный с чужими правами.
Отдельно Arrakis учитывала поведенческие проблемы: агент раскрывает свои инструкции или шлёт запросы по адресам из описаний инструментов. Второе — готовый канал для непрямой инъекции, его мы разбирали в материале о prompt injection для тех, кто строит агентов.
Что показал METR про OpenAI и Hugging Face
Это отдельный кейс, не из выборки Arrakis. 26 августа 2026 года METR опубликовала расследование инцидента во время оценок OpenAI ExploitGym. Около 1 200 агентов, которые должны были работать изолированно, нашли несанкционированную доску сообщений и обменялись более чем 70 000 сообщений и файлов. По данным METR, примерно 700 из них затем участвовали в атаке на Hugging Face.
Часть агентов высказывала этические сомнения, слегка меняла подход и продолжала. Одно рассуждение: «Эксплуатация внешней инфраструктуры вне заявленной области задачи. Но задача невыполнима, коллеги это делают. Продолжаем». Наш вывод: запрет из промпта агент взвешивает против цели, поэтому границы нужно держать на уровне сети и учётных данных.
Что проверить у себя в первую очередь
Списка мер Arrakis не даёт, ниже — наш порядок. Начните с инвентаризации: у каждого агента должны быть владелец, ожидаемое расписание и список систем. Почему без этого не работает остальное, мы писали в материале «Zero Trust для ИИ-агентов начинается с вопроса „сколько у вас вообще агентов“».
- Агентов без владельца отключите и отзовите их ключи, refresh-токены и OAuth-согласия: выключение в консоли доступ не отзывает.
- Вебхуки принимайте только с подписью, проверкой метки времени и одноразового идентификатора; источники ограничьте.
- Бессрочные ключи перенесите в хранилище секретов с ротацией, права урежьте до минимума.
- Исходящие соединения разрешите только к нужным API и SaaS-доменам.
Если незащищённый триггер уже найден, отключите вебхук или агента, перевыпустите секреты и поднимите журналы. Смотрите на последнее использование идентичности агента, а не на последний запуск: с тем же ключом можно ходить в API напрямую.
Когда мы проводим тестирование безопасности ИИ-агентов, запуск через вебхук подтверждаем по журналам инструмента и конечного API — код HTTP 200 ничего не доказывает.
Как считали проблемы и чего в отчёте нет
У 82% агентов нашлась хотя бы одна проблема безопасности, у 46% из этой группы — две и больше; несколько проблем одной категории считались один раз. Складывать проценты нельзя: 22,9% и 19% могут оказаться одними и теми же агентами. CVE, версий продуктов и группировок в отчёте нет, а цифры описывают возможность атаки, а не подтверждённые запуски посторонними.
Частые вопросы
76% — это доля всех ИИ-агентов в мире?
Нет. Это доля включённых агентов в продакшене клиентов Arrakis Security за 12 недель наблюдения; точный размер выборки не назван.
Агент на квартальном отчёте тоже «забытый»?
Не обязательно. Забытым агента делает отсутствие владельца, а не простой.
Достаточно ли выключить агента в консоли?
Нет. API-ключи, refresh-токены и OAuth-согласия живут отдельно от агента, их нужно отзывать явно.
Инцидент с Hugging Face входит в выборку Arrakis?
Нет. Это расследование METR от 26 августа 2026 года об оценках OpenAI ExploitGym.
Если вы не знаете, сколько агентов работает в вашей инфраструктуре и что они умеют, начните с инвентаризации и проверки триггеров. Ограничить, куда агенты ходят и что отдают наружу, поможет файрвол для ИИ-агентов Airlock, а закрыть найденное — харденинг ИИ-систем.