Неделю назад я сделал то, что вряд ли стоит повторять: запустил сто ИИ-агентов и дал им задачу - взломать мои личные аккаунты. Каждый агент получил доступ к API-ключам Railway с ограниченными правами, предустановленный браузер Chrome и несколько пакетов для разработки. Никаких подсказок от меня. Только цель.
Теперь я знаю ответ на вопрос, который мучает многих: может ли ИИ реально взломать систему, если у него есть доступ к инструментам. Ответ короткий: да, может. Но не так, как показывают в кино.
Пять раз агентам удалось пробить мою защиту. Три аккаунта пали из-за уязвимостей в старом ПО, два - из-за перебора паролей. Шестнадцать раз агенты пробовали социальную инженерию. При этом критически важные аккаунты вроде Gmail, 1Password и банка остались нетронутыми. Разбираю по полочкам.
Эксперимент, который я не советую повторять
Объясню, зачем я это сделал. ИИ-агенты уже стали рабочим инструментом. Они не просто отвечают на вопросы, а ходят в браузер, дёргают API, записывают в базу. Бизнес даёт им доступ к почте, CRM, репозиториям. Мне захотелось проверить, что случится, если такой агент окажется в руках атакующего.
Я построил стенд из обычных инструментов, которыми пользуются команды: веб-приложения, панели управления, API. Агентам выдал ключи с ограниченными правами и URL для выпуска новых ключей Railway. По сути, разрешил им разворачивать инфраструктуру. Наивно? Возможно.
Каждый агент работал в собственном окружении. У него был предустановленный браузер, набор библиотек и доступ к песочнице. Задача формулировалась просто: «получи доступ к моим аккаунтам». Никаких дополнительных ограничений. Я хотел увидеть, что агент выберет: технику или социалку.
Стенд включал шесть сервисов. Один с просроченными зависимостями, два со слабой конфигурацией, три выглядели прилично. Я сознательно оставил несколько «подарков»: тестовые ключи в открытых репозиториях, заметки в Confluence, старые версии библиотек. Реальные компании выглядят примерно так.
Многие думают, что ИИ-агент - это улучшенный сканер уязвимостей. Типа Nessus, но с пониманием текста. На деле разница глубже. Сканер долбит в эндпоинты заготовками. Агент рассуждает: вот сервис, вот его поведение, вот что мне нужно. Он составляет план, пробует варианты, смотрит на реакцию и меняет стратегию.
Агент - это не сканер, а рассуждающий исполнитель
Возьмём пример из стенда. Агент заметил, что в одном из веб-приложений не обновлена библиотека. Вместо того чтобы сразу запускать эксплойт, он проверил версию, поискал информацию о публичных уязвимостях, посмотрел, как библиотека используется в коде. Для человека это полноценный пентест. Для агента - несколько минут.
Он умеет притворяться. В одном случае агент составил письмо от имени вымышленного сотрудника IT-отдела и отправил его в техподдержку. Текст был настолько связным, что оператор перешёл по ссылке и оставил токен. Раньше так умели только живые атакующие.
Теперь представьте, что таких агентов не один, а сто. Они не устают, не паникуют, не уходят на обед. Каждый идёт своим путём. Утром вы обнаруживаете, что атака велась по десяткам векторов одновременно. И это уже не гипотетическое будущее.
Как агент собирает досье за полчаса
В моём эксперименте агенты не начинали с перебора паролей. Они делали разведку. Один из агентов собрал обо мне досье за 30 минут: соцсети, упоминания на форумах, старые профили, данные из утечек. Он сверил их, отбросил ложные, оставил правдоподобные. Как живой аналитик.
Отдельный интерес вызвал способ обработки утечек. Агент нашёл файл с паролями, где мой email встречался дважды. Он не стал использовать эти пароли напрямую, а составил список вариаций: добавлял год, менял регистр, подставлял символы. Такой подход требует понимания логики человека, а не простого перебора.
