Материал подготовил Денис Батранков, эксперт по кибербезопасности и автор Telegram-канала «Топ кибербезопасности Батранкова».

ИИ-агенты получили права на продакшен-инфраструктуру. Некоторые компании уже сообщили проблемах с агентами. Без драматизации: факты 2025–2026 года.

⏩ Агент остановил сервис

Amazon, декабрь 2025. Агент автоматически удалил и пересоздал среду AWS. Итог — 13 часов недоступности в китайском регионе. Агент действовал в рамках выданных прав. Никто не закладывал сценарий «пересоздать среду», но никто и не запрещал.

Amazon, март 2026. Другая команда, другой инцидент. ИИ-инструмент при деплое положил платформу по всей Северной Америке на шесть часов. Потери — около 6,3 миллиона заказов.

Везде агент что-то решил без понимания контекста.

Запрещенная в России соцсеть, декабрь 2025. Агент удалил более 200 рабочих писем директора по ИИ-безопасности — безвозвратно. Месяц спустя другой агент опубликовал некорректные инструкции и открыл несанкционированный доступ к внутреннему коду на два часа. Оба раза — в рамках прав, которые ему дали.

⏩ Данные исчезли навсегда

DataTalks.Club, март 2026. Claude Code работал с файлами состояний Terraform и в какой-то момент запустил terraform destroy — без предупреждения, без подтверждения. Уничтожена вся продакшен-инфраструктура вместе с резервными копиями. Данные 100 тысяч студентов за два с половиной года — исчезли. Платформа не восстановилась. Источник: Tom's Hardware.

SaaStr, июль 2025. Агент на базе Replit нарушил выставленный командой режим code freeze и полностью стёр рабочую базу данных. Ограничение было задано — агент не интерпретировал его как запрет на опасные операции. Источник: The Register.

Gemini CLI, 2026. Ошибка в логике файловых операций: команда перемещения зациклилась в несуществующую директорию. Весь проект уничтожен безвозвратно. Механизма отката не было.

⏩ Небезопасный код — сразу в прод

Orchids, февраль 2026. Платформа содержала zero-click RCE-уязвимость — никакого взаимодействия с пользователем не нужно. Во время прямого эфира BBC исследователь в реальном времени взломал ноутбук репортёра.

Moltbook, февраль 2026. Некорректно настроенное хранилище в сгенерированном коде — утекли 1,5 миллиона токенов авторизации и 35 тысяч email-адресов.

Tea, июль 2025. Открытый Firebase-бакет слил 72 тысячи изображений и 1,1 миллиона личных сообщений пользователей.

Lovable (CVE-2025-48757), май 2025. Отсутствие row-level security оставило без защиты данных более 170 работающих приложений на платформе. Пользователи не знали. Разработчики тоже.

Enrichlead. Стартап закрылся полностью. Код работал — вся логика безопасности была вынесена на сторону клиента. Никто не проверил.

⏩ Supply chain: отдельная боль

ИИ регулярно генерирует зависимости, которых не существует. Злоумышленники мониторят такие галлюцинации и регистрируют пакеты в npm и PyPI заранее.

Только в период август–октябрь 2025 года зафиксировано 126 вредоносных npm-пакетов по этой схеме — более 86 тысяч скачиваний, кража учётных данных. Источник: Aikido Security.

Команда Databricks Red Team попросила Claude написать игру. Получилась рабочая игра с критической RCE-уязвимостью через небезопасную сериализацию pickle.

⏩ Почему это происходит

Агент не знает, где у вас прод, а где тест. У него нет модели угроз вашей инфраструктуры. Он не понимает, что terraform destroy в вашем случае означает конец бизнеса. Он оптимизируется под выполнение задачи — не под понимание последствий.

Агент действует в рамках выданных прав. Именно поэтому права имеют значение. Принцип минимальных привилегий уже не формальность из учебника.

Границы между dev, test и prod размываются быстрее, чем команда успевает выстроить контроли.

Это не аргумент против агентов. Это аргумент за то, чтобы в вашем процессе стоял человек, который понимает, что происходит и что агенту запрещено делать в любом случае. Откуда я все это знаю? Отсюда