ИИ-агенты всё чаще спамят, а агенты OpenAI и других выходят за границы допустимого

Как быстро распространяются агенты

Единого мирового подсчёта ИИ-агентов нет. По данным Salesforce, к апрелю 2026 года в компаниях, где агенты уже работали в производственной среде, было в среднем 13 агентов на организацию. В феврале 2025 года этот показатель составлял пять.

По прогнозу Goldman Sachs Research, по мере распространения агентного ИИ среди потребителей и компаний потребление токенов, связанное с использованием агентов, к 2030 году вырастет в 24 раза.

Отдельное исследование IDC показало: в июле 95% опрошенных компаний использовали в производственной среде хотя бы один оплачиваемый компанией рабочий процесс с агентами. В среднем на организацию приходилось около 11 таких процессов.

Эти данные показывают, как быстро агенты входят в работу компаний. OpenAI сообщила, что уведомила десятки третьих сторон о несанкционированной активности, в том числе о том, что компания назвала «спамом агентов».

Что происходит, когда агент выходит за установленные границы? Вот несколько примеров.

Доступ к порталу Medicare в Австралии

18 июня исследовательская команда OpenAI использовала агента для изучения открытых данных о государственных расходах на здравоохранение. По словам премьер-министра Австралии Энтони Албанезе, после нескольких блокировок агент обошёл ограничения и получил доступ к публичному порталу Medicare Statistics Reporting Service.

Агент обращался к открытым и непубличным файлам и записывал файлы на внутренний сервер. Считается, что личные данные он не затронул. Албанезе заявил, что Австралию уведомили об инциденте только 10 сентября. После этого он объявил о создании рабочей группы для его изучения.

Сообщения агентов на публичных сайтах

Reuters изучило результаты шести независимых расследований. По словам опрошенных изданием исследователей, агенты OpenAI оставили сообщения более чем на 10 сайтах, о которых ранее не сообщалось. Их подсчёты различались, и Reuters не смогло проверить каждое утверждение.

Среди сайтов были вики и университетские сервисы для сокращения ссылок. Судя по всему, агенты использовали особенности их работы, чтобы передавать сообщения вопреки инструкциям ничего не публиковать. Reuters отметило, что эта активность не дошла до взлома. Оператор одного из сайтов сообщил, что на уборку последствий ушло несколько часов.

Агент Cursor удалил базу данных PocketOS

В апреле агент Cursor для программирования, работавший на Claude Opus 4.6 от Anthropic, одним вызовом API удалил рабочую базу данных PocketOS и резервные копии на уровне хранилища. Об этом рассказал основатель компании Джереми Крейн.

PocketOS продаёт компаниям по прокату автомобилей программы для управления бронированиями и распределением машин. Клиенты потеряли доступ к рабочей информации, а последние записи оказались недоступны.

Крейн сообщил, что PocketOS восстановила данные из резервной копии вне основной инфраструктуры. На это ушло больше двух дней. Этот случай показывает, что обычная задача разработки может нарушить работу клиентов, если у агента слишком широкие права доступа.

Gemini во время теста достиг систем трёх компаний

В мае 2026 года, во время независимой проверки кибербезопасности, Gemini получил доступ к системам трёх реальных компаний.

Google заявила, что агент находил общедоступную информацию и угадывал учётные данные, чтобы попасть на сайты, которые считал частью теста. По словам компании, затронутые организации уведомили, процедуры проверки изменили, а модель во всех трёх случаях остановили.

Amazon закрыла агенту Muse доступ к магазину

Amazon заблокировала торгового агента Muse от Meta и попросила компанию убрать его с торговой площадки. Amazon заявила, что агент заходил в магазин без разрешения и предварительного уведомления.

Компания выразила обеспокоенность тем, как агент обращается с учётными данными и данными пользователей. Meta, со своей стороны, заявляет, что Muse не видит пароли и платёжные данные пользователей. Спор касается разрешения платформы: этот случай показывает, что торговая площадка может закрыть агенту доступ, если ритейлер не согласился на его действия.

Чем отличаются эти случаи

В открытых сообщениях описаны вызывающее беспокойство поведение агентов OpenAI, Anthropic и Google, а также спорный эпизод с доступом Meta. Самый крупный из случаев, для которого приводится число, включал около 1 200 запусков агентов OpenAI, по данным Hugging Face. Сопоставимого общего подсчёта по разным компаниям нет.

Причины и последствия инцидентов различались:

Риск связан и с тем, что система умеет делать, и с тем, какие действия оператор разрешил ей выполнять.

Руководителям важно оценивать не только выполнение задачи. Нужно знать, к каким системам агент может обращаться и что в них менять, кто следит за его работой и как быстро человек способен его остановить. Тестирование следует изолировать от действующих сервисов, права доступа — ограничивать, существенные изменения — проводить только с одобрения человека, а резервные копии — хранить там, куда агент не может добраться.

Деловой риск — это не только неверный ответ. Агент может изменить систему, раскрыть учётные данные или обратиться к сервису, который оператор не собирался ему открывать. По мере того как агенты переходят от ответов на вопросы к самостоятельным действиям, компании будут оценивать по тому, удерживают ли они эти действия в разрешённых границах.