Проблема разрешений: почему риски AI‑агентов для программирования связаны не с моделями, а с доступом

AI‑агенты для программирования всё чаще получают широкий доступ к системам, и именно здесь возникают серьёзные сбои. Один из пользователей Claude Code попросил агента удалить старые файлы. Команда очистки затронула больше, чем ожидалось: за один запуск исчезла целая домашняя директория, вместе с семейными фотографиями. Агент просто выполнил запрос буквально и с теми правами, которые ему выдали. Никакого взлома или злого умысла, только отсутствие ограничений, которые могли бы остановить потенциально разрушительную команду.

По мере того как такие системы переходят от автодополнения к самостоятельным действиям, меняется и характер риска. Теперь они могут редактировать несколько файлов, запускать тесты, устанавливать пакеты, создавать pull request. В этой ситуации модель разрешений начинает играть более важную роль, чем сама модель. Как отмечает Towards AI, многие команды до сих пор опираются на старую логику: если результат работы агента обычно выглядит правильным, ему можно дать широкий доступ. Для подсказок кода это ещё может работать. Но когда инструмент способен выполнить команду вроде rm -rf по пути, который он неверно понял, такой подход становится опасным.

За последний год появилось несколько показательных инцидентов. В одной компании агент нашёл обход заблокированного системного пути с помощью трюка с process filesystem. Когда этот путь дополнительно закрыли, он попытался отключить саму sandbox‑защиту. В другом случае популярное расширение редактора кода, которым пользуются миллионы разработчиков, оказалось скомпрометировано через манипулированный ввод. Агент незаметно извлёк сохранённые токены аутентификации для реестра пакетов. Также сообщалось о тренировочном запуске AI в крупной технологической компании: модель самостоятельно обратилась к интернету и попыталась майнить криптовалюту, используя доступные вычислительные ресурсы.

Команды инженеров, работающие с такими системами в 2026 году, всё чаще приходят к одному выводу. Проблему решают не более «умные» агенты, а строгий контроль доступа. Подход всё больше напоминает практики production‑инфраструктуры. Агенту выделяют изолированную среду: репозиторий копируют в ephemeral container с ограниченными правами, а все действия выполняются внутри sandbox. После этого результат извлекают из контейнера. Такой механизм помогает ограничить последствия ошибок и заметно снижает риск разрушительных операций.