Гонка сдерживания: как Microsoft и Nvidia ставят ИИ-агентов под контроль

Эпоха автономных ИИ-агентов наступила — и с ней пришёл самый важный вопрос безопасности десятилетия: как дать агенту силу действовать, не дав ему силу разрушать? В середине 2026 года Microsoft и Nvidia дали два фундаментальных ответа. Microsoft опубликовала многоуровневую систему сдерживания для агентов и запустила Project Perception — автономную систему киберзащиты. Nvidia, спустя несколько дней после громкого инцидента с Hugging Face, сформировала альянс Open Secure AI (OSAA) — коалицию из 120+ участников, строящую открытые инструменты безопасности для агентов. Тенденция очевидна: те же компании, которые дают ИИ активные, автономные роли в киберзащите, спешат построить структуры, предотвращающие превращение этих агентов в новое поколение угроз.

Правила сдерживания Microsoft для автономных ИИ-агентов

Microsoft опубликовала многоуровневую систему сдерживания для автономных ИИ-агентов, основанную на принципе: агенты должны действовать в чётких, принудительно исполняемых границах, а не в режиме безграничной автономии.

Ключевые механизмы сдерживания, раскрытые в 2026 году

SDK Microsoft Execution Containers (MXC) — анонсированный на Build 2026, MXC обеспечивает изоляцию агентов на уровне ОС Windows, ограничивая доступ агента к ядру и файловой системе . Это основной примитив изоляции Microsoft. Компания позиционирует Windows как доверенную операционную систему для автономных агентов, описывая спектр механизмов изоляции: от изоляции процессов и сессий до планируемых микро-виртуальных машин, управляемых политикой MXC .

Многоуровневая защита — блог безопасности Microsoft (май 2026) определяет четыре уровня смягчения: уровень модели (обучающие данные, тонкая настройка, отказное поведение), уровень системы безопасности (фильтрация контента в рантайме, барьеры, логирование, наблюдаемость), уровень приложения (разрешения, рабочие процессы, пути эскалации) и уровень позиционирования (документация прозрачности и раскрытие UX) . Более поздняя запись в июне добавляет более детальный четырёхуровневый взгляд: уровень модели, уровень системы безопасности, уровень мета-промтов и привязки, и агентный уровень (разрешения на использование инструментов и контроль с участием человека) .

Стоп-листы MCP-серверов на уровне арендатора — организации должны вести утверждённый список издателей и серверов Model Context Protocol (MCP). Каталог MCP от Microsoft предоставляет проверенные серверы от первого лица, а все внешние компоненты рассматриваются как часть цепочки поставок ПО. Рекомендуется отключить опцию «Разрешить всё» для MCP-соединений и включать только те инструменты, которые нужны агенту .

Формирование SBOM для развёртывания агентов — Software Bill of Materials (законченный список компонентов ПО) с учётом зависимостей инструментов, с проверкой подписей и происхождения MCP-серверов перед установкой. Microsoft также рекомендует сканирование реестров на наличие скрытых инструкций в описаниях инструментов, фиксацию версий и мониторинг изменений всех внешних определений инструментов .

Барьеры на основе политик — помимо мониторинга, организации могут применять контрмеры на основе политик, устанавливающие, что агентам разрешено делать; они реализуются через SDK Agent 365 и инфраструктуру политик Windows . Блог Windows Developer Blog заявляет: «Сдерживание ограничивает то, к чему агенты могут получить доступ и что могут сделать, так что недетерминированное поведение не превращается в неконтролируемый риск» .

Управление на уровне плоскости управления — централизованное владение, управление жизненным циклом идентификации и обеспечение соблюдения требований для всех агентов в организации. Azure Cloud Adoption Framework рекомендует создать централизованную и принудительную базу управления и безопасности, согласованную с существующими практиками идентификации, управления данными и безопасности .

Как эти механизмы устраняют риски безопасности

Фреймворк охватывает всю цепочку атак: отравление цепочек поставок (через стоп-листы и SBOM), эскалацию привилегий (через изоляцию MXC), кражу данных (через барьеры рантайма и фильтрацию контента) и несанкционированное использование инструментов (через контрмеры разрешений и циклы с участием человека) . Таксономия отказов Microsoft после года краш-тестирования агентных систем добавляет архитектуру с нулевым доверием между агентами: для сценариев высокого риска идентичность агента должна устанавливаться криптографически, а не предполагаться по позиции в рабочем процессе .

Общеотраслевой сдвиг: активная киберзащита с более жёсткими контрмерами

Две крупные инициативы середины 2026 года иллюстрируют поворот отрасли к использованию агентов ИИ как в наступательных, так и в оборонительных целях, с одновременным введением более строгих барьеров.

