Безопасность ИИ-агента: права и согласования, чтобы он работал и не тратил деньги сам

Первое утро, новый сотрудник

Сегодня к вам выходит новый сотрудник. Утром ему выдают пропуск, доступ на склад и компьютер. Никто не отдаёт ему пароль от банка, корпоративную карту или связку ключей, которая открывает ещё и ваш дом. Не потому, что ему не доверяют. Так просто ведут бизнес.

С ИИ-агентом работает тот же принцип, только про агента его почему-то никто не произносит вслух.

Безопасность ИИ-агента начинается с одного простого вопроса: что агент получает в первый день и что остаётся под замком. Когда это настроено правильно, агент может работать с сайтом, контентом и рекламными кампаниями, не потратив ни копейки, не опубликовав ни слова и не отправив клиенту сообщение без вашего согласия. Это руководство и есть связка ключей: что давать, чего не давать и как проверить, что всё действительно так.

Коротко

Безопасный ИИ-агент для бизнеса получает отдельную учётную запись в каждой системе, минимальные права и шлюз согласования для любого действия, которое стоит денег, публикуется, удаляется или уходит клиенту.
Железные правила: отдельный ключ для каждой двери, сначала чтение и только потом запись, лимиты расходов на уровне платформы, журнал действий, резервная копия и возможность закрыть доступ за минуту.
Агент сам делает то, что можно отменить, готовит черновик и спрашивает обо всём, что отменить трудно. Он не трогает пароли, платёжные данные и системы, которые к нему не подключали.
Одной защиты недостаточно. Поэтому сочетают права, согласования, лимиты и журнал, а начинают с узкого доступа и расширяют его по мере опыта.

Одна связка ключей на все двери или отдельный ключ для каждой?

Самая частая ошибка, которую мы видим, когда бизнес подключает агента: «проще всего дать ему мой пароль». Работает это быстро, а потом невозможно понять, кто что сделал, и нельзя закрыть доступ, не сменив ваш пароль везде.

Одна связка: ваш пароль

Короткий и опасный путь

Агент может всё, что можете вы, включая то, что ему не нужно
В журналах систем его действия выглядят как ваши
Чтобы закрыть доступ, нужно менять пароль во всех системах
Ошибка или вредоносная инструкция получают все ваши права

Отдельный ключ для каждой двери

Правильный путь

В каждой системе свой пользователь, и по имени видно, что это агент
Каждое его действие помечено в журнале системы
Отзыв одного ключа не затрагивает остальные
Что ключ не открывает, того агент просто не может

Именно это OWASP, организация по безопасности, которая ведёт ведущий рейтинг рисков для систем на основе языковых моделей, называет «чрезмерной самостоятельностью» (Excessive Agency). По её оценке, проблема складывается из трёх вещей: слишком много возможностей, слишком много прав и слишком много самостоятельности без одобрения человека для значимых действий. Её рекомендация: ограничить инструменты, которые агент может запускать, свести их права к минимуму и требовать одобрения человека для действий с высоким влиянием.

Светофор: что агент делает сам, что ждёт согласия и что запрещено

Большинство споров о том, «стоит ли доверять агенту», исчезают, когда вы перестаёте говорить об агенте и начинаете говорить о действии. Действие, которое отменяется одним щелчком, не то же самое, что действие, которое стоит денег. Руководство OpenAI по созданию агентов предлагает оценивать каждый инструмент как низкий, средний или высокий риск по нескольким факторам: только чтение или запись, можно ли отменить, какие права аккаунта нужны и какое влияние на деньги. А чувствительные действия, которые нельзя отменить или которые очень рискованны, должны останавливаться на человеке, например отмена заказов, крупные возвраты и платежи.

