ИИ-агенты уже формируют около 60% трафика Cloudflare. Что это меняет для безопасности

Интернет переходит от людей к автономным программам

Cloudflare описывает происходящее как переломный момент для интернета. По словам руководства компании в Азиатско-Тихоокеанском регионе, трафик, создаваемый ИИ-агентами, за год вырос более чем на 1 700%, а его доля достигла примерно 60% всего трафика в сети Cloudflare. 9

Это не означает, что 60% всех действий в интернете выполняют исключительно чат-боты: показатель относится к трафику, который наблюдает сеть Cloudflare. Однако он показывает масштаб сдвига. Интернет всё чаще посещают, анализируют и используют не только люди, но и программы, способные самостоятельно искать информацию, вызывать инструменты и выполнять заданные действия.

Почему ИИ-агенты создают новый класс угроз

Обычная генеративная модель в основном отвечает на запрос. ИИ-агент может действовать: открыть страницу, обратиться к внешнему сервису, получить доступ к корпоративной системе или выполнить операцию по инструкции. Поэтому к привычным рискам утечки данных добавляются новые:

• prompt injection — внедрение вредоносных инструкций в запросы, страницы или описания инструментов;
• выполнение агентом непредусмотренных или чрезмерных действий;
• злоупотребление учётными данными и правами доступа;
• передача конфиденциальной информации сторонним сервисам;
• кража данных через подключённые инструменты и корпоративные системы.

Отдельная проблема — Shadow AI, то есть использование сотрудниками несанкционированных ИИ-сервисов. Работник может отправить во внешний сервис коммерческую тайну, персональные данные или внутренние документы, не понимая, где окажется эта информация и кто получит к ней доступ. Cloudflare рекомендует контролировать такие промпты с помощью политик, похожих на DLP, чтобы обнаруживать и блокировать чувствительные данные до их отправки в ИИ-сервис.

Чем опасен Shadow MCP

MCP, или Model Context Protocol, — протокол, с помощью которого ИИ-модель или агент подключается к инструментам и источникам данных. В корпоративной среде это могут быть поисковые сервисы, базы данных, системы разработки и другие приложения.

Shadow MCP возникает, когда агент подключается к удалённому MCP-серверу без одобрения ИТ- и службы безопасности. Такое соединение создаёт неуправляемый путь между агентом, инструментом и данными. В результате могут быть обойдены проверка личности, ограничения полномочий, журналирование и процедура проверки безопасности. Описания самих MCP-инструментов также могут содержать скрытые команды, способные направить модель к опасным действиям.

Как Cloudflare предлагает контролировать агентов

Компания предлагает выстраивать защиту в несколько этапов:

1. Сначала обнаружить использование ИИ и MCP. Не следует считать, что любой обнаруженный сервис уже одобрен организацией. Cloudflare Gateway распознаёт MCP-запросы по признакам протокола, помогая находить Shadow MCP в управляемой сети. 11
2. Проверять промпты и данные. Политики DLP должны выявлять номера документов, персональные сведения, коммерческую тайну и другие чувствительные фрагменты до передачи их ИИ-сервисам.
3. Ограничить доступ к разрешённым серверам. Одобренные MCP-серверы следует сделать доступными только через контролируемый MCP Server Portal, использовать проверку личности, принцип минимально необходимых привилегий и модель Zero Trust. Прямые подключения к серверам с управляемых сетевых путей нужно блокировать. 11

Иными словами, агенту нельзя доверять только потому, что он работает внутри корпоративной инфраструктуры. Каждое действие и каждое подключение должны проверяться отдельно.

Q Day и переход к постквантовой защите

Q Day — условное название момента, когда криптографически значимый квантовый компьютер сможет взломать широко используемые алгоритмы открытого ключа. Опасность существует уже сегодня: злоумышленники могут перехватывать и сохранять зашифрованные данные, чтобы расшифровать их позднее — это сценарий «собери сейчас, расшифруй потом» (harvest now, decrypt later).

Cloudflare планирует сделать весь набор своих продуктов полностью защищённым от квантовых атак к 2029 году. Компания уже расширяет применение постквантовой криптографии, включая гибридный обмен ключами, который защищает от угрозы расшифровки ранее перехваченного трафика.

Кроме того, Cloudflare заявила о поддержке постквантовой аутентификации при подключении к исходным серверам через Authenticated Origin Pulls и Custom Origin Trust Store. Компания описывает это как первый шаг к постквантовой аутентификации во всех своих продуктах.

В обсуждении в Азиатско-Тихоокеанском регионе риск Q Day связывался примерно с 2030 годом. 9 Практический вывод для организаций — не ждать точной даты: миграцию на устойчивые к квантовым атакам алгоритмы нужно начинать заранее, поскольку обновление старых систем и сертификатов может занять годы.

Зачем Cloudflare выпустила Kitesurf

Kitesurf — новый браузер Cloudflare, созданный прежде всего для ИИ-агентов. Он доступен бесплатно в бета-версии в составе Browser Run и работает без сохранения состояния полностью поверх Cloudflare Workers. 12

В отличие от обычного браузера, Kitesurf не рассчитан на визуальное взаимодействие человека: ему не нужны вкладки, расширения, темы, пиксельная отрисовка страниц и плавная прокрутка с частотой 60 кадров в секунду. Вместо этого он оптимизирован под задачи агентов — например, создание скриншотов и извлечение HTML. 4

По данным Cloudflare, для распространённых агентских сценариев Kitesurf использует в 3–7 раз меньше процессорных ресурсов и памяти, чем Chromium. Это позволяет запускать больше параллельных сессий и эффективнее обрабатывать резкие всплески нагрузки. 2 Работа в V8-изолятах на Workers также приближает автоматизацию браузера к инфраструктуре Cloudflare, где уже доступны сетевые политики, управление идентификацией, контроль доступа и наблюдаемость.

Главный вывод

Cloudflare не только пытается защититься от растущего потока ИИ-запросов. Компания строит инфраструктуру для интернета, в котором автономные программы будут самостоятельно перемещаться по сайтам, обращаться к инструментам и выполнять задачи.

Поэтому её стратегия состоит из двух частей: сделать работу агентов более быстрой и дешёвой с помощью Kitesurf и одновременно установить для них строгие рамки — обнаружение Shadow AI и Shadow MCP, контроль данных, авторизацию по принципу Zero Trust и своевременный переход на постквантовую криптографию. Интернет становится всё более машинным, а значит, вопрос уже не только в том, что умеют ИИ-агенты, но и в том, кому разрешено действовать от их имени.