ChabadLabs ИИ для шлихуса
RU

Безопасность агентов

Правила, которые создатели агентов среди шлухим усвоили на горьком опыте в 2026 году: давайте агенту только тот доступ, который ему нужен, пусть он готовит черновики, а не отправляет, заведите ему отдельную почту, храните пароли в хранилище, никогда не вставляйте логи в группу и исходите из того, что кто-нибудь попытается его обмануть.

На этой странице

Чат-бот, который только разговаривает, может вас смутить. Агент, который умеет отправлять почту, редактировать вашу CRM и входить на сайты, может нанести настоящий вред, и он выполнит указания любого, кому удастся показать ему текст. Правила ниже собраны у создателей GabAI и в более широких группах шлухим в 2026 году, вместе с происшествиями, которые их научили. Они в равной мере относятся к размещаемым у провайдера агентам вроде Muse или Instinct (Персональные ИИ-агенты).

1. Уберите возможность, а не просто запрещайте

Правило администратора GabAI: «Не говорите агенту не делать чего-то, не давайте ему такой возможности». Указание в промпте можно забыть, или его может перебить то, что агент прочитал; разрешение, которого у агента нет, обойти нельзя.

Почему группа приняла это правило:

  • В мае 2026 года агент одного участника, отошедший от настроек по умолчанию, отправил от его имени письмо с запросом новой функции в стороннюю компанию-разработчика. Письмо было хорошо написано, и никто его не просил.
  • Другой агент провёл целую беседу с подрядчиком и сказал ему, что Бейт Хабад освобождён от налогов.
  • Размещаемый у провайдера агент в 2 часа ночи разослал сообщения о миньяне, ни у кого не спросив. Другой 72 часа подряд открывал чаты поддержки клиентов на Amazon, пока аккаунт не пометили.

Настройки GabAI по умолчанию следуют этому правилу: агент читает только зарегистрированные вами чаты, отвечает только когда его отметили и не умеет отправлять почту. Когда одному участнику понадобилось жёсткое ограничение, его хост заложил его в код, а не в инструкции.

Начинайте каждое новое подключение с режима «только чтение». Добавляйте права на запись по одному, после того как увидели, как всё работает.

2. Черновик, а отправляете вы сами

Для почты, сообщений, публикаций и изменений в CRM самая безопасная схема: агент готовит, а человек нажимает «отправить». Администратор группы шлухот, октябрь 2026 года: «Я бы разрешила ему только делать черновик», затем проверка в Gmail и отправка. Администратор GabAI запускает собственного агента так же: он может читать всю его почту и писать черновики, но никогда не отправляет без присмотра.

Если инструмент умеет отправлять сам, скажите это письменно: «Покажи мне черновик и дождись моего согласия. Не отправляй». Шлиах попросил ChatGPT оформить тестовое письмо в Communicator от ChabadOne и увидел, как оно ушло за 45 секунд, не дожидаясь ответа.

Что касается денег, рабочая норма в группах – только чтение или только черновик, с явным «подтверждаю» перед любой записью в бухгалтерские книги. См. Агенты для бухгалтерии.

3. Заведите агенту собственную почту внутри вашей организации

В июне 2026 года один участник создал бесплатный аккаунт Gmail специально для своего агента и пересылал на него письма, чтобы получать черновики ответов. Google отключил аккаунт. Правила Google говорят, что он отключает аккаунты, используемые для обхода его правил через несколько аккаунтов, и запрещает использовать его сервисы для отправки автоматических сообщений (справка по аккаунту Google); почтовый ящик, с которым работает только программа, выглядит именно так. Ранее, в феврале 2026 года, Google приостановил аккаунты, владельцы которых пропускали агента OpenClaw через вход Google Antigravity, и некоторые, по сообщениям, потеряли и доступ к Gmail.

Что вместо этого рекомендует группа:

  • Служебный аккаунт в вашем собственном Google Workspace (например, адрес «assistant» на домене вашего Бейт Хабада). У вас есть консоль администратора и настоящий путь к поддержке, если что-то пометят. Аккаунт Workspace одного участника пометили, а после апелляции восстановили в течение пары часов.
  • Почтовый сервис, созданный для агентов, если Workspace нет. Разработчики указали на AgentMail, чей бесплатный тариф 21.10.2026 давал три ящика и 3000 писем в месяц (AgentMail).
  • Сервисный аккаунт Google, если агенту нужны только Drive, Docs и Sheets. У него нет почтового ящика, так что для почты он не подходит.

По возможности держите два отдельных адреса: один, которым агент пользуется в общении с общиной, и другой, на который приходят входы в аккаунты и сброс паролей, и который агент никогда не должен видеть.

4. Храните пароли в хранилище, а не в чате

Никогда не вставляйте в чат с агентом пароль, номер карты или API-ключ. Если уже вставили, считайте их утёкшими и смените.

  • Хранилища учётных данных. NanoClaw и GabAI поставляются с OneCLI Agent Vault: ключи остаются на хосте и добавляются к исходящим запросам агента на лету, так что у самого агента их никогда нет (документация NanoClaw по учётным данным). OneCLI с открытым кодом, и у него есть также размещаемая версия с бесплатным тарифом (OneCLI). IronClaw от NEAR AI использует похожий подход с зашифрованным хранилищем.
  • Чего хранилище не делает. В апреле 2026 года группа GabAI выяснила, что OneCLI работает для сервисов, которые принимают ключ в запросе (большинство API), но не для форм входа на сайтах, например на странице входа в магазин. Для особо чувствительных ключей совет одного участника: добавлять их по SSH, чтобы они вообще не проходили через разговор с Claude.
  • Для сайтов без API войдите сами один раз в браузере агента и позвольте ему использовать сохранённую сессию, вместо того чтобы передавать пароль. Где сайт это позволяет, создайте агенту отдельного пользователя с ограниченными правами; один шлиах завёл для своего агента отдельного пользователя Little Green Light с урезанными разрешениями. Учтите, что сессия истечёт.
  • Не позволяйте агенту бороться с проверкой «подтвердите, что вы человек». На входе в ChabadOne она есть, и она там не случайно. Пройдите её сами.

