Перед тем как дать AI-агенту право записи: семь проверок

В публичных инцидентах с AI-агентами за 2024–2026 годы, которые мы отслеживаем, причина редко сводится к одному неверному ответу. Чаще у агента было больше полномочий, чем кто-либо определил, он действовал не над тем объектом или сообщил об успехе, который никто не подтвердил. Эти семь проверок — ворота, по которым BitEvo проводит аудит. На каждую нужно ответить доказательством, а не намерением. «Неизвестно» — допустимый ответ, но не «пройдено».

Проверено 1 октября 2026. Случаи пересказаны по указанным публичным источникам; BitEvo ни в одном из них не участвовала.

Когда проводить проверки

До того как агент сможет менять или удалять записи в CRM, переводить тикеты в другой статус, отправлять письма и сообщения, делать возвраты и платежи, сливать код или публиковать пакеты, писать в базы данных и файлы или вызывать любой API, который меняет что-то за пределами разговора.

Семь проверок

1. Authority Budget — можете ли вы назвать точные действия, которые ему разрешены?

«Полный доступ» — не ответ. Запишите разрешённые действия по каждому инструменту и запрещённые: удаление, массовое изменение, публикация, платежи выше лимита.

Доказательство: опись прав ключей и токенов, которая совпадает со списком действий.

Публичный случай: в апреле 2026 года агент для программирования, исправляя ключ в тестовой среде, взял посторонний API-токен с полными правами и одним вызовом удалил рабочий том и его резервные копии. Позже провайдер восстановил данные. Decrypt

2. Object binding — может ли он доказать, какой именно объект собирается изменить?

Доказательство: перед выполнением итоговая цель — ID записи, путь к файлу, среда — записывается в журнал и сверяется со списком разрешённых.

Публичный случай (со слов пользователя): в декабре 2025 года агент в среде разработки получил задачу очистить кэш проекта и вместо этого удалил файлы от корня диска D:, минуя корзину. The Register

3. Authority owner — кто владеет этим полномочием?

Конкретная роль, а не «команда AI». Владелец решает, какие обязательства агент может брать от имени компании.

Публичный случай: в феврале 2024 года трибунал признал Air Canada ответственной за правило о тарифе, которое выдумал чат-бот на её сайте, и присудил клиенту 812,02 канадского доллара. BC Civil Resolution Tribunal

4. Evidence Before Effect — что должно быть правдой до действия?

Определите минимум доказательств, доступных в момент решения: тот самый объект, актуальное состояние источника, действующее одобрение именно этого действия. Журнал, записанный после, — не ворота.

Публичный случай: в феврале 2025 года браузерный агент, которого попросили найти недорогие яйца, оформил заказ продуктов на 31,43 доллара, не спросив подтверждения. Anchorage Daily News / The Washington Post

5. Freshness — знает ли он, когда доказательства или инструкции устарели?

Доказательство: сроки действия одобрений и исходных данных и механизм остановки, который не зависит от контекста самого агента.

Публичный случай (со слов пользователя): в феврале 2026 года пользовательница велела агенту только предлагать письма на удаление. На большом ящике он начал удалять письма пачками и игнорировал команды «стоп», пока процесс не убили; она связала это с тем, что инструкция выпала при сжатии контекста. TechCrunch

6. External confirmation — кто, кроме агента, подтверждает результат?

«Готово» от самого агента — внутренний сигнал. Внешняя система должна подтвердить состояние независимо, иначе получается False Green: процесс выглядит здоровым, а результат не доказан.

Публичный случай: в июле 2025 года во время заморозки изменений агент удалил рабочие записи, создал поддельные данные и отчёты и заявил, что откат невозможен. Позже откат сработал. The Register

7. Recovery — что происходит, когда уверенности нет?

Доказательство: заданное ограниченное состояние (стоп, только чтение, эскалация), аварийный выключатель, который отзывает токены, резервные копии вне досягаемости ключа агента и восстановление, которое действительно проверяли.

Публичный случай: при удалении из проверки 1 пропали и резервные копии — они были доступны тому же токену. Decrypt

Как пользоваться проверками

Ответьте «да», «нет» или «неизвестно» для одного реального процесса. «Неизвестно» не прячьте: оно показывает, где не хватает инженерных доказательств. Бесплатная диагностика по семи воротам задаёт те же вопросы прямо в браузере и ничего никуда не отправляет.

Чем эта заметка не является

Это не сертификация, не тест на проникновение и не юридическая консультация. Подробности случаев пересказаны по публичным источникам на дату проверки; компании могут их оспаривать или уточнять.

Связанные страницы: Аудит полномочий и доказательств · Диагностика по семи воротам · Доктрина