В компании оказалось два десятка ИИ-агентов, о которых IT впервые слышал: как мы разбирали этот зоопарк

Разговор начался неловко. Директор по IT крупного производителя показывает нам скриншот презентации — коммерческий отдел на совещании гордо рассказал совету директоров про своего «ИИ-помощника по договорам». Помощник читает входящие письма от клиентов, распознаёт вложения, вытаскивает ключевые условия и складывает в табличку. Директор по IT про этого помощника узнаёт из презентации. Потому что собрал его руководитель направления, у себя, через личный аккаунт, на связке из ноукод-конструктора и стороннего облака. Корпоративная почта — через личный ключ приложения. Договоры клиентов — уезжают в неизвестном направлении.

С этой сцены и началась работа: мы поехали разбираться, сколько ещё в компании таких «помощников», и заодно объяснять, чем на самом деле является ИИ-агент, что это работающая система, а не удобная утилита, и почему создание ИИ-агента без ведома IT — это не про инициативность, а про новую поверхность атаки.

Как поняли, что теневых агентов больше одного

Мы предложили простую вещь — не аудит с ноутбуком безопасника, а серию коротких интервью с руководителями функций. Вопрос звучал не «есть ли у вас незарегистрированные автоматизации», на который никто честно не ответит, а «покажите, чем сейчас гордитесь в отделе, что помогает не сваливаться в рутину». Люди с удовольствием показывают такие штуки — они же реально экономят им день.

За пару недель набрался внушительный список. Точное число называть не буду, но по ощущениям — второй и третий десяток. Часть — вполне разумные скрипты и шаблоны, к агентам их отнести можно только с натяжкой. Часть — как раз то, что мы обычно и называем ИИ-агентами для бизнеса: система, которая сама читает вход, сама решает, что с ним делать, дёргает внешние инструменты и возвращает результат человеку или в другую систему.

Диапазон впечатляющий. Помощник по договорам от коммерсантов. Бот в мессенджере, который отвечает подрядчикам вместо снабженца. Скрипт у финансистов, который каждое утро вытаскивает выписку из клиент-банка, прогоняет её через облачную модель и раскладывает по статьям. У маркетинга — генератор карточек товара, который сам ходит в 1С за характеристиками. У HR — отборщик резюме.

ИИ-агент — это что вообще такое, если по-честному

Здесь пришлось остановиться и договориться о словах. Потому что часть «агентов» из списка агентами не была — это были обычные интеграции с одним вызовом модели. А часть, наоборот, вела себя как самостоятельный сотрудник, только без должностной инструкции и без пропуска.

Мы для себя используем такую границу. ИИ-агент — это программа, которая получает задачу, сама выбирает шаги для её решения, сама ходит во внешние системы (почта, CRM, база данных, API), сама решает, когда закончить, и возвращает результат. У неё есть цели, инструменты и петля рассуждения. Если убрать любую из этих трёх штук, получится не агент, а либо чат-бот, либо скрипт по расписанию.

Это важно не ради красивого определения. От этого зависит, какие риски мы вообще обсуждаем. Скрипт по расписанию ходит туда, куда его послали, и делает ровно то, что в нём написано. Агент — сам решает, куда пойти. Значит, у него в теории может появиться доступ, о котором вы не думали, и действие, которое вы не предполагали.

Три категории, на которые мы разложили находки

Дальше пришлось решать, что делать. Не увольнять же людей за то, что они автоматизировали свою работу. Мы разложили всё найденное на три корзины.

Первая — «безопасно, оставляем как есть, но регистрируем». Сюда попали агенты, которые работают только с публичными данными или с данными самого сотрудника: помощник по своим же встречам, генератор черновиков писем без вложений. Их мы просто внесли в реестр и попросили автора описать в двух абзацах, что оно делает и куда ходит.

Вторая — «переносим в корпоративный контур». Это те, что работают с чувствительными данными, но задача сама по себе разумная. Классика — помощник по договорам. Мы его не выкинули, а переделали: тот же сценарий, но на российской модели в контуре заказчика, с журналированием, с ролевым доступом. Автор идеи остался автором — только теперь его агент живёт на нашей платформе, а не на его личном ноутбуке. Бонусом человек перестал переживать, что уйдёт в отпуск, и агент отвалится, потому что кончился личный лимит.

Третья — «останавливаем совсем». Сюда попали два случая, где через сторонние сервисы уезжали персональные данные сотрудников и клиентов. Тут разговор был короткий, но не карательный: мы сразу предложили альтернативу, чтобы автор не остался без своей автоматизации, а получил взамен нормальную.

Как теперь у них устроено создание ИИ-агента

Мы помогли заказчику сформулировать правила игры. Это не толстый регламент, а короткая памятка на страницу — как создать ИИ-агента внутри компании, чтобы это не превратилось в шпионский триллер.

Первое: любой ИИ-агент, который работает с корпоративными данными, регистрируется в общем реестре. Реестр — просто таблица с полями «что делает», «куда ходит», «на какой модели», «кто владелец», «какие данные видит». Пять минут заполнить.

Второе: если агент видит персональные данные, коммерческую тайну или уходит наружу — только внутри корпоративного контура и только на согласованных моделях. У нас это, как правило, GigaChat Pro или локально развёрнутые открытые модели вроде Qwen или T-Lite, в зависимости от задачи и требований 152-ФЗ. Личные ключи от облачных сервисов — нет.

Третье: у каждого агента должна быть точка остановки. Если модель вошла в петлю или начала звонить в один и тот же инструмент по кругу — агент сам себя гасит и зовёт человека. Без этого нельзя.

Четвёртое, и наверное самое неочевидное: у нас появилась внутренняя «песочница», куда сотрудник может прийти и собрать своего агента сам, из готовых кубиков, без личных ключей и без походов на сторону. Потому что тень появляется там, где официальный путь долгий, а сделать хочется сегодня.

Что из этого стоит забрать себе

Теневые ИИ-агенты — это не про плохих сотрудников. Это про то, что порог входа в создание ИИ-агента упал ниже плинтуса. Ноукод-конструкторов много, публичных моделей ещё больше, у каждого второго менеджера уже есть личная подписка на что-нибудь. Раньше, чтобы завести в компании неучтённую систему, нужен был программист. Теперь достаточно вечера и желания.

Значит, решение — не в запретах, а в скорости. Если у людей есть законный способ собрать себе помощника за пару дней, они пойдут этим путём. Если законный способ — это трёхмесячное согласование и три подписи, они пойдут в личный аккаунт.

И маленький практический совет. Если вы IT-руководитель и до сих пор не проводили такой опрос по функциям — проведите. Не с интонацией «попались», а с интонацией «расскажите, чем гордитесь». Скорее всего, зоопарк у вас уже есть. Лучше узнать про него от самих авторов, чем от разбирающих инцидент безопасников.