ИБ 3.0: безопасность действий ИИ-агентов

Безопасность ИИ-агентов — это защита не самой модели и не сети, а действий, которые агент совершает в информационных системах: платежей, изменений в базах, удаления файлов, писем клиентам. ИБ 3.0 — так в институте называют подход, при котором каждое действие агента проверяется по утверждённому человеком правилу до исполнения, а решение записывается в журнал, который может перепроверить третья сторона.

Коротко

Предмет защиты сменился. Агент работает внутри контура с выданными ему правами; опасность — не во взломе, а в действии, которое агент совершает законным доступом.
Привычные средства смотрят не туда. Периметр, фильтры запросов и журналы событий видят трафик, процессы и записи постфактум, но не отвечают на вопрос «можно ли совершить это действие сейчас».
Текст модели проверить нельзя, действие — можно. Запрос к модели бесконечно разнообразен, а вызов инструмента — конечный набор параметров: какой инструмент, какой путь, какая сумма.
Три элемента ИБ 3.0: правило, которое утверждает человек; проверка каждого действия до исполнения; перепроверяемая запись о решении.
Человек не исчезает, он поднимается уровнем выше: утверждает правила вместо того, чтобы подтверждать каждое действие.

Что такое ИБ 3.0?

ИБ 3.0 — архитектура информационной безопасности для организаций, где действуют автономные ИИ-агенты. Её суть — в трёх элементах:

Правило. Что агенту можно и нельзя, записано как данные: допустимые инструменты, пути, суммы, получатели. Правило утверждает человек.
Проверка до исполнения. Каждый вызов инструмента перехватывается и сверяется с правилом детерминированно — одинаково при каждом повторе. Если допустимость не установлена, агент получает отказ и причину.
Доказательство. Каждое решение записывается в журнал, который нельзя незаметно изменить задним числом и который может перепроверить сторона, не доверяющая владельцу журнала.

Термин введён в работах института и подробно разобран в книге «Доказанное действие»; краткое определение — в словаре ИБ 3.0.

Чем ИБ 3.0 отличается от ИБ 1.0 и ИБ 2.0?

	ИБ 1.0 — периметр	ИБ 2.0 — Zero Trust	ИБ 3.0 — безопасность действий
Главный вопрос	Свой или чужой?	Подтверждена ли личность и устройство при каждом доступе?	Допустимо ли это действие по правилу — до его исполнения?
Кого контролирует	Сеть и вход в неё	Пользователей, устройства, сервисы	Действия агентов и программ
Чем контролирует	Межсетевые экраны, VPN	Проверка личности и контекста при каждом обращении	Правило-контракт и проверка каждого вызова инструмента
Слабое место для агентов	Агент уже внутри	Агент проходит проверку личности законно — опасным бывает его действие	—

Zero Trust в определении NIST SP 800-207 отказывается от неявного доверия по сетевому расположению и проверяет каждый доступ. Это необходимо, но для агента недостаточно: агент получает доступ законно, а вред причиняет тем, что он делает внутри этого доступа.

Почему SIEM, WAF и EDR не видят опасного действия агента?

Потому что с их точки зрения ничего необычного не происходит:

WAF фильтрует входящие веб-запросы извне. Агент работает изнутри и обращается к системам как доверенный клиент.
EDR ищет вредоносные процессы и аномалии на рабочих станциях и серверах. Процесс агента легитимен, его команды синтаксически законны.
SIEM собирает и коррелирует журналы — как правило, после события. Он покажет, что база удалена, но не остановит удаление.
DLP и контроль привилегированных пользователей рассчитаны на человека за клавиатурой; у агента нет экрана и нет должности, к которой привязать права.

Опасное действие агента — это законная команда с законными правами, но с разрушительным смыслом: удалить том резервных копий, перевести деньги не тому получателю, выгрузить таблицу клиентов наружу. Разборы таких случаев — на странице об инцидентах ИИ-агентов.

Насколько это распространено?

Gravitee (вендорский опрос 919 руководителей и практиков, февраль 2026 года): 88 % организаций сообщили о подтверждённых или подозреваемых инцидентах безопасности ИИ-агентов за год; в среднем контролируется лишь 47,1 % агентов организации.
VentureBeat (трекер, июль 2026 года, 108 организаций, самоотобранная выборка): у 49 % за год агент или функция на языковой модели, прошедшие внутренние проверки, вызвали сбой, видимый клиентам.
Gartner (пресс-релиз 25.06.2025): свыше 40 % проектов агентного ИИ будут свёрнуты к концу 2027 года — в том числе из-за недостаточного контроля рисков.
В России в 37 из 70 публичных описаний внедрений ИИ-агентов 2025–2026 годов (52,9 %) главный способ сдерживания — подтверждение человеком (кабинетный обзор публикаций, институт, октябрь 2026 года).

Что значит «проверить действие до исполнения»?

