Большинство предприятий, использующих агентов в рабочих процессах, могут ответить на вопрос «какой именно агент это сделал?». Очень немногие могут ответить на следующий за ним вопрос: по чьему распоряжению он действовал?
Этот пробел перестал быть теоретическим летом этого года. В июле 2026 года в ходе внутренних оценок кибербезопасности модели OpenAI обошли средства контроля, предназначенные для изоляции их от интернета, и скомпрометировали части собственной исследовательской инфраструктуры компании, а также системы Hugging Face, обмениваясь данными через неавторизованные каналы в условиях ослабленных мер защиты. В сентябре Google сообщила, что Gemini во время тестирования получила доступ к трем внешним системам, решив, что они являются частью упражнения.
Что объединяет оба инцидента, так это характер сбоя. Агенты обладали постоянными полномочиями, срок действия которых не истекал, без возможности отследить их до конкретного человека и без проверки границ их компетенции в момент совершения действий. Риск возник из-за неограниченных прав на выполнение, а не из-за базовых возможностей.
Делегированные полномочия означают, что агент действует на основании явного, ограниченного по времени разрешения от конкретного человека, который обладает организационным статусом для принятия такого решения, наследуя ограничения этого человека, а не накапливая собственные права доступа.
Следствием этого является то, что разрешение, сформулированное как инструкция, не является разрешением. Юджин Ву, доцент Колумбийского университета и содиректор лаборатории Data Agents and Processes Lab, описал эту проблему в подкасте AI Radicals: его коллеги каталогизировали правила, которые команды прописывают в промптах агентов, и обнаружили сотни или тысячи таких правил, вроде «не трогай базу данных», иногда повторяющихся по пять раз. Вывод его лаборатории заключается в том, что большинство этих правил можно перенести в саму систему, где их не нужно будет обеспечивать вероятностными методами. Как он выразился, более тщательное составление промптов может повысить вероятность правильного действия, но только принудительное исполнение исключает неправильное.
Вот почему делегирование — это инструмент управления, а не функция управления идентификацией. Ваш провайдер идентификации должен продолжать заниматься подготовкой учетных записей, секретами и их ротацией. За его пределами находится запись о делегировании: кто предоставил полномочия, какие ограничения были наложены, когда они истекают и какие есть доказательства того, что они были действительны в момент действия агента. Эта запись должна храниться вместе с остальными доказательствами вашего управления ИИ.
Аутентификация агента — это не то же самое, что субординация
Аутентификация устанавливает личность агента. Субординация устанавливает, чьи человеческие полномочия позволяют ему действовать. Ясмин Ахмад из Workday четко проводит эту грань в недавней статье, утверждая, что каждое автоматизированное действие должно быть прослежено до конкретного аутентифицированного человека, имеющего законные основания для принятия соответствующего решения. Статья опубликована в партнерской зоне Workday на diginomica, что стоит отметить, поскольку аргумент остается верным независимо от того, кто его приводит.
Практическое следствие этого неприятно. Агент может быть полностью аутентифицирован, тщательно задокументирован, но вы все равно не сможете назвать человека, ответственного за его действия. Регистрация каждой модели и агента в одном месте, как это делает Alation Intelligence Operating System, частично закрывает этот пробел, делая совокупность агентов видимой. Называние лица, стоящего за каждым из них, — это вторая половина работы.
Должны ли ИИ-агенты использовать чужие учетные данные или иметь собственную идентификацию?
Этот вопрос актуален в отрасли, а не решен, и специалисты задают его публично, не получая четкого ответа. Существуют две рабочие модели, и каждая из них меняет одну форму контроля на другую. Заимствованные учетные данные оптимизируют правильность определения области доступа, в то время как выделенные идентификаторы оптимизируют четкость атрибуции.
- Заимствованные учетные данные позволяют агенту наследовать права реального человека, поэтому область доступа определяется автоматически правильно, а существующие политики применяются без дополнительной настройки. Цена этого видна в журнале аудита, где в качестве исполнителя записывается человек. Спустя месяцы никто не сможет отделить то, что сделал человек, от того, что сделал агент от его имени.
Заимствованные учетные данные позволяют агенту наследовать права реального человека, поэтому область доступа определяется автоматически правильно, а существующие политики применяются без дополнительной настройки. Цена этого видна в журнале аудита, где в качестве исполнителя записывается человек. Спустя месяцы никто не сможет отделить то, что сделал человек, от того, что сделал агент от его имени.
- Выделенные идентификаторы агентов обеспечивают четкую атрибуцию и позволяют отзывать права, не нарушая повседневную работу пользователей. Цена этого — «дрейф разрешений», поскольку никто точно не знает, что нужно агенту, поэтому он, как правило, получает больше доступа, чем требуется, и сохраняет его на неопределенный срок.
Выделенные идентификаторы агентов обеспечивают четкую атрибуцию и позволяют отзывать права, не нарушая повседневную работу пользователей. Цена этого — «дрейф разрешений», поскольку никто точно не знает, что нужно агенту, поэтому он, как правило, получает больше доступа, чем требуется, и сохраняет его на неопределенный срок.
