WIRED сообщил, что подрядчик оборонного ведомства предоставил персональному ИИ-агенту доступ к защищённой системе Пентагона. Деталь, важная для инженерных команд, — не поставщик и не модель, а модель доступа: агент, действующий от имени пользователя, унаследовал доступ пользователя к инфраструктуре, к которой у него не было причин обращаться. Персональные агенты обычно разворачиваются как расширения идентичности, а значит, каждое разрешение, выданное человеку, становится доступно процессу.
Этот инцидент перекликается с доводом MIT Technology Review о том, что действия агентов требуют мониторинга в реальном времени, и с позицией SentinelOne о том, что традиционное обнаружение на конечных точках действует вслепую в отношении ИИ-агентов. Оба указывают на один и тот же пробел. Инструменты для конечных точек наблюдают за процессами и бинарными файлами; они не атрибутируют надёжно последовательность вызовов API агенту, действующему по делегированной цели. Без такой атрибуции мониторинг видит авторизованный трафик и почти не имеет оснований помечать намерение.
NIST предложил меры защиты идентичности и управления доступом для агентов в ответ на этот класс рисков. Практическое направление — ограничивать учётные данные системами и задачами, а не пользователями: краткоживущие токены, разрешения на уровне отдельных инструментов, явные границы ресурсов и журнал аудита, фиксирующий, какой агент, в рамках какого делегирования и что вызвал. Из публикации остаётся неясным, какая именно система была затронута, как долго длился доступ и зафиксировал ли какой-либо мониторинг эту активность. Эти пробелы стоит отслеживать, поскольку они определяют, была ли это ошибка конфигурации или ошибка обнаружения.