Как защитить данные компании при работе с ИИ-агентами

Агент получает доступ к работе. Вместе с ним меняется риск

Сотрудник может за вечер собрать помощника для расчётов, документов или работы с клиентами. Это полезное изменение: экспертиза отдела быстрее превращается в рабочий инструмент. Но вместе с прототипом появляются ключи доступа, база данных, сервер и журнал запросов. Раньше эти решения обычно проходили через разработчика; теперь инфраструктуру нужно сделать понятной и безопасной для всей команды.

В отличие от обычного диалога с моделью, агент может читать файлы, запускать команды и обращаться к сервисам. Ошибка возникает не только в ответе: помощник способен изменить общий документ, отправить письмо или опубликовать приложение. Поэтому проверять нужно и содержание ответа, и границы разрешённых действий.

• Утечка контекста: в запрос попали договоры, персональные данные или секреты из файлов и логов.
• Избыточные права: для отчёта выдали доступ к изменению всей CRM.
• Подмена инструкций: агент принял текст письма, сайта или документа за команду и вызвал инструмент.
• Незащищённый результат: созданное приложение доступно без авторизации или хранит ключ в коде браузера.

В 2026 году в документации производителей заметен переход к управляемым политикам, изолированному выполнению и отдельному контролю инструментов. OWASP выделяет риски агентных приложений в самостоятельную модель угроз. Это наблюдение по открытым техническим источникам, а не оценка доли компаний, которые уже внедрили такие меры.

Источники: OWASP Top 10 for Agentic Applications 2026. OpenAI: корпоративные политики Codex. NVIDIA OpenShell: обзор.

Четыре границы, которые стоит проверить до запуска

Например, финансовый отдел поручает агенту разобрать просроченную дебиторку. Модель получает строки выгрузки. Инструмент читает файл или CRM. Результат сохраняется в отчёте, а части переписки могут остаться в истории сессии. Доступ к каждому из этих мест нужно рассматривать отдельно.

Что уже есть в Codex и Claude Code — и что настраивает компания

Источники: OpenAI: разрешения и безопасность агентов. OpenAI: корпоративные политики Codex. Anthropic: безопасность Claude Code. Anthropic: область действия sandbox.

Отдельный вопрос — использование данных поставщиком. OpenAI указывает, что данные API не используются для обучения по умолчанию, но хранение зависит от endpoint и функции. Zero Data Retention доступен не для любого режима. Это условия API: их нельзя автоматически приписывать личному аккаунту ChatGPT.

Источники: OpenAI: управление данными API.

Anthropic различает личные и коммерческие аккаунты Claude Code: для коммерческих условий обучение на коде и запросах по умолчанию не применяется, если клиент не согласился на передачу для улучшения моделей. При этом остаются условия хранения и локальные копии сессий. Запрет обучения модели не означает отсутствие обработки, журналов или резервных копий.

Источники: Anthropic: использование и хранение данных.

Три архитектуры для разных данных

Не обязательно выбирать один вариант на всю компанию. Публичные материалы можно обрабатывать в согласованном облачном сервисе; кадровые документы и закрытые финансовые данные — по более строгому маршруту. Решение принимает владелец данных совместно с IT и ответственным за безопасность, а не отдельный сотрудник при загрузке файла.

Как оставить обработку внутри компании с Qwen

Qwen — семейство моделей с доступными для скачивания весами. Официальная документация описывает развёртывание через vLLM с API. Выбор конкретной модели требует проверки лицензии, памяти GPU, длины контекста, параллельных запросов и качества на рабочих задачах. «Локальная» не означает бесплатная в эксплуатации или равноценная любой облачной модели.

Источники: Qwen: развёртывание через vLLM.

В закрытом варианте внутри сети должны находиться не только веса модели, но и документы, поиск по базе знаний, векторная база, журналы, резервные копии и сервисы инструментов. Исходящий доступ закрывают по умолчанию. Загрузку моделей и обновлений организуют отдельным контролируемым процессом. Облачный запасной маршрут, внешняя телеметрия или веб-поиск могут нарушить эту схему.