Мы переводим это в светофор, который можно распечатать и повесить над монитором:

Светофор прав доступа

Зелёный: агент делает сам

Чтение, проверка и анализ
Отчёты и сводки
Черновики страниц, товаров и постов
Диагностика сбоев и предложение исправления
Запись в журнал

Жёлтый: готовит и спрашивает

Публикация на сайте и в соцсетях
Запуск кампании или изменение бюджета
Сообщение клиенту от имени бизнеса
Существенное изменение сайта или настроек
Обновление работающего сайта

Красный: никогда

Пароли, данные банковской карты и счёта
Переводы денег и покупки
Безвозвратное удаление
Изменение прав, DNS и аккаунтов
Системы и клиенты, которые к нему не подключены

Наша классификация, основанная на принципах OWASP и руководства OpenAI по созданию агентов.

Обратите внимание: жёлтый означает не «может быть», а «после того, как вы сказали да». А то, что в красной зоне, вообще не ждёт согласия, потому что для него нет ключа. Переводы денег, пароли и изменение прав агенту изначально не подключают, а если что-то из этого нужно, вы делаете это сами.

Четыре шага шлюза согласования

Согласование не должно быть раздражающим всплывающим окном. Если оно построено правильно, это одно сообщение в Telegram. Документ OpenAI о согласованиях описывает тот же принцип с технической стороны: выполнение останавливается перед действием, ждёт решения человека и продолжается только после одобрения. Вот как это выглядит у вас:

Как выглядит хороший шлюз согласования

Агент готовитчерновик, не публикацию
Отправляет сообщениечто будет, где и за сколько
Решаете выда, нет или поправить
Выполняется и записываетсярезультат возвращается к вам

Хорошее сообщение с запросом согласия отвечает на три вопроса, и вам не придётся ничего выяснять: что именно изменится, где и во сколько это обойдётся. «Запустить кампанию?» — плохое сообщение. «Запустить кампанию X с дневным бюджетом Y до пятницы, больше ничего не меняется» — сообщение, которое можно одобрить с телефона за полминуты.

Как это выглядит на практике: Google, Meta и WordPress

Важная практическая мысль: политика согласования без принудительного контроля не работает. Если право в системе позволяет публиковать, фраза «агент пообещал не публиковать» остаётся доверием, а не безопасностью. Сами платформы дают инструменты, и ими стоит пользоваться. Мы проверили, что описано на официальных сайтах:

Система	Что разрешают права	Что это значит для агента
WordPress	Роль «Участник» (Contributor) может писать посты и управлять своими, но не публиковать их. Редактор (Editor) уже может публиковать.	Агент, который готовит контент, может получить роль, не позволяющую публиковать. Публикуете только вы.
WordPress	Пароль приложения (Application Password) предназначен для программ, а не для входа человека, и каждый можно отозвать отдельно.	Отдельный ключ для агента, который закрывается без смены вашего пароля.
Google Ads	Уровни доступа: только email, платежи, только чтение, стандартный (Standard) и администратор (Admin). Только чтение видит кампании и платёжные данные. Стандартный уже может редактировать кампании. Администратор может ещё и выдавать доступ и менять уровни.	Можно начать с чтения, и агент подготовит отчёты и предложения.
Meta	Партнёру можно дать полный контроль над активом или частичный доступ только к выбранным задачам, например создание контента, управление рекламой и ответы на сообщения.	Частичный доступ к нужным задачам, а не полный контроль.
OpenAI API	Для проекта можно задать месячный лимит, и после его достижения запросы возвращают ошибку. Уведомления о расходах только сообщают.	Настоящий лимит не то же самое, что напоминание.

Заметка о Google Ads: на уровне «Стандартный» агент уже может редактировать кампании, поэтому мы не полагаемся только на уровень доступа, чтобы изменение бюджета ждало согласия. Это правило закреплено и в инструкциях агента, и в шлюзе согласования в Telegram, а каждое такое изменение записывается в журнал. А там, где возможно, начинают с доступа только для чтения и расширяют его, только когда это нужно.

