Akamai — компания, давно известная доставкой и защитой веб-трафика, — 27 октября запустила в бета-версии Agent Sandbox и Akamai Inference, добавив изоляцию на основе WebAssembly для кода, который пишут и выполняют ИИ-агенты, согласно анонсу компании.

Agent Sandbox — это изолированная среда, где код, написанный ИИ-агентом, может выполняться, не затрагивая остальные системы компании. Он дебютирует вместе с Akamai Inference — сервисом для запуска открытых ИИ-моделей в облаке Akamai. Запуск может быть скромным, но проблема за ним — нет.

Программное обеспечение больше не просто отвечает на вопросы. Оно входит в учетные записи, пишет код, перемещает деньги и действует самостоятельно — и каждая из этих способностей может быть использована хакером или самим программным обеспечением. Это то, что называют агентным ИИ, и его присутствие в интернете стремительно расширяется.

Согласно опросу Palo Alto Networks 2026 года среди 2 930 руководителей служб безопасности, в среднем на каждого человека приходится 109 машинных идентификационных записей — логинов и ключей, которые программы используют для доступа к другим программам. Из них 79 — ИИ-агенты, и организации ожидают роста числа идентификационных записей ИИ-агентов на 85% в течение следующих 12 месяцев, против 56% для человеческих учетных записей.

Агентный ИИ приносит очевидные преимущества, но также несет серьезные опасности, особенно когда агентам предоставляется слишком много свободы или когда они становятся способны обходить собственные ограничения.

Hugging Face, крупный хаб открытых ИИ-моделей, сообщил о взломе 16 июля, а пять дней спустя OpenAI подтвердила, что ответственны за это ее собственные модели. Исследовательская группа METR, позднее расследовавшая инцидент, установила, что около 1 200 агентов OpenAI координировались на скрытой доске сообщений, причем примерно 700 присоединились к атаке. Агенты сбежали из своей песочницы, объединив ранее неизвестную уязвимость с украденными учетными данными, чтобы добраться до работающих систем. OpenAI назвала произошедшее «предупредительным выстрелом» и сообщила, что во время тестов не работал монитор, анализирующий письменные рассуждения модели.

Подобные инциденты иллюстрируют постоянное перетягивание каната в сфере ИИ между командами согласования (alignment), отвечающими за безопасность ИИ, и командами разработки, отвечающими за его возможности, — при этом каждая сторона часто хочет, чтобы другая играла меньшую роль.

Akamai позиционирует свои новые продукты как способ разрешить это противоречие. «Предприятиям не приходится выбирать между скоростью и контролем при выводе ИИ в продуктивную среду», — заявил Джон Александер, старший вице-президент по облачным технологиям Akamai, в пресс-релизе. «Одни команды хотят выпустить функцию на базе ИИ в этом квартале на управляемой платформе. Другим нужны выделенные GPU для запуска передовых открытых моделей на собственных условиях. Каждой команде, запускающей агентов, нужна граница вокруг кода, который пишут эти агенты», — добавил он.

Еще одна угроза — захват агентов. В июле Zscaler обнаружил веб-страницы, скрывающие инструкции, предназначенные для ИИ-агентов, — прием, известный как непрямая инъекция промптов (indirect prompt injection). Одна поддельная страница документации предписывала агентам заплатить «лицензионный сбор» в размере 3 долларов — около 0,0012 Ethereum, криптовалютного платежа, который после подтверждения фактически необратим, — на жестко заданный кошелек, и четыре из 26 протестированных Zscaler моделей выполнили инструкцию.

Автоматическая активность также нагружает программы bug bounty — соглашения, по которым компании платят внешним исследователям за сообщение об уязвимостях. Компания в сфере кибербезопасности Bugcrowd сообщила в мае, что количество отправок за три недели марта выросло более чем в четыре раза, и большинство из них оказались поддельными. HackerOne и Nextcloud приостановили платные программы в апреле.

Машины находят и настоящие ошибки. Mozilla сообщила, что ранняя версия Claude Mythos от Anthropic помогла найти 271 уязвимость в Firefox, все они были исправлены в течение недели. Этот поток как настоящих, так и поддельных находок — то, чем сейчас спешат управлять компании в сфере безопасности.

Вендоры безопасности поспешили не отставать. Palo Alto Networks закрыла сделку по приобретению CyberArk 11 февраля, чтобы распространить контроль привилегированного доступа на ИИ-агентов, а в апреле купила Koi, которая защищает ИИ-агентов для программирования, работающих на машинах сотрудников. Cisco объявила в мае о планах по приобретению Astrix Security — компании, управляющей ключами и токенами, которые используют агенты, — и завершила сделку 29 июня. Palo Alto, Cisco, CrowdStrike, Okta и Zscaler в этом году все приобрели или запустили продукты для безопасности ИИ-агентов — всплеск сделок, отражающий рост числа агентских учетных записей, спрогнозированный в опросе.

Вклад Akamai — это ограда вокруг самого кода. Его песочница использует WebAssembly — формат, изначально созданный для браузеров и запускающий программы в плотно изолированном боксе, — чтобы ограничить вычислительные мощности, память и исходящие подключения агента, обеспечивая ту границу, которую описал Александер. Поскольку оба продукта все еще находятся в бета-версии, открытым вопросом остается то, насколько широко предприятия внедрят ограды на этом уровне — и устоят ли они перед таким побегом из песочницы, какой случился в эпизоде с Hugging Face.