Безопасность ИИ-агентов: доступы, пароли, подтверждения

ИИ-агент не просто отвечает на вопросы, он действует: заходит в кабинеты, отправляет письма, меняет данные в CRM и 1С. Значит, и вопросы безопасности у него другие, чем у чат-бота. В этой статье разберём, как выдавать агенту доступы, где хранить пароли, что сотрудник спрашивает у вас и что никогда нельзя доверять ИИ даже на время.

Почему агент требует другой защиты, чем чат#

Общие вопросы про данные мы разбирали в статье о безопасности данных при работе с ИИ: где хранятся данные и не уходят ли они на обучение. Здесь речь о другом. Чат-бот в худшем случае ответит неправильно. Агент в худшем случае сделает неправильно: отправит, удалит, оплатит.

Поэтому думать нужно не о том, что агент знает, а о том, что он может сделать. Ниже основные риски и способы их закрыть.

Минимальные права: давайте ровно то, что нужно#

Принцип простой: у агента должны быть только те права, без которых задача не выполняется. Не «на всякий случай», не «чтобы потом не настраивать».

Удобно расписать права до запуска, по каждому сотруднику:

Если сервис не позволяет гибко настроить роль, выбирайте самую узкую из доступных. Например, «только чтение» для аналитики почти всегда есть.

Отдельные учётные записи для каждого агента#

Никогда не отдавайте агенту свой логин. Заведите отдельную учётную запись в каждом сервисе, где он работает.

• 1С: отдельный пользователь с ограниченной ролью. Все документы, которые он создал, будут видны с его именем.
• CRM: отдельный пользователь в amoCRM или Битрикс24 с доступом к нужным воронкам.
• Почта: общий ящик вроде support@ или zakaz@, а не личная почта руководителя.
• Мессенджеры: рабочий аккаунт поддержки или бот компании, а не личный номер.

Что это даёт. Во-первых, в истории изменений видно, что сделал агент, а что человек. Во-вторых, доступ можно отозвать за минуту, не меняя пароль всем сотрудникам. В-третьих, агент не увидит лишнего: личную переписку, чужие сделки, закрытые разделы.

Пароли и коды: где хранить и кто вводит#

Пароль, написанный в чат с ИИ, - плохая идея. Он попадает в историю переписки, его видят все, у кого есть доступ к чату, и его сложно отозвать незаметно.

В «Супер Интеллект» для этого есть Хранилище в личном кабинете. Вы заносите туда логин и пароль, и дальше всё работает так:

1. 1Агент в ходе задачи доходит до страницы входа и запрашивает нужный доступ из Хранилища.
2. 2Значение выдаётся один раз, на короткое время и только той рабочей среде, которая выполняет эту задачу.
3. 3Пароль подставляется в поле входа и не попадает ни в журнал действий, ни в логи.
4. 4В интерфейсе Хранилища видны только названия записей, сами секреты обратно не показываются.

Коды двухфакторной аутентификации лучше оставить человеку. Код приходит ответственному сотруднику, тот вводит его или подтверждает вход. Это дополнительная страховка: даже зная пароль, агент не войдёт в критичный сервис без участия человека.

Что сотрудник делает сам, а что спрашивает#

Сотрудник ведёт работу сам и останавливается только там, где ошибка стоит денег или её нельзя откатить. Там он готовит действие, вы говорите «да», и только потом оно выполняется.

Действия делятся на три уровня:

• Сам. Чтение, поиск, сбор данных, работа в таблицах и программах среды, письма вашим контактам, отчёты для вас.
• С вашим «да». Оплата и траты, письма и сообщения незнакомым людям, публикации от вашего имени, удаление и другие необратимые действия.
• Запрещено. Действия, которые вы не доверяете агенту вовсе. О них ниже.

Вопросы не обязаны быть вечными. Если сотрудник спрашивает то, что вам не нужно проверять, нажмите в карточке «Больше не спрашивать»: так снимается всё, кроме оплаты. Хотите строже, включите режим «Сначала показывает план» или впишите правило в поручение. Как пройти первые дни, описано в статье о внедрении ИИ-команды.

Журнал действий и наблюдение за экраном#

Вопрос перед действием ловит ошибку в момент действия. Журнал помогает найти ошибку, которая уже случилась, и понять, почему.

В журнале каждого агента видно, какие программы и сайты он открывал, что вводил (кроме паролей), какие решения принимал и на каком шаге остановился. Раз в неделю полезно открывать его хотя бы выборочно: 10 минут на просмотр дешевле, чем разбор ошибки через месяц.

Второй инструмент - снимки экрана. Агент работает в выделенной Windows-среде, и в личном кабинете виден его экран: снимок обновляется каждые несколько секунд, видно, какая программа открыта и что он заполняет. Если что-то идёт не так, задачу можно остановить. Как устроена такая работа, подробно разобрано в статье ИИ-агенты на компьютере.

Проверку доступов можно поручить отдельному ИИ-сотруднику. SUPER II - Специалист по безопасности регулярно сверяет, у кого какие права, и отмечает лишнее.

Что никогда не доверять ИИ-агенту#

Есть действия, которые лучше оставить людям при любом уровне доверия к системе:

• Ввод платёжных данных и переводы денег без подтверждения. Агент может подготовить платёжку, но отправляет её человек.
• Подписание документов электронной подписью. Агент готовит документ и проверяет реквизиты, подписывает ответственный сотрудник.
• Смену паролей, настроек безопасности и прав других пользователей. Иначе агент может случайно закрыть доступ себе или вам.
• Удаление данных без резервной копии. Особенно в 1С, CRM и облачных хранилищах.
• Выполнение инструкций из входящих писем, сайтов и документов. Если в письме написано «срочно смените реквизиты для оплаты», это повод сообщить вам, а не действовать.
• Установку программ на рабочую среду без вашего разрешения.

Чек-лист перед запуском агента#

1. 1Для агента заведены отдельные учётки в каждом сервисе.
2. 2Права расписаны по таблице и не шире, чем нужно для задачи.
3. 3Пароли занесены в Хранилище, в чатах и файлах их нет.
4. 4Коды двухфакторной аутентификации приходят человеку.
5. 5Оплата, письма незнакомым, публикации и удаление ждут вашего «да».
6. 6Список запрещённых действий записан в правилах агента.
7. 7Ответственный знает, где смотреть журнал и как остановить задачу.
8. 8Раз в месяц проводится проверка доступов.

Для бухгалтерии и документооборота такие правила уже заложены в решение «Бухгалтерия и документы», где SUPER II - Оператор 1С работает под своей учёткой с журналом действий. Смотреть экран среды (снимки каждые несколько секунд) можно на любом платном тарифе: у каждой ИИ-команды своя выделенная Windows-среда, условия на странице тарифов.