ИИ прошел путь от помощника до самостоятельного исполнителя. Агенты теперь читают файлы, выполняют команды и получают доступ к вашему облаку с привилегиями реального человека. В большинстве случаев единственной записью об их действиях является лог, созданный самим агентом. В материале «Первый взгляд: что скрывается под капотом ИИ-агентов» (A First Look: Under the Hood of AI Agents) показано, как агенты одной из софтверных компаний регистрировали всего один вызов инструмента на каждые семь процессов, которые реально фиксировались ядром ОС. И дело не только в инженерах. Сотрудник финансового отдела может настроить агента для написания кода в полдень вторника. Каждый добавленный агент, модель и рабочее место превращаются в строку расходов, которую большинство компаний не могут связать с конкретной командой или задачей.
Найдите каждого агента, определите его возможности и ведите учет
Sysdig AI Defense — это инструмент обеспечения безопасности и управления на этапе выполнения для каждого ИИ-агента, используемого вашими командами, от ноутбука, где агент начинает свою работу, до облака, куда направляются результаты его действий.
Все начинается с обнаружения существующих компонентов. Решение находит агентов, MCP-серверы, навыки и плагины, используемые вашими сотрудниками, включая те, которые никто не утверждал, и связывает каждый из них с конкретной учетной записью и человеком.
Затем вы определяете, что агентам разрешено делать. В большинстве случаев ничего не меняется. Все, что не указано в ваших политиках, работает в обычном режиме, поэтому разработчики продолжают трудиться. Для значимых действий вы выбираете реакцию. Опция «Подтвердить» (Confirm) приостанавливает вызов и запрашивает предварительное одобрение разработчика. Опция «Заблокировать» (Block) отклоняет действие напрямую. Прерывание процесса (Kill process) завершает работу в ту самую секунду, когда процесс запускается.
Что бы ни произошло, остается запись. Каждое действие, зафиксированное Sysdig AI Defense, попадает в ваш тенант Sysdig вне устройства, где агент не сможет его изменить. Служба безопасности может доказать, что именно произошло, а руководители — увидеть, какие команды используют те или иные модели для выполнения конкретных задач.
Под капотом используется тот же самый механизм выполнения, который Sysdig создала для защиты облачных рабочих нагрузок. Тот же исходный код датчиков, те же правила обнаружения Falco, те же исследования угроз. Новым является область контроля. Теперь решение следует за ИИ-агентами везде, где они работают.
По умолчанию Sysdig AI Defense не собирает подсказки (промпты), вводимые вашими сотрудниками, или ответы агента. Правки файлов и результаты работы инструментов удаляются до того, как покидают устройство. Ваши данные остаются в вашем тенант-сервере Sysdig в выбранном вами регионе.
Отслеживайте каждого агента и MCP-сервер в ваших командах и решайте, чем они могут пользоваться
Самые частые вопросы руководителей по безопасности звучат просто: какие агенты запущены, какие из них никто не одобрял и кто за них отвечает? Большинство пока не может на них ответить. Согласно 2026 IBM study, 77% опрошенных организаций отметили, что внедрение ИИ уже опережает темпы развития систем управления, а две трети CIO и CTO заявили, что несут ответственность за ИИ-системы, которые они не контролируют полностью. Sysdig AI Defense дает ответы на основе анализа фактически работающих компонентов в таких инструментах, как Claude Code, Codex, Cursor и GitHub Copilot, и отслеживает агентов во всей ИИ-экосистеме: на рабочих станциях сотрудников, в производственных средах Linux и Kubernetes, а также на управляемых платформах агентов, которые вам не принадлежат.
Большинство команд безопасности, вероятнее всего, используют больше агентов, чем они предполагают. Одна софтверная компания с примерно 300 компьютерами выяснила это в первый же месяц использования Sysdig AI Defense. Ничего не блокировалось, так как в течение всего месяца все политики работали в режиме оповещений (Alert). Полные результаты исследования приведены в материале «Первый взгляд: что скрывается под капотом ИИ-агентов» (A First Look: Under the Hood of AI Agents). Половина агентов, обнаруженных Sysdig AI Defense на этих машинах, оказалась экземплярами, о существовании которых команда безопасности не подозревала. Сотрудники регистрировались с помощью личных адресов электронной почты на корпоративных устройствах в обход единого входа (SSO), и на каждом устройстве был установлен и активно использовался как минимум один фреймворк агента.