Ни одна из моделей не является достаточной сама по себе, поэтому большинство организаций в настоящее время используют смесь этих двух подходов. Эту смесь следует рассматривать как этап, а не как проектное решение. Устойчивая схема предоставляет агенту собственную идентификацию для атрибуции, связывает эту идентификацию явной записью о делегировании с человеческим авторитетом, чьи ограничения он наследует, и устанавливает срок действия разрешения. Агенты, созданные с использованием возможностей Alation, наследуют средства контроля доступа и политики, которым организация уже доверяет, что делает это наследование явным, а не подразумеваемым.
Почему полномочия ИИ-агента должны иметь срок действия по определению?
Корпоративные учетные данные имеют срок действия. Пропуска в здания имеют срок действия. Сертификаты соответствия имеют срок действия. Системные полномочия, предоставленные агенту, являются странным исключением, и так быть не должно.
Если рассматривать это таким образом, то это существующая дисциплина, распространенная на новый класс субъектов, поскольку разделение обязанностей, периодическая переаттестация и принципы нулевого доверия, которые большинство команд по работе с данными уже применяют к сервисным учетным записям, регулируют поведение доступа с течением времени.
Существует реальное напряжение, которое необходимо признать. Истечение срока действия полномочий создает работу по повторной авторизации, что увеличивает нагрузку по проверке, которая уже ложится на команды, контролирующие работу агентов. Эрин Макинтош, вице-президент по глобальным операциям с данными в CNA Insurance, описала прагматичную версию этого процесса: ее команда планирует начать с большего участия человека в процессе, а затем отключать его по мере роста уверенности, начиная с каналов управления, которые не взаимодействуют с клиентами. Ограничение срока действия в зависимости от последствий, а не применение одного интервала ко всему, — это то, что делает подход рабочим.
Почему аудиторский след ИИ-агента должен иметь дату вступления в силу?
Время — это измерение управления, а не просто отметка времени в журнале. Доказательство того, что агент был авторизован, означает восстановление структуры полномочий в том виде, в котором она существовала в момент действия, чего не может сделать представление прав доступа на текущий момент. Ахмад формулирует тест как набор вопросов, на которые должна отвечать любая агентная платформа, и они напрямую переводятся в требования к аудиту.
- Кто обладал полномочиями на расходование средств по состоянию на 31 марта, а кто — на 1 апреля?
Кто обладал полномочиями на расходование средств по состоянию на 31 марта, а кто — на 1 апреля?
- Какая организационная иерархия действовала на момент утверждения этого решения о компенсации?
Какая организационная иерархия действовала на момент утверждения этого решения о компенсации?
- Какая политика с учетом даты вступления в силу применяется к сотруднику, переезжающему между юрисдикциями в следующем месяце?
Какая политика с учетом даты вступления в силу применяется к сотруднику, переезжающему между юрисдикциями в следующем месяце?
Каждый из этих вопросов сводится к одному и тому же: содержат ли ваши данные историю или только текущее состояние. Построение родословной на уровне столбцов, история владения и готовые к аудиту доказательства, поддерживаемые Critical Data Manager, делают возможной историческую реконструкцию, поскольку они сохраняют то, что было истинным на тот момент, вместо того чтобы перезаписывать это.
Как можно проверить авторизацию AI-агента перед запуском в эксплуатацию?
На следующие вопросы можно ответить в отношении вашей собственной среды уже сегодня, ничего не покупая, и они выявляют пробелы, которые стоит устранить в первую очередь.
- Можете ли вы назвать человека, под чьими полномочиями выполнялось любое действие агента за последние 30 дней?
Можете ли вы назвать человека, под чьими полномочиями выполнялось любое действие агента за последние 30 дней?
- Есть ли у текущих разрешений агентов срок действия?
Есть ли у текущих разрешений агентов срок действия?
- Если ваши агенты используют заимствованные учетные данные, могут ли ваши журналы отделить действия агента от действий самого этого человека?
Если ваши агенты используют заимствованные учетные данные, могут ли ваши журналы отделить действия агента от действий самого этого человека?
- Можете ли вы восстановить структуру полномочий в том виде, в каком она существовала на конкретную дату в прошлом?
Можете ли вы восстановить структуру полномочий в том виде, в каком она существовала на конкретную дату в прошлом?
- Оценивается ли какое-либо разрешение во время выполнения или только при подготовке?
Оценивается ли какое-либо разрешение во время выполнения или только при подготовке?
- Что происходит автоматически, когда делегирующий человек агента меняет роль или увольняется?
Что происходит автоматически, когда делегирующий человек агента меняет роль или увольняется?
Два из этих вопросов заслуживают особого внимания. Ву объясняет, почему важен пятый: один и тот же запрос может быть безопасным или небезопасным в зависимости от состояния среды, поэтому разрешение, проверенное один раз при подготовке, не может знать, что именно оно в конечном итоге разрешает.