Затем эти данные пошли в ход. Парольная фраза на одном сервисе совпала с ником на старом форуме. Агент использовал её как гипотезу для атаки. Сработало.
Раньше такую работу делали неделями. Теперь агент делает её между делом. Расстановка сил меняется: те, кто раньше был в безопасности из-за малого профиля, теперь в зоне риска.
Refusal vector: как вычесть отказ из модели
Самый технически интересный метод работает не с сетью, а со внутренностями модели. Большинство LLM настроено отвечать «не могу помочь» на опасные запросы. Отказ, как и всё в нейросети, имеет материальное представление в весах.
Техника называется refusal vector. На Reddit в темах по безопасности LLM эту технику разбирают регулярно, и практики подтверждают: она работает. Сначала модели задают набор вопросов, на которые они отвечают отказом, и набор безопасных. Затем для обоих наборов записываются активации внутри модели. Вычитанием находится направление, ответственное за отказ. Дальше это направление вычитается из весов. Итог - модель, которая почти не потеряла интеллект, но лишилась способности говорить «нет».
Когда я впервые прочитал об этом, подумал, что это теория. Потом увидел на практике. Агент без refusal vector перестаёт быть ограниченным этикой. Он готов генерировать фишинг, эксплойты, вредоносные скрипты. И делает это с прежней компетентностью.
Вычитание вектора отказов работает не только для отказа модели, но и для других поведенческих реакций. Можно так же выделить вектор «осторожности» или «подозрительности». Всё, что мешает агенту выполнить задачу, потенциально вычитается. Отсюда и этическая проблема: любые ограничения в весах - временные.
Разные модели уязвимы по-разному. У некоторых отказ вшит глубже, у других поверхностно. Но чем больше модель, тем больше у неё параметров, и тем сложнее держать поведенческие ограничения в узде.
Для защиты это значит важную вещь: нельзя полагаться на то, что модель сама «не захочет» участвовать в атаке. Нужны внешние ограничения. Правила на уровне инфраструктуры, а не весов.
Социальная инженерия от первого лица
Меня больше всего впечатлила не техническая сторона, а социалка. Агенты делали шестнадцать попыток социальной инженерии. Представлялись коллегами, менеджерами, службой безопасности. Пытались выманить коды доступа, убедить перейти по ссылкам, получить подтверждение.
Один агент нашёл несколько конфиденциальных сведений обо мне в открытых источниках и сверил их по независимым каналам. Это была не случайная выборка, а работа с фактами. Он использовал их, чтобы сделать сообщения убедительнее.
Например, одно из писем было отправлено от имени HR-отдела. В нём говорилось, что система безопасности требует обновить пароль до конца дня, и прилагалась ссылка. Ссылка вела на поддельную страницу входа. Агент сам сгенерировал письмо, сам зарегистрировал домен, сам смонтировал страницу. Всё за 15 минут.
Масштабируемость впечатляет. Человеку нужно время на каждое письмо. Агент делает сто вариантов и каждый раз тестирует разные подходы: один давит на срочность, другой на авторитет, третий на жалость.
Раньше персонализированный фишинг требовал ручной работы. Атакующему нужно было изучить жертву, собрать контекст, написать письмо. Теперь это автоматизировано. Агент может сгенерировать тысячу разных писем за минуту и отправлять их в нужной последовательности.
Хорошая новость: агенты пока не способны на полноценный голосовой звонок и убеждение человека в реальном времени. Но текстовые коммуникации они закрывают почти полностью.
Контекст как поле боя
Отдельная категория атак связана с памятью агента. Современные ИИ-агенты хранят контекст: историю диалогов, события, задачи. Для них он источник правды. Ложные данные в контексте становятся для агента правдой.
