Как рассказал Александр Кельчин, занимающий должность CTO и CISO в Medici Lab, однажды он уронил демостенд заказчика из-за того, что ИИ-агент решил самостоятельно перезапустить базу данных, посчитав её помехой в работе, и не стал проверять результат. Подобные инциденты наглядно показывают изнанку внедрения автономных систем в инфраструктуру компаний.
Сколько стоит бизнесу ошибка автономного агента, случайно перезапустившего продакшн? Ответ кроется в балансе между суточной экономией времени инженеров и рисками разрушения контура. Автономные агенты в информационной безопасности экономят дни рутинной работы, но создают неприемлемые риски простоя из-за бесконтрольных деструктивных действий. Где проходит грань между полезной автономией ИИ-агента и угрозой для стабильности производственной инфраструктуры клиента? С появлением Model Context Protocol серверов для инструментов вроде Burp Suite и программ вроде Trusted Access for Cyber от OpenAI этот вопрос перестал быть теоретическим.
От сканеров к MCP-серверам
Автоматизированный пентест старше больших языковых моделей и агентского пентеста примерно на двадцать лет. Первыми решениями класса CPT или CTEM были инструменты вроде XSpider, а в мире автоматизацию выстраивали вокруг Metasploit. Долгое время это сводилось к управлению поверхностью атаки и сопоставлению периметра с базами уязвимостей. Первая волна больших языковых моделей принесла лишь суммаризацию данных для дашбордов руководителей.
Агент через MCP закрыл эту разницу, позволив эффективно работать с огромными массивами данных без ручного перекладывания файлов.
Ситуация изменилась с появлением у моделей исполнительных инструментов через стандартизированные протоколы. Ранее инженерам приходилось писать собственные обёртки для передачи состояний, тогда как современные решения интегрируются напрямую в рабочий контур.
Реальная экономия и слепые зоны
Главная польза агентов заключается в обработке объёмов сетевого трафика, который человек анализировать не станет. Скармливание агенту данных ARP, DNS и SSL-сертификатов позволяет быстро получать читаемые выводы вместо рутинного просмотра одинаковых символов. Специализированные модели для кибербезопасности хорошо справляются с сигнатурным анализом кода, особенно когда инженеры настраивают обвязку самостоятельно.
Они отлично умеют понимать, уязвимость это или нет, но найти её с нуля оказались не очень эффективными.
Проблема заключается в том, что базовые модели общего назначения не предназначены для поиска уязвимостей с нуля. Коммерческие решения опираются на специализированные валидаторы и инструменты вроде headless-браузеров для проверки полезной нагрузки. Однако разработчики моделей не имеют доступа к реальным данным внутренней инфраструктуры из-за соглашений о неразглашении, что ограничивает возможности обучения систем по сравнению с человеческим опытом.
Что за этим стоит
Риск внезапного падения боевой инфраструктуры перевешивает выгоду от скорости, когда автономный инструмент получает прямой доступ к исполнению команд. Инженеры пытаются закрыть рутину вроде разбора сетевого трафика и сигнатурного анализа, но базовая модель без жестких ограничений способна посчитать рабочую базу данных помехой. Специфика закрытых корпоративных контуров и соглашения о неразглашении лишают разработчиков возможности обучить систему на реальных боевых инцидентах. Двадцать лет эволюции автоматизации пентеста уперлись в простой барьер: языковая модель без доступа к реальным закрытым инфраструктурам все еще способна уронить рабочий контур одним бесконтрольным действием.