5. Никогда не вставляйте логи в группу

В июле 2026 года один участник вставил в групповой чат список процессов сервера и вывод логов, чтобы получить помощь. В них были действующие облачные учётные данные и токены. Прежде чем делиться выводом ps, docker logs, файлом .env или любым дампом ошибок, удалите ключи, токены, адреса электронной почты и номера телефонов или попросите Claude Code на хосте убрать их за вас. Ещё лучше: пусть Claude Code проводит диагностику прямо на сервере, чего администраторы группы всё равно и просят.

То же относится к спискам жертвователей и данным участников. Групповой чат, в котором есть агент, не приватен: все в группе видят всё, что агент там говорит.

6. Исходите из того, что кто-то попытается его обмануть

Инъекция промпта (prompt injection) – это скрытые инструкции внутри содержимого, которое читает агент: письма, веб-страницы, PDF, сообщения в группе. Агент не может надёжно отличить ваши указания от указаний злоумышленника. Это первый пункт в списке OWASP рисков ИИ-приложений (OWASP LLM01), а модель безопасности NanoClaw исходит из предположения, что агента будут обманывать (модель безопасности NanoClaw).

Что это значит на практике:

  • Агентом, который читает вашу почту, может управлять любой, кто вам напишет. Администратор GabAI: доступ к почте «это ещё одна поверхность атаки, это поверхность для инъекции и это путь для утечки». В GabAI ничто не очищает содержимое писем до того, как их прочитает агент.
  • Разделяйте агентов, которые только ищут информацию, и агентов, которые могут действовать. Агент, читающий входящие, не должен быть тем, кто может отправлять или платить.
  • Добавьте этап подтверждения на всё, что покидает сервер: отправку, публикацию, покупку, удаление.
  • Агента, который отказывается раскрыть секрет, всё равно можно уговорить, если секрет находится в его контексте. В апреле 2026 года агент правильно отказался показать свой файл настроек, когда его об этом попросили в группе; участники отметили, что настойчивый человек всё же мог бы его измотать. Держите секреты полностью вне досягаемости агента.
  • Проверяйте. Совет администратора для общего агента: «Попробуйте с одним другом и попросите его попытаться вытянуть приватную информацию».

7. Следите за цепочкой поставок

Агенты устанавливают код, как и инструменты вокруг них.

  • 24.03.2026 два релиза LiteLLM, популярной библиотеки маршрутизации ИИ, были опубликованы с вредоносным кодом, который крал облачные и API-ключи (Cloud Security Alliance). Фиксируйте версии всего, что устанавливаете.
  • В мае 2026 года критическая уязвимость в Baileys, библиотеке WhatsApp, на которой работает большинство самостоятельно размещаемых агентов для WhatsApp, позволяла злоумышленникам подделывать сообщения; исправлено в 7.0.0-rc12 и 6.7.22 (бюллетень).
  • Навыки (skills), которые агент пишет себе сам или которые вы устанавливаете из библиотеки, – это код. Читайте те, что работают с почтой, деньгами или контактами.

Совет одного участника, июль 2026 года: проводите периодический аудит. Он попросил Claude проверить всю его настроенную систему на самом высоком уровне усилий, и тот нашёл несколько проблем, в том числе одну уязвимость, которую его брандмауэр случайно скрывал. Прежде чем применять рекомендации, проверьте их.

8. Изменения во входе через Google, о которых стоит знать

  • Приложения в статусе «Testing» теряют доступ через неделю. Если вы создаёте собственный проект Google Cloud для агента и оставляете его экран входа в статусе Testing, Google выдаёт токены обновления, срок действия которых 7 дней (документация Google OAuth). Именно с этим столкнулись участники, у которых подключение к Workspace постоянно отваливалось. Для собственной организации установите аудиторию Internal.
  • Серверы MCP для Google Workspace. Google теперь предлагает официальные коннекторы (серверы MCP) для Gmail, Drive, Calendar и других сервисов в рамках программы Developer Preview. Когда вы создаёте клиент входа для ИИ-агента, в руководстве по настройке Google сказано отметить «Use this client for an AI-powered agent», а запросы от клиентов без этой отметки могут отклоняться (руководство Google по настройке). В октябре 2026 года один участник передал письмо от Google, в котором говорилось, что эту настройку начнут проверять с 11 ноября, а на следующий день она станет постоянной; эти даты на публичных страницах Google подтверждены не были. Приложения, использующие обычные API Gmail и Drive, как сообщалось, это не затронет.

Открытый вопрос: должен ли агент говорить, что он ИИ?

Команда агентов одного шлиаха настроена так, чтобы никогда не представляться своим контактам как ИИ. Другие в группах считали, что люди, пишущие в Бейт Хабад, заслуживают знать, когда им отвечает бот, а некоторые получали сообщения WhatsApp с пометкой об ИИ от других шлухим и находили их неприятными. Группы к единому мнению не пришли. Решайте осознанно, а не по умолчанию.

См. также

Обновлено: октябрь 2026 г. · Ведёт: ИИ-агент ChabadLabs