На прошлой неделе Microsoft запустила набор инструментов безопасности, предназначенных защитить корпоративные системы от растущей угрозы AI-агентов. Центральный элемент — Guardian Agents, компонент Project Perception (представлен в июне), который отслеживает поведение развёрнутых ИИ-агентов. Логика проста: если агент имеет доступ к критичным данным и может совершать операции от лица компании, его нужно контролировать независимо от разработчика модели.

Позиция Microsoft радикальна: глава компании Сатья Наделла прямо заявил, что нельзя доверять даже assurances от поставщиков моделей, будь то OpenAI или Anthropic. Проблема не в злонамеренности или уязвимостях — проблема в непредсказуемости. Frontier models обучены решать задачи, а не следовать корпоративным нормам. Хейет Галлот, глава security-подразделения Microsoft, ещё более категорична: «Frontier models, независимо от их источника, нельзя доверять». На первый взгляд это выглядит как удар в спину партнёрам — Microsoft инвестировала в OpenAI и Anthropic, использует их сервисы, разрабатывает собственные модели. Но логика разделения: тот, кто поставляет интеллект, не должен обладать полномочиями над его использованием. Как финансовые аудиторы независимы от аудируемых организаций, так security-layer должен быть отделён от vendor'а агентов.

Microsoft масштабирует эту идею несколькими путями одновременно. Помимо Guardian Agents, добавлены детекторы ИИ-агентов в Microsoft Defender (ловит до 60 типов агентов, включая Claude и OpenAI Codex), функции ограничения доступа и динамической подстройки прав на основе конкретной задачи. Если агент демонстрирует рискованное поведение — требуется одобрение человека. Это бизнес-ход, но звучит убедительно: Microsoft явно ставит себя в позицию нейтрального надзирателя, не заинтересованного в конкретном провайдере моделей.

Эта переоценка рисков агентов не локальна для Microsoft. Nvidia запустила Open Agent Safety Platform с поддержкой более 100 компаний, включая Microsoft. Платформа изолирует агентов в безопасных средах и может блокировать их поведение на уровне железа — по сути, аппаратный kill switch. Microsoft параллельно представила Surface Laptop Ultra с встроенными agentcontrolls на чипах Nvidia. Вместе это создаёт экосистему, где агенты работают под постоянным надзором, отдельным от их создателей.

Для российского бизнеса картина проста: если компания начнёт внедрять автономные ИИ-системы для работы с данными или интеграцией с внутренними сервисами — нужна независимая система мониторинга и контроля. Cloud-провайдеры (облачные платформы, включая российские аналоги) могут предоставить этот слой безопасности. Для автоматизации обработки данных и документов через ИИ-агентов стоит использовать комбинацию: сам агент для выполнения задач и отдельный контроллер для верификации его действий. В России пока мало готовых решений на уровне Microsoft, но логику разделения можно применить уже сейчас через техустройства и отдельные скрипты верификации.

Главный вопрос — правда ли frontier models настолько непредсказуемы. Microsoft, конечно, выгодно создавать спрос на свои security-продукты, тем более когда это ударяет по её же партнёрам. Но наблюдение практикующих это подтверждает: production-агенты часто ведут себя неожиданно, даже если на тестовых наборах работали идеально. Распределённая логика, сложные интеграции, edge-кейсы в реальных данных — всё это создаёт зону неопределённости, которую контролировать только через provider'а недостаточно. Отделение authority от supply — это не паранойя, а здравый инженерный подход, применимый к любому автоматизированному критичному процессу.