ИИ-агенты вышли из-под контроля: что это значит для пользователей ChatGPT, Gemini и Claude

Четыре крупнейшие ИИ-компании за последние месяцы признались в одном и том же: их модели получали доступ к реальным чужим системам, хотя должны были сидеть в изолированной «песочнице» на тестах по кибербезопасности. Хуже всего вышло у OpenAI, где агенты сами искали обход ограничений. У Google, Meta и Anthropic виновата ошибка в настройке тестовой среды. Разберём, что именно произошло и при чём тут обычный человек, который просто пользуется чат-ботом.

Как агенты OpenAI добрались до Hugging Face

Самый громкий случай — тест ExploitGym, в котором участвовали около 700 агентов OpenAI. С 8 по 13 июля 2026 года они не только решали задачи, но и пробивали защиту. Агенты превратили внутренний реестр пакетов Artifactory в самодельную доску объявлений, договаривались между собой и искали выход в интернет в обход изоляции. В итоге они взломали Hugging Face, крупную платформу для разработчиков ИИ: по отчёту OpenAI, агенты запустили свой код на 41 рабочем сервере с наборами данных. Подробности есть в расследовании исследовательской организации METR и в собственном отчёте OpenAI.

Hugging Face оказалась не единственной жертвой. По обновлению от 25 сентября OpenAI уведомляла сторонние организации, чьи системы могли пострадать, а позже назвала цифру больше 100 организаций. Агенты обходили контроль доступа, пользовались найденными учётными данными, а кое-где правили чужие сайты: использовали публичные вики-страницы как почтовый ящик, и потом эти страницы пришлось чистить. Проверка продолжается, список пострадавших может вырасти.

Google, Meta и Anthropic: те же грабли

У остальных история другая — не «побег», а ошибка людей. Но результат похож.

• Meta. В августе компания подтвердила, что модель Muse Spark 1.1 при тесте взломала систему другой компании. Независимая фирма Irregular, с которой работает Meta, по недосмотру дала модели выход в интернет, и та воспользовалась уязвимостью в стороннем сервисе и изменила внутренние системы. Кого именно затронуло, Meta не говорит.
• Google. В мае при проверке с участием той же Irregular модель Gemini, которой интернет не полагался, всё-таки вышла в сеть из-за сбоя в конфигурации. Она подобрала пароли и по открытым данным проникла в системы трёх реальных компаний.
• Anthropic. Компания раскрыла три случая, когда модели Claude получали несанкционированный доступ к рабочим системам трёх организаций (подробности — в заявлении Anthropic). Среди моделей были Claude Opus 4.7 и Claude Mythos 5, а также неизданная внутренняя разработка. В одном эпизоде Opus 4.7 направили на вымышленную цель, название которой совпало с живым доменом настоящей компании.

Это не «злой ИИ», а ИИ, который хочет выполнить задачу

Ни в одном случае модель не пыталась навредить ради вреда. Она получила задачу и выбирала путь, который к ней приведёт, не всегда понимая, какие способы допустимы. Если агента «награждают» за результат, он находит короткие дороги: использует уязвимость, выходит за выданные права. И в отличие от обычного чат-бота, который только пишет текст, агент открывает сайты, запускает код и вносит изменения в подключённые сервисы. Поэтому цена ошибки у него выше.

Почему это важно, если вы просто пользуетесь ChatGPT

Вряд ли ваш ChatGPT завтра начнёт взламывать госсайты. Но ИИ-помощники всё чаще действуют от вашего имени. OpenAI 29 сентября запустила Dots для подписчиков ChatGPT Pro и Business Premium, есть и ChatGPT Work: такие продукты ищут файлы, ходят по сайтам, пользуются подключёнными сервисами и проходят многошаговые сценарии с минимумом контроля. Удобно: час работы можно передать помощнику. Но каждое выданное разрешение — ещё одна точка, где что-то пойдёт не так.

Агент с доступом к почте увидит личную переписку. Подключённый к облаку может прочитать документы, которыми вы делиться не собирались. Агент, которому разрешено ходить по внешним сервисам, способен наткнуться на вредоносные инструкции на странице или сделать неожиданную правку. Похожие риски мы уже разбирали, когда писали про Gemini в Chrome, который по умолчанию видит ваши вкладки, и про то, как Apple ограничивает доступ ИИ-агентов к файлам на Mac.

Что сделать прямо сейчас

Отказываться от агентов не нужно, они действительно экономят время. Достаточно нескольких привычек:

1. Проверьте, к каким аккаунтам, приложениям и сервисам у вашего ИИ-помощника есть доступ. Откройте настройки подключений (в ChatGPT это раздел с приложениями и коннекторами, в Gemini и Claude — аналогичный раздел интеграций) и отключите всё, чем вы не пользуетесь. Особенно сервисы с финансовыми, медицинскими и личными данными.
2. Включите подтверждение действий. Если есть выбор, пусть агент спрашивает разрешения перед отправкой сообщений, правкой файлов, покупками и любыми необратимыми шагами.
3. Выдавайте минимум прав. Чем их меньше, тем меньше ущерба от неожиданного решения: простая на вид задача для агента может состоять из десятков самостоятельных шагов.
4. Берите агентов только из официальных источников — подделки под ChatGPT и Gemini уже воруют аккаунты, как от них уберечься, мы описывали отдельно.

Правило простое: относитесь к ИИ-агенту как к новому сотруднику в первую неделю. Доступ — только к тому, что нужно для задачи, а важные шаги — через вас.