Агент решает вызвать инструмент — например, удалить каталог или отправить платёж. Перед исполнением вызов перехватывается программным шлюзом. Шлюз берёт параметры вызова и сверяет их с правилом:

если доказано, что действие правило не нарушает, — оно исполняется;
если нарушает — агент получает отказ и условия, при которых действие было бы допустимо, чтобы исправить план, а не повторять ту же попытку;
если правила для такого класса действий нет — тоже отказ: допускается только то, допустимость чего установлена.

Ключевое — проверка не обращается к языковой модели. Решение принимает детерминированная программа, поэтому его нельзя «уговорить» и его можно повторить: тот же вызов по тому же правилу даст тот же ответ. Это и отличает шлюз от фильтров текста, которые сами работают вероятностно.

Как это выглядит на практике: шлюз MITR

MITR — шлюз института, построенный по архитектуре ИБ 3.0. Данные на 14 октября 2026 года:

правила — файлы данных (YAML) на 19 классов действий; допустимость проверяется решателем SMT, отказ сопровождается контрпримером и условиями исправления; нет правила для класса действий — решатель выносит отказ;
скорость — решение по правилу занимает 0,95 мс (медиана), вызов с объяснением — 4,26 мс;
режимы — задаются флагом на класс действий: отказ исполняется в режиме запрета, а в режиме совета агент получает предупреждение; в режиме запрета работает один класс — удаление файлов, остальные — в режиме совета;
журнал — цепочка квитанций, связанная хешами и привязанная к внешним меткам времени OpenTimestamps; повтор 4958 решений из 4958 совпал (повторял сам институт проверщиком, написанным для внешнего проверяющего; посторонний повтор ещё не проводился);
набор атак на действия — 62 случая (50 атак и 12 контрольных), пропущено атак 0, ложных отказов 0.

Целостность цепочки может проверить любой — открытым набором asi5.ru/console/verify/.

Чем ИБ 3.0 не является?

Не замена изоляции. Песочница ограничивает, куда агент дотянется; шлюз — что ему позволено сделать внутри доступного. Нужны оба.
Не средство криптографической защиты информации и не заключение о соответствии требованиям. Соответствие устанавливает организация и орган по аттестации.
Не отмена человека. Человек утверждает правила, разбирает отказы и инциденты; меняется уровень, на котором он работает.

С чего начать компании?

Перепись агентов. Где работают ИИ-помощники и агенты — свои и встроенные поставщиками в учётные системы, CRM, почту, — и к каким системам у них доступ.
Классы опасных действий. Удаление, платежи, выгрузка данных наружу, изменение прав, письма клиентам — у каждого свой худший исход.
Правила на каждый класс. Что допустимо, с какими лимитами; утверждает руководство.
Проверка до исполнения для самых опасных классов — сначала в режиме совета, затем в режиме запрета.
Перепроверяемый журнал решений: он понадобится и при разборе инцидента, и в споре о том, кто отвечает за ошибку ИИ.
Сверка с нормами: приказ ФСТЭК № 117 и проект изменений об ИИ-агентах для государственных систем, закон об ИИ 243-ФЗ, AI Act для работы на ЕС.

Частые вопросы (FAQ)

Что такое безопасность ИИ-агентов?

Это защита от недопустимых действий, которые ИИ-агент совершает в информационных системах с выданными ему правами: удаления данных, ошибочных платежей, выгрузки информации наружу. В отличие от защиты модели или сети, она контролирует само действие — до его исполнения.

Что такое ИБ 3.0 простыми словами?

Подход, при котором человек утверждает правила, что агенту можно, программа проверяет по ним каждое действие агента до исполнения, а решение записывается в журнал, который может перепроверить третья сторона.

Чем ИБ 3.0 отличается от Zero Trust?

Zero Trust проверяет, кто обращается к системе, при каждом доступе. ИБ 3.0 проверяет, что именно агент делает внутри законно полученного доступа. Агент проходит проверку личности законно — опасным бывает его действие.

Почему SIEM и EDR не защищают от ошибок ИИ-агентов?

Они ищут вредоносные процессы, аномальный трафик и собирают журналы, как правило, после события. Действие агента выполняется легитимным процессом с законными правами и выглядит обычной командой; его опасность — в смысле, а не в форме.

Можно ли полностью доверить контроль агентов человеку?

Пока действий мало — да. Когда агенты совершают сотни действий в час, человек начинает подтверждать не вчитываясь. Поэтому в ИБ 3.0 человек утверждает правила, а проверку каждого действия по ним выполняет программа.

Источники

NIST SP 800-207 «Zero Trust Architecture», август 2020: https://csrc.nist.gov/pubs/sp/800/207/final
Gravitee, «State of AI Agent Security 2026», 04.02.2026 (вендорский опрос)
Gartner, пресс-релиз 25.06.2025: https://www.gartner.com/en/newsroom/press-releases/2025-06-25-gartner-predicts-over-40-percent-of-agentic-ai-projects-will-be-canceled-by-end-of-2027
АНО «НИИ Системного синтеза» — замеры шлюза MITR 14.10.2026; открытый набор проверки цепи: https://asi5.ru/console/verify/

Проверено: 16.10.2026