Безопасность AI-агентов: как KYA становится новой compliance-категорией

92% компаний не знают, какие AI-агенты работают в их инфраструктуре. 86% не контролируют, к каким данным эти агенты имеют доступ. И только 16% могут эффективно управлять правами AI-сущностей в своих системах. Эти цифры — не из отчёта вендора безопасности. Это данные опроса 235 CISО крупнейших мировых компаний.

Рынок AI-агентов перешёл из стадии экспериментов в промышленное внедрение. Claude Code от Anthropic принёс $47 млрд annualised revenue. OpenAI готовит IPO. Anthropic продаёт корпоративные лицензии Claude Code на десятки миллиардов долларов. AI-агенты пишут код, обрабатывают транзакции, управляют цепочками поставок. И одновременно с этим становится очевидным: существующие модели безопасности не рассчитаны на нечеловеческих акторов, действующих автономно и на машинной скорости.

Новый класс цифровой идентичности

AI-агенты — принципиально новая сущность в корпоративной архитектуре. Они не люди, не сервисные аккаунты и не обычное ПО. Они автономны, эфемерны и действуют на скорости, с которой не справляются традиционные системы управления доступом.

Проблема не в том, что агенты получают доступ к данным. Проблема в том, что у агента нет identity — нет верифицируемого владельца, нет скоупа полномочий, нет audit trail, привязанного к принципалу. Без этого любой запрос агента к API корпоративной системы — это операция без субъекта. Агент исполняет, но не существует системы, которая отвечает на вопросы: «Кто этот агент? Что ему разрешено? Кто ответит, если он ошибётся?»

Рынок: от единичных стартапов к новой категории

Май 2026 года стал поворотным моментом. Geordie AI — платформа security и governance для AI-агентов — закрыла $30 млн Series A при оценке $180 млн. Раунд возглавил Balderton Capital, среди инвесторов — General Catalyst и Ten Eleven Ventures. За пять месяцев 2025 года компания показала 1 300% ARR-роста. В марте 2026 Geordie выиграл RSAC Innovation Sandbox — главный конкурс стартапов в индустрии кибербезопасности.

За один год после выхода из стелса Geordie развернул платформу у 30 корпоративных клиентов. В ходе пилотного внедрения у финансовой платформы AlphaSense система обнаружила на 327% больше AI-агентов, чем показывала существующая инвентаризация. Среди найденного — MCP-команды с доступом к критическим системам, скомпрометированные credentials и конфиденциальные данные, утекающие через незадокументированные агентские каналы.

Организации, которые сегодня могут безопасно разворачивать AI-агентов, получают новое конкурентное преимущество. Geordie позволяет командам применять holistic defence-in-depth, чтобы масштабировать agentic-системы с контролем.— Henry Comfort, CEO и сооснователь Geordie AI

Не только этот стартап. Tensormesh привлёк $20 млн на inference-оптимизацию с технологией KV caching от венчурных подразделений AMD, NVIDIA и CoreWeave. Canyon Code закрыл $5 млн pre-seed на workflow intelligence layer для multi-agent систем. Graphon AI собрал $8,3 млн на pre-model intelligence layer. Рынок инструментария для AI-агентов формируется сразу на нескольких уровнях стека: от identity и governance до observability и runtime-защиты.

Know Your Agent: стандартизация доверия

Параллельно с рыночной активностью идёт нормотворчество. В феврале 2026 года Национальный институт стандартов США запустил AI Agent Standards Initiative (AASI) — первую федеральную программу, целенаправленно ориентированную на безопасность автономных AI-агентов. Инициатива включает три направления: отраслевые стандарты, открытые протоколы интероперабельности (включая MCP и A2A) и фундаментальные исследования аутентификации и identity для агентов.

В апреле 2026 года Decentralized Identity Foundation (DIF) анонсировала KYA-OS — открытый стандарт identity и делегирования для агентских протоколов. Спецификация использует Decentralized Identifiers (DIDs) и Verifiable Credentials (VCs) для создания криптографически верифицируемых identity агентов с тремя уровнями conformance. KYA-OS уже поддержан Visa (TAP), Trulioo и Sumsub.