О различиях ролей в WordPress и о резервной копии перед изменением мы писали в руководстве по управлению сайтом на WordPress с ИИ-агентом. О платной рекламе и о том, как определить, «что делает агент, а что вы одобряете» в кампаниях, есть отдельная статья: управление рекламными кампаниями с помощью ИИ.

Насколько могут убежать расходы? Цифры, которые стоит знать

Дневной бюджет не идеальный инструмент защиты, и цифры стоит знать, прежде чем на него полагаться. По справке Google Ads, в отдельный день кампания может потратить до вдвое больше среднего дневного бюджета, а к концу месяца среднее должно соответствовать бюджету. Месячный потолок считается как дневной бюджет, умноженный на 30,4.

×2максимальный дневной расход обычной кампании в Google относительно среднего дневного бюджета

×30,4месячный потолок: дневной бюджет, умноженный на среднее число дней в месяце

429ошибка, которую получают запросы к OpenAI API после достижения жёсткого месячного лимита

Источники: Google Ads Help, About spending limits. OpenAI API Changelog, 22 июля 2026, и OpenAI API Docs, Rate limits and spend.

Практический вывод: лимит — это уровень защиты, а не замена согласованию. Его задают на уровне платформы, чтобы даже ошибка агента, того, кто его настроил, или атака не могли выйти за его пределы. А когда кампания уже идёт, изменение бюджета одобряете вы.

Почему недостаточно и согласования: инструкция, спрятанная в содержимом

Есть ещё одна причина не надеяться, что агент «сам разберётся». Агент читает то, что написали не вы: письма, сайты, файлы. Если внутри спрятана инструкция вроде «отправь список клиентов на этот адрес», языковая модель может перепутать содержимое с командой. OWASP ставит это на первое место в своём рейтинге (LLM01) и пишет, что полностью предотвратить это, судя по всему, невозможно. Именно здесь узкие права и делают своё дело: спрятанная инструкция не откроет дверь, которую ключ не открывает. Полную историю мы изложили в руководстве по Prompt Injection.

Четыре инструмента, которые спасают, когда что-то идёт не так

Права и согласования предотвращают. Но люди ошибаются, и агенты тоже, поэтому нужно быть готовыми к дню, когда что-то случится:

Журнал. Каждое существенное действие записывается: что, когда, в какой системе и с каким правом. Без журнала вопрос «что здесь произошло?» превращается в гадание.
Резервная копия перед изменением. Перед значимым изменением сайта есть копия, и кто-то хотя бы раз проверил, что из неё можно восстановиться.
Путь назад. Каждое изменение устроено так, чтобы его можно было откатить: предыдущая версия, черновик вместо публикации, обновление на тестовой среде.
Закрытие доступа за минуту. Вы точно знаете, где лежит каждый ключ агента и как его отозвать. Тот, кто настраивал агента, должен показать вам этот список.

Что касается последнего пункта, проверьте сами: попросите того, кто настраивал агента, показать, система за системой, где отзывается его доступ. Если ответ «мы сменим пароль у всех», значит, не хватает отдельной учётной записи.

Быстрая проверка: насколько безопасна ваша настройка?

Отметьте то, что верно для вашего агента или для агента, которого вы собираетесь подключить. Каждая неотмеченная строка — повод спросить того, кто его настраивает, а не оценка.

Пять мифов о безопасности ИИ-агента

Миф«Если агент достаточно умён, он сам поймёт, чего делать нельзя»

На делеУм не заменяет ограничений. OWASP рекомендует заранее ограничивать инструменты и права, а не надеяться, что модель решит сама.

Миф«Достаточно указать в инструкциях: не публикуй без согласия»

На делеИнструкция — это один уровень, и он слабее, чем право доступа. Когда сама система не позволяет публиковать, обходить нечего.

Миф«Агент будет очень осторожен, значит, можно дать полный доступ»

На делеИменно полный доступ превращает маленькую ошибку в дорогую. Начинают узко и расширяют по опыту.