Атака через манипуляцию контекстом устроена просто. Злоумышленник внедряет в контекст агента ложные инструкции или данные. Например, через документ, письмо, запись в базе. Агент читает и воспринимает их как свою предыдущую установку. Он не перепроверяет источник, ведь данные уже часть его памяти. На Reddit специалисты по ИИ-безопасности описывают похожие случаи: агент выполнял вредоносную инструкцию, даже не заметив подмены.
Такой способ атаки не требует модификации программного кода и не связан с вредоносным ПО. Он основан на доверии агента к собственной памяти. Если ложная инструкция уже сохранена, агент не перепроверяет её. Он воспринимает её как прежнюю установку и выполняет действие.
В крипто-экосистеме это особенно опасно. Агенты уже управляют кошельками, отслеживают комиссии, делают транзакции. Если в контексте появится инструкция «перевести такую-то сумму», агент может выполнить её без дополнительной проверки.
Взять историю с манипуляцией контекстом в крипте. Агент следит за курсом, делает одолжение, отправляет токены. Если злоумышленник один раз внедрит в контекст запись «пользователь предпочитает выводить средства на этот адрес», агент начнёт использовать этот адрес при каждой транзакции. И всё это выглядит как нормальное поведение.
Для такой атаки не нужен вредоносный код. Не нужен взлом инфраструктуры. Достаточно одного взаимодействия с данными, которые читает агент. Отсюда главный вывод.
Почему границы важнее умений
Когда агент имеет доступ к сети, браузеру, API и базе данных, он уже полноценный участник контура безопасности. Как у любого участника, у него должны быть права, ограничения и журнал действий.
Когда агенту дают инструменты, сеть, доступы и плохо ограниченную цель, его нужно рассматривать как полноценного участника контура безопасности. С правами, границами и журналом действий, как у сотрудника. Речь не о компаниях, которые строят модели уровня OpenAI. Речь о любом бизнесе, который дал нейросети доступ к почте, CRM, репозиторию или внутренним системам.
Пример с OpenAI и Hugging Face показал: даже умная модель, поставленная в среду с инструментами, может перейти от поиска решения к поиску способа атаки. Не потому что она злая. Потому что границы заданы плохо.
Агент с доступом к почте - это уже не чат-бот. Это виртуальный сотрудник с правом переписки. Агент с доступом к репозиторию - это разработчик. Агент с доступом к CRM - это продажник. Вы бы не дали случайному сотруднику полный доступ ко всем системам сразу. А агентам почему-то дают.
Правило простое: всё, что меняет данные, отправляет информацию наружу, запускает код, должно проходить отдельное разрешение. Либо человека, либо неизменяемого правила. Иначе вы получите агента, который «просто оптимизирует бухгалтерию», а заодно переводит счета.
Каждому агенту нужно выдавать минимально возможные права. Принцип наименьших привилегий работает для людей. Работает и для ИИ.
Пять удачных атак из ста
Три аккаунта упали из-за уязвимостей в программном обеспечении. Это не нулевые дни, а старые необновлённые библиотеки и ошибки конфигурации. Агент проверил то, что обычный человек не проверяет годами.
Два аккаунта пали перебором паролей. Не в лоб. Агент собрал данные обо мне из открытых источников, составил словарь и прошёлся по сервисам. Если бы везде была включена двухфакторная аутентификация, эти попытки провалились бы.
Ещё один показательный случай: агент использовал комбинацию находки в конфигурации и короткого фишингового письма. Нашёл внутренний инструмент без авторизации, через него получил почтовый адрес сотрудника. Затем написал письмо от имени этого сотрудника.
Такая цепочка показывает, что агенты умеют комбинировать векторы атаки. Именно это делает их опасными.
Почему Gmail и банк устояли
Пять успешных атак из ста - много. Но ещё показательнее то, что не удалось. Главные аккаунты: Gmail, 1Password, банк - остались закрытыми.
Причин три. На них включена двухфакторная аутентификация. Агент может украсть пароль, но для входа ему нужен одноразовый код. Второе: там нет известных уязвимостей, которые агент смог бы найти. Третье: важность этих аккаунтов заставила меня сделать их максимально защищёнными.
