Microsoft і Nvidia оприлюднили правила безпеки для автономних ШІ-агентів: контейнеризація, проєкт Perception та відкритий альянс OSAA

Захист у глибину за рівнями — у блозі безпеки Microsoft (травень 2026) визначено чотири рівні пом'якшення: рівень моделі (навчальні дані, тонке налаштування, поведінка відмови), рівень системи безпеки (фільтрація контенту в реальному часі, guardrails, логування, спостережуваність), рівень додатку (дозволи, робочі процеси, шляхи ескалації) та позиційний рівень (прозорість документації та UX-розкриття) . Пізніший допис у червні додає більш деталізований чотирирівневий погляд: рівень моделі, рівень системи безпеки, рівень метапромпту та обґрунтування та агентний рівень (дозволи на використання інструментів і перевірки за участю людини) .

Списки дозволів на рівні клієнта для MCP-серверів — організації повинні вести затверджений список видавців і серверів протоколу контексту моделі (MCP). Каталог MCP від Microsoft надає перевірені сервери першої сторони, а всі зовнішні компоненти розглядаються як частина ланцюжка постачання програмного забезпечення. Рекомендується вимкнути опцію "Дозволити все" для MCP-з'єднань і ввімкнути лише конкретні інструменти, необхідні агенту .

Генерація SBOM для розгортання агентів — програмний білль матеріалів, що включає залежності від інструментів, з перевіркою підписів і походження для MCP-серверів перед встановленням. Microsoft також рекомендує сканування реєстру на приховані інструкції в описах інструментів, фіксацію версій з моніторингом змін для всіх зовнішніх визначень інструментів .

Політики на основі guardrails — окрім моніторингу, організації можуть застосовувати політики для визначення того, що дозволено робити агентам, за допомогою SDK Agent 365 та інфраструктури політик Windows . У блозі для розробників Windows зазначено: "Стримування обмежує те, до чого агенти можуть отримати доступ і що можуть зробити, тому недетермінована поведінка не перетворюється на некерований ризик" .

Управління площиною контролю — централізоване володіння, управління життєвим циклом ідентифікацій та контроль відповідності для всіх агентів в організації. Рамки впровадження Azure Cloud від Microsoft рекомендують встановити централізований і забезпечуваний базовий рівень управління та безпеки, узгоджений із наявними практиками ідентифікації, управління даними та безпеки .

Як це вирішує ризики безпеки

Рамки націлені на повний ланцюг атак — отруєння ланцюжка постачання (через списки дозволів і SBOM), підвищення привілеїв (через ізоляцію MXC), витік даних (через guardrails реального часу та фільтрацію контенту) і неавторизоване використання інструментів (через контроль дозволів і цикли за участю людини) . Таксономія режимів збою після року тестування агентних систем додає архітектуру з нульовою довірою між агентами: для сценаріїв високого ризику ідентичність агента повинна встановлюватися криптографічно, а не припускатися на основі позиції в робочому процесі .

Ширший галузевий зсув: активний кіберзахист із жорсткішим контролем

Дві великі ініціативи середини 2026 року ілюструють зсув галузі до використання ШІ-агентів наступально та оборонно в кібербезпеці з одночасним запровадженням суворіших обмежень.

Project Perception від Microsoft

Анонсований 27 липня 2026 року, Project Perception — це агентна система безпеки, яка виходить за межі генерації сповіщень до безперервних автоматизованих дій . Microsoft описала його як "систему захисту, що безперервно навчається", яка може "міркувати, визначати пріоритети та діяти на швидкості машини, залишаючи людей під надійним контролем" .

• Він розгортає три спеціалізовані типи агентів — червоні агенти (зондують, як атакуючі), сині агенти (досліджують і сортують загрози) та зелені агенти (виправляють та зміцнюють), які координуються в повному циклі знайди-сортуй-виправ . Агенти обмінюються інформацією через оркестровані робочі процеси, тому "знахідка стає виправленням проактивно, без передачі на кожному кроці" .
• Платформа побудована на першій власній моделі кібербезпеки Microsoft — MAI-Cyber-1-Flash, яка, за словами Microsoft, "забезпечує продуктивність світового рівня при 50% вартості провідних моделей" .
• Microsoft, за повідомленнями, перевів значну частину власних операцій безпеки на цю модель, скоротивши витрати на обчислення приблизно на 50% .
• Project Perception став доступним у публічній попередній версії 3 серпня 2026 року в Microsoft Defender . Впливові дії все ще вимагають схвалення людини .

Чому це важливо: Це конкретний приклад надання ШІ-агентам активних автономних ролей у кіберзахисті — зондування систем, виправлення вразливостей та реагування на загрози без очікування вказівок людини. Жорсткіший контроль забезпечується вищезгаданими правилами стримування: агенти Project Perception все ще працюють у контейнерах MXC, під керівництвом політик guardrails, із спостережуваністю та наглядом людини .

Open Secure AI Alliance (OSAA) від Nvidia

Створений 27 липня 2026 року — через кілька днів після гучного інциденту з Hugging Face, який підкреслив ризики втрати контролю над автономними ШІ-агентами, — OSAA є галузевою коаліцією, яка будує відкриті інструменти безпеки для ШІ-агентів .

• Засновники (37 організацій): Microsoft, IBM, Cisco, CrowdStrike, Cloudflare, Dell, Hewlett Packard Enterprise, Linux Foundation, Hugging Face, Adobe, Capital One, Salesforce, SAP, SpaceXAI та інші . Примітно, що OpenAI та Google відмовилися від участі .
• Швидке зростання: Протягом тижня альянс розширився до понад 120 членів .
• Ключові внески з відкритим кодом: Nvidia відкрив вихідний код свого дослідницького фреймворку NOOA (Nvidia Open Omniverse Agent), доступного на GitHub, для тестування, трасування, аудиту та управління поведінкою агентів . Альянс також запропонував рекомендації через Linux Foundation для прозорого розкриття вразливостей та скоординованого захисту .
• Сфера: Інструменти охоплюють весь стек безпеки ШІ — ідентичність і дозволи, фреймворки агентів, guardrails реального часу, спостережуваність, оцінку та реагування на інциденти .

Чому це важливо: OSAA представляє колективне визнання галузі того, що жоден окремий постачальник не може захистити автономні агенти самостійно. Зосередженість альянсу на відкритих моделях і спільних інструментах є навмисною противагою закритим пропрієтарним підходам — розрахунок на те, що ширший доступ спільноти до інструментів безпеки випередить атакуючих . Nvidia заявив: "Відкриті моделі демократизують оборонні можливості, підвищують прозорість для захисників, уможливлюють кіберзахист із захистом даних і доповнюють передові закриті моделі налаштовуваними локалізованими засобами контролю" .

Підсумок: подвійна тенденція

Тенденція очевидна: ті самі компанії, що надають ШІ-агентам активну автономну роль у кіберзахисті, паралельно створюють системи стримування та управління, щоб запобігти перетворенню цих агентів на нове покоління загроз.