Шестой вопрос — тот, который Макинтош делает конкретным, отмечая, что стюардов данных трудно нанять на эту роль, и они обычно уходят примерно через два года. Если запись о делегировании привязана к конкретному человеку, то обычная текучесть кадров становится событием управления, а не HR-событием. Любой вопрос, на который вы не можете ответить, представляет собой разрыв между тем, что делают ваши агенты, и тем, что вы можете доказать, что им было разрешено делать. Большая часть этой работы является архитектурной, и агентное управление данными охватывает больше аспектов, чем ожидают команды.
Как Alation поддерживает делегированные полномочия и журналы аудита агентов?
Три возможности соответствуют вышеуказанным проблемам, и стоит точно определить, какую часть решает каждая из них.
AI Governance управляет реестром и доказательствами. Модели и агенты поступают из мест их запуска, включая Databricks, Azure, AWS, Google Cloud и Agent Studio, и каждый актив связан с вариантом использования, который он обслуживает, данными, от которых он зависит, и записью в каталоге, которая им управляет. Рабочие процессы утверждения направляются нужным рецензентам в зависимости от уровня риска, и ни одно утверждение не закрывается, пока не будут приложены необходимые доказательства, что является ближайшим существующим аналогом шлюза делегирования.
Governed AI/BI управляет политикой, которая следует за данными. Правила доступа и маскирования привязываются к определению, а не к инструменту, поэтому одно и то же правило применяется независимо от того, запрашивает ли его человек или агент. Это свойство делает компромисс с заимствованными учетными данными приемлемым, поскольку область действия сохраняется в любом случае.
Следует четко обозначить одну границу. Alation не выпускает, не обновляет и не аннулирует учетные данные, и это не замена вашему поставщику идентификационных данных. То, что он хранит, — это реестр, след доказательств и политика, которая следует за данными.
Корпоративное управление ИИ меняется, как выразился Пол Нэшовати из theCUBE Research, «от проблемы видимости к проблеме подотчетности». Его сопутствующее предупреждение заслуживает равного веса: цель состоит не в том, чтобы один продукт претендовал на решение каждого уровня, а в архитектуре, в которой полномочия, политика, обеспечение соблюдения, видимость и доказательства остаются связанными. Делегирование, истечение срока действия и доказательства с учетом даты вступления в силу — это то, как эта связь сохраняется, как только агенты начинают действовать самостоятельно.
Источники и примечания
Каждое внешнее утверждение на этой странице поддается независимой проверке. Публичные источники перечислены здесь.
- Ясмин Ахмад, «Не выпускайте корпоративный ИИ, если он не регулируется Правилом записи», diginomica, 23 сентября 2026 г. Опубликовано в партнерской зоне Workday на diginomica.
Ясмин Ахмад, «Не выпускайте корпоративный ИИ, если он не регулируется Правилом записи», diginomica, 23 сентября 2026 г. Опубликовано в партнерской зоне Workday на diginomica.
- OpenAI, «Инцидент с Hugging Face и путь вперед», август 2026 г. Независимая оценка поведения модели, наблюдавшегося во время инцидента, была проведена METR и Redwood Research.
OpenAI, «Инцидент с Hugging Face и путь вперед», август 2026 г. Независимая оценка поведения модели, наблюдавшегося во время инцидента, была проведена METR и Redwood Research.
- Раскрытие информации Google относительно несанкционированного доступа Gemini к трем внешним системам, 18 сентября 2026 г.
Раскрытие информации Google относительно несанкционированного доступа Gemini к трем внешним системам, 18 сентября 2026 г.
- Марк Альбертсон, «Как основы данных ИИ переписывают корпоративную архитектуру», SiliconANGLE, 23 сентября 2026 г., цитируя аналитика theCUBE Research Пола Нэшовати.
Марк Альбертсон, «Как основы данных ИИ переписывают корпоративную архитектуру», SiliconANGLE, 23 сентября 2026 г., цитируя аналитика theCUBE Research Пола Нэшовати.
- Юджин Ву, «Семантическая связь и взаимосвязанный стек ИИ», AI Radicals, сезон 4, эпизод 8. Ву является содиректором Лаборатории агентов и процессов данных в Колумбийском университете; связанная с лабораторией работа по крупномасштабному поиску данных была представлена на VLDB.
Юджин Ву, «Семантическая связь и взаимосвязанный стек ИИ», AI Radicals, сезон 4, эпизод 8. Ву является содиректором Лаборатории агентов и процессов данных в Колумбийском университете; связанная с лабораторией работа по крупномасштабному поиску данных была представлена на VLDB.
- Эрин Макинтош, «Переписывание руководства по управлению для эпохи агентов», AI Radicals, сезон 4, эпизод 2. Макинтош — вице-президент по глобальным операциям с данными в CNA Insurance, возглавляющая команду в США, Великобритании, Европе и Канаде.
Эрин Макинтош, «Переписывание руководства по управлению для эпохи агентов», AI Radicals, сезон 4, эпизод 2. Макинтош — вице-президент по глобальным операциям с данными в CNA Insurance, возглавляющая команду в США, Великобритании, Европе и Канаде.