OWASP Agentic Top 10, опубликованный в декабре 2025 года, дал практикам первый работающий словарь угроз для agentic-систем: hijack целей агента, misuse инструментов, атаки на меж-agentное взаимодействие, poisoning памяти и контекста. The Cloud Security Alliance (CSA) дополнила картину фреймворком MAESTRO для multi-agent архитектур и STAR for AI для сертификации.

Параллельно Сингапур выпустил первый национальный Model AI Governance Framework for Agentic AI — регуляторный ориентир для правительств и корпораций. EU AI Act вступает в силу с августа 2026 года и требует operator identity в логах поведения высокорисковых AI-систем. Все три вектора — отраслевые стандарты, открытые протоколы и национальное регулирование — сходятся в одной точке: агент должен иметь верифицируемую identity.

Архитектура нового стека безопасности

Традиционные модели безопасности строились вокруг треугольников «пользователь — устройство — доступ». AI-агенты не вписываются ни в одну из этих категорий. Forrester в апреле 2026 года представил фреймворк AEGIS (Agentic AI Enterprise Guardrails for Information Security), который определяет шесть измерений безопасности для agentic-систем: governance, identity, data, application security, threat operations и Zero Trust.

Ключевое различие — переход от least privilege к least agency. Если традиционный контроль доступа отвечает на вопрос «к каким ресурсам имеет доступ субъект», то least agency ограничивает не только доступ, но и то, какие решения агент имеет право принимать. Агент с доступом к CRM может читать данные — но может ли он вносить изменения? Создавать сделки? Отправлять коммерческие предложения? Без KYA-инфраструктуры эти вопросы остаются без ответа. Разрыв между способностью агента действовать и способностью предприятия контролировать эти действия — главный organisational risk 2026 года.

Что это значит для бизнеса

Первое. Каждая компания, разворачивающая AI-агентов в production, должна инвентаризировать все agentic-деплои сегодня — не завтра. NIST IR 8596 и EU AI Act не оставляют выбора. 92% компаний не видят своих агентов — это прямой compliance-пробел.

Второе. KYA-инфраструктура станет таким же стандартом, каким пять лет назад стал Zero Trust. Visa уже встраивает KYA в платёжные протоколы. DIF формирует открытый стандарт. Институт создаёт overlay для SP 800-53. Компании, которые начнут внедрять agent identity сейчас, получат регуляторное преимущество к 2027 году.

Третье. Рынок KYA — не нишевая история. За три года стартапы в категории привлекли $278 млн. Крупнейшие вендоры безопасности — Palo Alto Networks, CrowdStrike, Microsoft — уже перестраивают продуктовые дорожные карты. При этом менее 20 компаний в мире предлагают целостную KYA-инфраструктуру. Окно возможностей для новых игроков — 12–18 месяцев.

Четвёртое. Социальные платформы не ждут стандартов. Telegram с миллиардом активных пользователей стал первой платформой, где AI-агенты координируются напрямую. Telegram в мае 2026 года включил прямую коммуникацию между AI-ботами — bot-to-bot mode. Каждый бот может отправить сообщение другому боту по @username, но только при взаимном opt-in. Разработчики OpenClaw — open-source рантайма для AI-агентов — в тот же день подали GitHub issue: им нужна поддержка для multi-agent сетапа, где один агент делегирует задачу другому без человека в цепочке. На платформе с миллиардом пользователей агенты теперь могут обмениваться сообщениями без человека-посредника. Mira, AI-агент на Telegram, уже набрала 500 тысяч активных пользователей. Когда агенты начинают координироваться на инфраструктуре массового мессенджера, вопрос identity и governance перестаёт быть академическим.

Пятое. Академические исследования фиксируют пробел в покрытии угроз. Georgia Tech и OWASP провели совместное исследование 17 security-фреймворков для multi-agent систем. OWASP Agentic Security Initiative покрывает лишь 65% идентифицированных категорий угроз для multi-agent систем. Исследователи Cooperative AI Foundation выделили три структурных failure mode: miscoordination, conflict, collusion. Существующие фреймворки безопасности не были спроектированы для обнаружения скоординированных swarm-атак. KYA-инфраструктура закрывает этот пробел — через верифицируемую identity каждого агента.

Источники