Теневой ИИ — это не только неодобренные агенты. Ранние пользователи сообщали об обнаружении Ollama, llama.cpp и LM Studio на компьютерах сотрудников, локально развернутой модели кодирования Qwen и моделей, скачанных напрямую на ноутбуки. Ничто из этого не проходит через ваш ИИ-шлюз, поэтому шлюз этого не видит. Ядро ОС — видит. Оно фиксирует установку, запуск и скачивание модели каждой системой и связывает это с конкретным человеком.
Получив возможность видеть эти процессы, вы можете решать, что разрешено. Новые инструменты ИИ появляются в инвентаре по мере их появления на устройствах. Если вы не хотите, чтобы агенты использовали MCP-сервер или один из его инструментов, запретите его и установите политику «Заблокировать» (Block). Запрос агента будет отклонен до его выполнения, и агент увидит причину отказа. Если существует служба, в которую агенты никогда не должны отправлять данные, укажите ее в политике, и функция прерывания процесса остановит выгрузку в момент его запуска.
Позвольте агентам работать и останавливайте только те действия, которые выходят за рамки дозволенного
Список разрешенных элементов (allowlist) позволяет легко остановить то, что вы заведомо не хотите допускать. Само действие оценить сложнее, поскольку оно происходит посреди выполнения задачи, часто за долю секунды. Даже лаборатории, создающие эти модели, сталкивались с тем, как их собственные агенты переходили черту. Как OpenAI, так и Anthropic сообщали о случаях, когда агенты, выполнявшие тестовые задачи, получали доступ к реальным системам, принадлежащим другим людям. Поэтому проверка должна происходить в момент совершения агентом действия. Политики блокировки и подтверждения вмешиваются в вызов инструментов агентом до его выполнения. Функция прерывания процесса перехватывает любой процесс в момент его запуска, независимо от того, какой агент его инициировал.
Возьмем файл с записями о клиентах. Открытие одного из них — обычная работа для агента, и в большинстве случаев в этом нет ничего страшного. Важно то, куда данные отправляются дальше и на что агент дал себе разрешение в процессе работы. Чтение, остающееся на устройстве, проходит незамеченным. Тот же процесс чтения, за которым следует выгрузка на публичный файлообменник агентом, только что расширившим собственные привилегии, является инцидентом.
Когда агенту отказывают, он ищет другой путь, например, с помощью команды оболочки или скрипта, написанного им самим. Перехватчик (hook) видит команду, но «слеп» к скрипту. AI Defense видит и то, и другое. Решение видит команду с разобранным пунктом назначения и скрипт в момент его запуска.
Вам не нужно писать политики с нуля. Начните с управляемых политик Sysdig для рисков, создаваемых агентами, таких как MCP-серверы и инструменты, учетные данные и данные, а также деструктивные команды. Каждая из них написана в виде понятных для чтения правил Falco. Кроме того, вам не обязательно включать блокировку с первого дня. Каждая политика Sysdig запускается в режиме оповещений (Alert), что означает фиксацию происходящего без блокировки. Посмотрите, что система обнаруживает на вашем собственном парке машин. Затем выберите параметры «Заблокировать» (Block), «Подтвердить» (Confirm) или «Прервать процесс» (Kill process) для важных действий. Для действий, требующих участия человека, функция «Подтвердить» (Confirm) отправляет запрос в окно разрешений самого агента, чтобы разработчик мог одобрить или отклонить его прямо там, где он уже работает. Служба безопасности решает, какие действия требуют дополнительной проверки. Все остальное работает в обычном режиме.
Не каждый риск укладывается в заранее написанное правило. Агенты постоянно осваивают новые навыки. Именно поэтому правила исследования угроз Sysdig также ищут поведение агентов, напоминающее атаку, такое как дамп учетных данных, закрепление в системе (persistence), туннелирование и удаленный доступ.
Вот как это выглядит в нашей демонстрационной среде. Агент операционной деятельности, работающий с отключенным подтверждением, пытается отправить экспортированные данные клиентов на публичный файловый хостинг. Политика прерывания процесса (Kill process) останавливает выгрузку в момент ее начала, и агент сообщает сотруднику причину.