Codex документирует локальных провайдеров через режим --oss, включая Ollama и LM Studio. У Ollama есть интеграция с Claude Code через совместимый API. Это разные способы подключения: модель Qwen не становится моделью Claude или OpenAI, а поддержка вызова инструментов и отдельных функций требует испытаний. Наличие совместимого API ещё не доказывает совместимость всего приложения.

Источники: OpenAI: локальные провайдеры Codex. Ollama: интеграция с Claude Code.

NVIDIA OpenShell: песочница с правилами вне агента

OpenShell — открытая среда выполнения агентов. Это не новая модель и не протокол обезличивания. Она выносит ограничения за пределы рассуждений модели: доступ к файлам, сети, процессам и учётным данным контролирует инфраструктура. Такой подход полезен, когда агенту нужно выполнять работу, но нельзя выдавать доступ ко всему компьютеру.

Источники: NVIDIA OpenShell: обзор.

В документации OpenShell описаны изолированные рабочие среды, политики доступа и обработка credentials вне самого агента. NemoClaw — связанный blueprint для агентной среды, а не другое название OpenShell. MCP решает ещё одну задачу: соединяет агента с инструментами. Наличие MCP не создаёт песочницу и не подтверждает безопасность подключённого сервера.

Источники: NVIDIA OpenShell: архитектура. NVIDIA OpenShell: безопасная конфигурация.

Разрешённый адрес модели остаётся получателем данных. Если backend облачный, sandbox не делает обработку локальной; если локальный — нужно отдельно закрыть остальные пути наружу. Слишком широкое правило сети может разрешить утечку на формально доверенный домен. Перед внедрением проверяют версию, режим исполнения политик, изоляцию конкретной ОС и исключения.

Источники: NVIDIA OpenShell: безопасная конфигурация.

Обезличивание, токены и шифрование: что защищает каждый слой

HTTPS шифрует передачу между клиентом и сервером. На стороне сервиса запрос обычно расшифровывается для обработки моделью. Это защита от перехвата по пути, но не способ скрыть содержимое от получателя. Шифрование диска также не скрывает данные от процесса, которому разрешено их прочитать.

Для облачного анализа часто полезна другая схема: внутри компании заменить чувствительные значения устойчивыми метками. Например, вместо имени и телефона передать CLIENT_017, сумму долга и срок просрочки. Модель работает с нужной структурой задачи, а соответствие метки реальному клиенту хранится отдельно внутри компании.

При обратном ответе шлюз восстанавливает значения только для авторизованного получателя. Это обратимая токенизация, или псевдонимизация. Если поля действительно зашифрованы, шлюз может расшифровать их обратно, но модель не сможет содержательно анализировать скрытые значения как обычный текст. Не стоит описывать этот процесс как «нейросеть всё понимает в зашифрованном виде».

Полное обезличивание — более сильное требование: нужно оценить возможность установить человека и по косвенным признакам. Редкая должность, адрес объекта, сумма, история событий или свободный комментарий могут выдать личность без имени. Наличие локальной таблицы обратного соответствия нельзя считать автоматическим освобождением от требований к персональным данным.

Presidio предоставляет средства обнаружения и преобразования чувствительных данных, но прямо не гарантирует нахождение всех идентификаторов. Для российских документов нужны проверки на ваших форматах: ФИО, телефоны, реквизиты, сканы, вложенные листы, метаданные и текст комментариев. Нельзя ограничиваться заменой одной колонки.

Источники: Presidio: обнаружение и преобразование чувствительных данных.

Что учитывать российской компании

Базовый закон о персональных данных — 152-ФЗ. Для проекта проверяют основание и цель обработки, состав данных, поручение обработки, меры защиты и уведомление Роскомнадзора. Локализация при сборе данных граждан России и трансграничная передача — разные требования; размещение основной базы в России не разрешает автоматически отправку её копии за рубеж.

Статья 12 предусматривает отдельное уведомление о намерении трансграничной передачи до её начала и возможность ограничений. Нужно определить получателей, страны и применимые условия. HTTPS, подмена ФИО и запрет обучения модели не заменяют эту проверку. Если произошёл инцидент с персональными данными, отдельно проверяют обязанности уведомления по статье 21.