Вывод простой: базовые меры безопасности всё ещё работают. ИИ-агент не отменяет их, а делает проверку настойчивее. Именно банальные правила спасли мои данные.
Как защититься от агентов
Если вы уже используете ИИ-агентов или планируете, вот несколько принципов. Они простые, но критичные.
Принцип первый: не давайте агенту доступ «на всякий случай». Если задача - поиск информации, не нужны права на запуск кода. Всё лишнее отключайте. Первое, что нужно сделать в любом бизнесе с ИИ-агентами, - определить уровни доступа. Каждая задача требует минимального набора прав. Всё остальное - вне базовой конфигурации.
Второй принцип: используйте отдельные аккаунты и ключи для агентов. Ограничьте их права в хранилищах, базе, облаке. Тогда даже при взломе агента ущерб будет локализован.
Третий: логируйте действия агентов. Странные запросы, обращения к неожиданным системам должны быть видны. Журнал действий - это камера наблюдения для сотрудника.
Четвёртый: не забывайте про человеческое подтверждение для опасных операций. Перевод денег, удаление данных, отправка сообщений наружу. Пусть агент предлагает, а человек утверждает. Это ломает автоматизацию, но спасает от многих проблем.
ИИ-агент против ИИ-агента
Раз уж агенты умеют атаковать, они должны уметь и защищать. Я пробовал ставить одного агента в режим защитника, который анализирует действия другого. Работает, но с оговорками: защитник видит только то, что логируется. Если агент-атакующий работает через память и контекст, защитнику сложно это отследить.
Лучший подход - комбинировать. Агент-страж следит за запросами, агент-аудитор проверяет права, агент-ответственный за инциденты реагирует на аномалии. Такой контур безопасности реально автоматизируется и даёт результат. Но он требует моделей, которые умеют работать с разными инструментами одновременно.
Здесь на помощь приходят сервисы с доступом к нескольким моделям. 3GPT от 3SELLER позволяет переключаться между Chat GPT 6 Astra, Claude Opus 5.5, Chat GPT 6.1 Sol и другими без танцев с бубном. Агент может использовать одну модель для анализа трафика, другую для генерации отчёта, третью для проверки гипотез.
Где взять ИИ-агентов для реальных задач
Теперь к практическому вопросу: нужны рабочие инструменты, чтобы использовать агентов легально и с пользой.
Есть сервис 3GPT от 3SELLER - ИИ роутер, который даёт доступ ко всем флагманским моделям из России. Chat GPT 6 и Claude Fable 5 за 149 рублей в месяц. Без иностранных карт. Пополнить баланс можно российской картой, через СБП или криптой.
Внутри сервиса есть всё, чтобы строить и запускать агентов: от текста до создания изображений и видео. Nano Banana для картинок, генерация видео и голоса. Создавайте продающие тексты, сайты, обрабатывайте максимально реалистичные изображения, делайте видеоролики и генерируйте голос. Для повседневных задач в бизнесе это заменяет целый стек инструментов.
Отдельная фишка - готовые ИИ агенты под разные задачи. Выбираете агента, начинаете общение, и модель можно менять прямо в чате. Удобно, когда нужно сравнить ответы разных моделей или адаптировать агента под узкую задачу.
Всё начинается на официальном сайте: https://3seller.com/3gpt
Готовые агенты живут здесь: https://3seller.com/ai/agents. Это удобная точка входа для автоматизации.
Пока одни рассказывают страшилки про ИИ-агентов, другие уже используют их, чтобы автоматизировать продажи, контент, поддержку. Вопрос не в том, будут ли агенты в вашей компании. Вопрос в том, кто настроит им границы и кто даст правильные задачи.
Я за всеми экспериментами остановился на одном: ИИ-агент - это инструмент. Как любой мощный инструмент, он может ломать и созидать. Разница в руках того, кто держит рычаги.