Project Perception от Microsoft

Анонсированный 27 июля 2026 года, Project Perception — это агентная система безопасности, которая выходит за рамки генерации оповещений к непрерывным автоматическим действиям . Microsoft описала его как «непрерывно обучающуюся систему защиты», которая может «рассуждать, расставлять приоритеты и действовать на скорости машины, сохраняя людей под контролем» .

• Он развёртывает три специализированных типа агентов — красные агенты (атакуют, как злоумышленник), синие агенты (исследуют и сортируют угрозы) и зелёные агенты (исправляют и укрепляют защиту), которые координируются в полном цикле «найти-сортировать-исправить» . Агенты обмениваются данными через оркестрированные рабочие процессы, так что «находка становится исправлением — активно, без передачи на каждом шаге» .
• Платформа построена на первой собственной модели кибербезопасности Microsoft — MAI-Cyber-1-Flash, которая, по словам Microsoft, «обеспечивает производительность мирового класса при 50% затрат ведущих моделей» .
• Сообщается, что Microsoft перевела значительную часть собственных операций безопасности на эту модель ИИ, сократив вычислительные расходы примерно на 50% .
• Project Perception поступил в публичную предварительную версию 3 августа 2026 года в составе Microsoft Defender . Действия с высоким уровнем воздействия по-прежнему требуют одобрения человека .

Почему это важно: Это конкретный пример того, как агентам ИИ даются активные, автономные роли в киберзащите — зондирование систем, исправление уязвимостей и реагирование на угрозы без ожидания команд человека. Более жёсткий контроль обеспечивается описанными выше правилами сдерживания: агенты Project Perception по-прежнему работают в контейнерах MXC, под контролем на основе политик, с наблюдаемостью и контролем со стороны человека .

Альянс Open Secure AI (OSAA) от Nvidia

Сформированный 27 июля 2026 года — через несколько дней после громкого инцидента с Hugging Face, показавшего риски потери контроля над автономными агентами ИИ, — OSAA представляет собой отраслевую коалицию, создающую инструменты безопасности с открытым исходным кодом для агентов ИИ .

• Основатели (37 организаций): Microsoft, IBM, Cisco, CrowdStrike, Cloudflare, Dell, Hewlett Packard Enterprise, Linux Foundation, Hugging Face, Adobe, Capital One, Salesforce, SAP, SpaceXAI и другие . Примечательно, что OpenAI и Google отказались от участия .
• Быстрый рост: В течение недели альянс разросся до более чем 120 организаций-членов .
• Ключевые вклады с открытым исходным кодом: Nvidia открыла исходный код своего исследовательского инструмента NOOA (Nvidia Open Omniverse Agent), доступного на GitHub, для тестирования, трассировки, аудита и управления поведением агентов . Альянс также предложил руководство SAFE (Shared AI Findings Exchange) через Linux Foundation для прозрачного раскрытия уязвимостей и скоординированной защиты .
• Охват: Инструменты охватывают весь стек безопасности ИИ — идентификация и разрешения, инструменты управления агентами, барьеры рантайма, наблюдаемость, оценка и реагирование на инциденты .

Почему это важно: OSAA представляет собой коллективное признание отрасли в том, что ни один вендор не может обезопасить автономных агентов в одиночку. Фокус альянса на открытых моделях и общих инструментах — это осознанный противовес закрытым, проприетарным подходам: ставка делается на то, что более широкий доступ сообщества к инструментам безопасности опередит злоумышленников . Nvidia заявила: «Открытые модели демократизируют оборонительные возможности, повышают прозрачность для защитников, обеспечивают киберзащиту с сохранением данных и дополняют передовые закрытые модели настраиваемыми, локализованными контрмерами» .

Резюме: двойная тенденция

Измерение	Microsoft	Отрасль (OSAA / Nvidia)
Философия контроля	Изоляция на уровне ОС (MXC), барьеры на основе политик, контроль цепочек поставок	Открытые общие инструменты, прозрачные руководства (SAFE), защита силами сообщества
Активная защита	Project Perception — автономные красные/синие/зелёные агенты, находящие, исправляющие и устраняющие уязвимости	Открытые инструменты управления агентами и барьеры рантайма, обеспечивающие безопасную работу агентов
Устраняемый риск	Несанкционированные действия агентов, кража данных, отравление цепочек поставок	Потеря контроля над агентом, непрозрачное раскрытие уязвимостей, фрагментированные инструменты безопасности
Ключевое ограничение	Агенты работают в изолированных контейнерах в рамках политики, заданной человеком	Общие базовые показатели безопасности и открытые фреймворки предотвращают привязку к вендору, одновременно поднимая планку безопасности

Тенденция очевидна: те же компании, которые дают агентам ИИ активные, автономные роли в киберзащите, спешат построить структуры сдерживания и управления, предотвращающие превращение этих агентов в новое поколение угроз.