Источники: 152-ФЗ «О персональных данных».

Источники: 149-ФЗ «Об информации…». 98-ФЗ «О коммерческой тайне». 187-ФЗ «О безопасности КИИ».

Минимальный набор технических правил

Попросить агента «не раскрывать секреты» полезно как инструкция, но недостаточно как защита. Правило должно ограничиваться правами сервисной учётной записи, политикой сети и файловой системы. Даже ошибочное действие агента тогда встретит технический запрет.

• Разделите чтение и запись. Для анализа дайте доступ только к нужной витрине данных. Изменение CRM, отправку писем, платежи, удаление и публикацию вынесите в отдельные подтверждаемые действия.
• Ограничьте инструменты. Проверяйте владельца и код MCP-сервера, skills, plugins и hooks; фиксируйте версии. Доступ к общей интеграции не должен открывать сотруднику чужие отделы или клиентов.
• Создайте рабочую изоляцию. Не запускайте агента с root/admin и не подключайте в песочницу домашний каталог, ключи SSH или Docker socket без обоснованной необходимости.
• Защитите журналы. Записывайте, кто запросил действие, какой инструмент сработал и был ли отказ, но не копируйте весь секретный контекст в аналитику. Определите доступ и срок хранения.
• Разделите прототип и production. Перед публикацией проверьте авторизацию, права пользователей, зависимости, резервное восстановление и отключение сервиса.

Файл .env и .gitignore не являются границей доступа: агент с правом чтения каталога может прочитать файл, а уже опубликованный ключ остаётся в истории. Если секрет утёк, сначала отзовите или замените его, затем устраните источник утечки и проверьте использование. Удаления строки из текущего файла недостаточно.

Источники: OWASP: управление секретами.

Правила, с которыми сотрудник сможет работать

Сотруднику не нужно становиться специалистом по кибербезопасности, чтобы автоматизировать свою задачу. Компания должна предоставить готовый рабочий профиль, разрешённые источники и понятный способ получить недостающий доступ. Если безопасная работа требует десятка обходов каждый день, регламент быстро перестаёт помогать.

• Открывайте рабочие задачи только в согласованном аккаунте и проекте. Не переносите корпоративный контекст в личный чат ради удобства.
• Передавайте минимум: нужные столбцы, период и фрагменты документов. Не прикладывайте всю базу «на всякий случай».
• Не вставляйте пароли, токены, cookies и коды подтверждения в диалог. При запросе такого секрета остановитесь и обратитесь к ответственному.
• Текст из письма или сайта — материал для анализа, а не разрешение выполнить команду. Не одобряйте неожиданную загрузку файлов, установку расширения или расширение доступа.
• Перед записью в рабочую систему проверьте получателей, изменяемые записи и объём операции. Для массового действия сначала смотрите предварительный результат.
• При подозрении на утечку остановите задачу и сообщите IT: какой файл, сервис и время. Не удаляйте историю до сохранения нужных для расследования сведений.

Подкрепите памятку коротким упражнением: сотрудник должен уметь отличить разрешённую выгрузку от запрещённой, отказаться от лишнего доступа и найти контакт помощи. Оценивайте понятность процесса, а не способность запомнить названия настроек.

Начните с одной задачи и проверьте границы

Для шлюза отдельно проверьте возврат меток не тому пользователю, пропущенные идентификаторы и недоступность фильтра. Для локальной модели — работу при закрытом интернете. Для созданного приложения — попытку одного пользователя увидеть данные другого. Отрицательный тест должен завершиться отказом, а не убедительным объяснением модели.

Следите за измеримыми вещами: долей корректно выполненных задач, числом запросов лишних прав, ошибками фильтра, временем восстановления и понятностью правил для сотрудников. Производительность и безопасность проверяют одновременно: закрытая система, в которой команда не может решить задачу, тоже требует доработки.

Чек-лист перед подключением команды

Скачайте чек-лист в PDF, распечатайте и пройдите его вместе с ответственными. Для невыполненных пунктов определите следующий шаг и срок.

Скачать чек-лист · PDF, 1 страница