Когда отделу безопасности нужно выяснить, как это туда попало, запись сеанса последовательно воспроизводит вызовы инструментов сеанса. Обнаружения и блокировки отображаются в строках событий рядом с ним, и каждое из них указывает сработавшее правило и политику.
Узнайте, какую модель используют разные команды и для каких задач
Поскольку каждый агент привязан к конкретному человеку, то же самое касается и любой используемой им модели. В каждом сеансе фиксируются модель, на которой он работал, а также стоящий за ним человек и команда, независимо от того, проходит ли трафик через шлюз ИИ.
Это важно для расходов на ИИ. В тех же результатах анализа четверо из десяти сотрудников запускали модели только класса Opus. Sysdig AI Defense сопоставляет уровень модели каждого сотрудника с трудоемкостью его работы в разрезе команд. Система отмечает простую работу, выполняемую на самых дорогих моделях, чтобы руководители могли изменить эту привычку до того, как придет счет. Она также отмечает сложную работу на самых дешевых моделях, где пользователь может столкнуться с моделью, слишком простой для поставленной задачи. Менеджеры могут перевести их на более подходящий вариант и помочь им повысить продуктивность.
Прохождение аудита без отвлечения разработчиков от их работы
Когда аудитор спрашивает, что сделал агент и кто за этим стоял, у большинства команд есть только один источник для проверки — собственный лог агента. Этот лог может многое упускать.
Ядро — это часть операционной системы, через которую проходит каждое действие, что делает его отличным местом для проверки. В исследовании «A First Look: Under the Hood of AI Agents» было обнаружено, что в собственном логе агента отсутствовали записи о 82% чтений файлов учетных данных, зарегистрированных ядром, и о 95% чтений, выполненных самим бинарным файлом агента. За тот месяц ядро зарегистрировало 2,6 миллиона процессов против 374 000 вызовов инструментов в собственных логах агентов. Лог агента — это полезный контекст, но он упускает слишком многое, чтобы на него можно было полагаться при проведении аудита.
Sysdig AI Defense ведет собственный учет на уровне ядра вне устройства, где агент не может его изменить. Если удалить перехватчик Sysdig AI Defense, он восстановится в течение часа, а ядро продолжит запись в промежутке. Каждое событие содержит информацию об агенте, учетной записи, модели и сеансе. Каждое обнаружение указывает правило и политику, лежащие в его основе. С Sysdig AI Defense доказательства уже готовы к моменту проведения аудита ИИ, и никому не нужно отвлекать разработчиков от их работы для их восстановления. Команды также могут пересылать эти записи в свою систему SIEM, где они хранятся вместе с остальными данными безопасности.
Ответственность за агентов начинается на этапе выполнения
Советы директоров интересуются тем, что делают агенты, и регуляторы тоже начинают задавать вопросы. Хатем Нагиб (Hatem Naguib), генеральный директор Sysdig, свел это к трем вопросам, на которые должен уметь ответить каждый руководитель:
- Откуда мы знаем, что наш ИИ не выходит из-под контроля?
- Какой ИИ мы используем и кто несет за него ответственность?
- Что мы можем доказать?
Ни на один из этих вопросов нельзя ответить, опираясь исключительно на собственный лог агента.
Sysdig AI Defense обеспечивает для агентов те же возможности предотвращения, обнаружения и реагирования, которые Sysdig предоставляет во всем облаке, на базе Falco, проекта безопасности среды выполнения с открытым исходным кодом, созданного Sysdig в 2016 году и получившего статус выпускника CNCF в 2024 году. Количество загрузок Falco превысило 200 миллионов, и его используют более 60% компаний из списка Fortune 500.
Агенты будут становиться все быстрее, а их действия — все глубже проникать в облако. Компании, которые масштабируют их с уверенностью, — это те, которые сначала внедряют элементы управления: каждый агент известен, принадлежит кому-то и привязан к конкретной учетной записи; рискованные действия пресекаются по мере их совершения; а журнал событий выдерживает последующие проверки.
Посмотрите на это в своем парке устройств. Начните бесплатную пробную версию и узнайте, что на самом деле делают ваши агенты. Доступно для macOS и Windows. Sysdig AI Defense работает параллельно с вашим EDR и может развертываться через ваше MDM. Для получения полной картины мы рекомендуем развернуть решение по крайней мере на десяти компьютерах.