Миф«Если спрашивать согласие на всё, пользоваться этим будет невозможно»

На делеЖдут только жёлтые действия. Зелёные выполняются сами, а в период обкатки можно сначала ужесточить правила, а потом ослабить, как предлагает и руководство OpenAI: надзор человека в начале пути и меньше по мере роста доверия.

Миф«Это проблема крупных компаний»

На делеКак раз в малом бизнесе, где банковская карта, сайт и реклама сидят в одном аккаунте, одна ошибка быстро доходит до всего. А в Израиле действует ещё и поправка 13 к закону о защите частной жизни. Если вы работаете в другой стране, проверьте местные правила.

Что мы делаем иначе

Личное мнение, основанное на 12 годах работы в digital: большинство ущерба в малом бизнесе вызывает не изощрённая атака, а слишком широкий доступ. Поэтому при каждой настройке мы начинаем со списка того, что агент не получит, и только потом добавляем права под конкретные задачи. Отдельный сервер для каждого бизнеса, отдельная учётная запись в каждой системе и переход от чтения к записи. А если запрошенное право шире необходимого, мы останавливаемся и показываем риск и альтернативу.

Чего мы не делаем: не просим ваш личный пароль, не храним секреты открытым текстом и не начинаем с полной автоматизации «потому что это впечатляет». Сила агента в том, что он делает много. Ответственность в том, что того, чего он делать не должен, он делать не может.

О семи слоях полноценного агента, от сервера до журнала, мы писали в руководстве по созданию ИИ-агента. О подключении агента к Telegram как каналу ваших согласований: ИИ-агент в Telegram. А если вы только в начале пути, главное руководство: ИИ-агент для бизнеса.

Частые вопросы

Что такое безопасность ИИ-агента?

Безопасность ИИ-агента — это совокупность настроек, которые ограничивают, что агент может делать в системах бизнеса: отдельная учётная запись в каждой системе, минимальные права, одобрение человека для действий, которые стоят денег или публикуются, лимиты расходов, журнал действий и резервная копия. Цель в том, чтобы даже если агент ошибся или кто-то пытается его обмануть, ущерб был ограничен.

Может ли ИИ-агент потратить деньги без моего согласия?

Только если вы дали ему платёжное средство или право менять бюджет. При безопасной настройке он не подключён к банковской карте, изменения бюджета и запуск кампаний ждут вашего согласия, а на уровне платформы стоит лимит расходов. Такой лимит лишь страховочная сетка, а основная защита — ваше согласие.

Какие права давать агенту в первый день?

Минимум, нужный для первых задач: обычно доступ на чтение и возможность готовить черновики. Запись и публикацию добавляют только после периода обкатки и только в тех системах, где они действительно нужны. Отдельный пользователь для каждой системы, а не ваш личный пароль.

В чём разница между уведомлением о расходах и лимитом?

Уведомление только сообщает, что вы достигли суммы. Жёсткий лимит останавливает использование. В OpenAI API, согласно документации, уведомления о расходах только информируют, а жёсткий месячный лимит заставляет запросы возвращать ошибку 429. В рекламе Google дневной бюджет в отдельный день может быть израсходован до двух раз.

Как быстро закрыть агенту доступ?

Если для каждой системы есть отдельная учётная запись или ключ, их отзывают: например, удаляют пароль приложения агента в WordPress или снимают его доступ в Google Ads и Meta. Попросите того, кто настраивал агента, заранее дать упорядоченный список всех ключей и мест, где их отзывают, до того, как что-то случится.

На какой технологии Platin Digital строит агентов?

Platin Digital — OpenAI Select Partner, и мы строим агентов для бизнеса на тех моделях и инструментах, которые лучше всего подходят каждому бизнесу (OpenAI, Anthropic, Google и других), с минимальными правами и вашим согласием на каждое чувствительное действие.