Теневые ИИ-агенты в компании: как провести аудит

Осенью 2024 года в отчётах по корпоративной безопасности закрепился новый термин — shadow AI. Речь не про то, что сотрудник вставил кусок кода в ChatGPT. Речь про самописных агентов: скрипты и no-code сценарии, которые ходят в почту, CRM и базы, дергают модель по API и что-то делают автоматически — рассылают, суммируют, принимают решения. Их никто не согласовывал, никто не мониторит, и в реестре ИТ-активов их нет. Аудит таких агентов — отдельная задача, которая не сводится к блокировке домена openai.com на файрволе.

Что считать теневым агентом

Разовый запрос в чат-бот — это shadow AI в широком смысле, но не агент. Агент¹ отличается тем, что действует в цикле: получает задачу, сам вызывает инструменты (API, поиск, отправку писем), оценивает результат и повторяет. Именно автономность делает его опасным: разовый промпт можно проверить глазами, а агент, который раз в час выгружает свежие сделки из CRM и отправляет их в стороннюю модель, работает молча месяцами.

Типичные формы, которые вы найдёте в реальной компании:

• Python-скрипт аналитика на связке с API модели, запущенный на его рабочей машине по cron;
• сценарий в Make, Zapier или n8n, который триггерится на новое письмо и прогоняет его через LLM;
• кастомный GPT или ассистент, которому дали доступ к корпоративному Google Drive через коннектор;
• браузерное расширение-агент, читающее содержимое открытых вкладок с внутренними системами;
• «помощник» внутри SaaS-сервиса, который сотрудник подключил к рабочей почте без согласования.

Опасен не тот агент, который отвечает на вопросы, а тот, который сам куда-то ходит и что-то отправляет. Первый — калькулятор. Второй — сотрудник без трудового договора и без контроля доступа.

Почему это отдельный риск, а не подвид shadow IT

Классический теневой ИТ — это когда отдел завёл себе Trello мимо ИТ. Данные хоть и утекают в чужой сервис, но остаются в понятном контуре. Теневой агент добавляет два новых свойства.

Первое — данные уходят в модель. Что именно провайдер делает с содержимым запроса, зависит от тарифа и настроек. У части сервисов бесплатные и потребительские тарифы допускают использование ввода для обучения, у корпоративных (Enterprise, API с отдельным соглашением) — обычно нет. Проверять это нужно по действующим условиям конкретного провайдера, а не по памяти: формулировки меняются.

Второе — агент принимает действия. Скрипт, который сам отвечает клиентам или меняет данные в системе, — это исполнитель без ревью. Ошибка модели превращается в реальное письмо, отправленное реальному человеку. И виноватого в моменте нет: сотрудник скажет, что «просто автоматизировал рутину».

Как провести аудит: пошагово

Аудит теневых агентов — это не разовая проверка, а цикл. Ниже — порядок, который работает и в компании на 50 человек, и на 5000.

1. Инвентаризация исходящего трафика. Через прокси или DNS-логи соберите обращения к доменам известных провайдеров моделей (openai.com, anthropic.com, api эндпоинты облаков). Регулярные запросы с одной машины по расписанию — первый признак агента, а не человека.
2. Аудит подключённых приложений. В корпоративном Google Workspace или Microsoft 365 посмотрите список OAuth-приложений, которым сотрудники выдали доступ. Ассистенты и коннекторы к почте и диску всплывут именно здесь.
3. Опрос команд. Прямой вопрос «что вы автоматизировали через ИИ» на анонимной форме даёт больше, чем логи: люди охотно рассказывают о том, чем гордятся, если им не грозит наказание.
4. Проверка no-code платформ. Запросите у Make, Zapier, n8n список активных сценариев по корпоративным аккаунтам. Часто оплата идёт с личной карты — тогда поможет только опрос.
5. Классификация по риску. Для каждого найденного агента зафиксируйте: какие данные читает, куда отправляет, какие действия совершает сам, чей это аккаунт.
6. Решение по каждому. Не «запретить всё», а три корзины: легализовать и перенести в контролируемый контур, ограничить доступ, отключить.

Матрица решений

Реакция должна зависеть от того, что агент читает и что делает. Полезный сценарий, который экономит команде часы, глупо убивать из-за формальности — его нужно перенести в контролируемую среду.

Инструменты, которые помогают

Готового «сканера теневых агентов» одной кнопкой пока нет — задача решается сочетанием того, что уже есть в компании. CASB-решения и корпоративные прокси видят обращения к API моделей. DLP ловит утечку типовых данных (номера карт, паспорта) в исходящих запросах. Инвентаризация OAuth-приложений встроена в консоли администратора Google Workspace и Microsoft 365 — это бесплатно и делается за час. Для no-code платформ придётся идти через биллинг и опрос.

Отдельная категория — платформы наблюдаемости для LLM (например, трейсинг вызовов через LangSmith и аналоги). Но они помогают, только если агенты уже живут в вашем контуре и вы их логируете. Для скрытых от вас скриптов это бесполезно — сначала нужно их найти.

Кому это пригодится и кому нет

Пригодится:

• компаниям, работающим с персональными данными клиентов — здесь неконтролируемая передача в модель это ещё и вопрос соответствия закону о персональных данных;
• командам с сильной инженерной культурой, где сотрудники сами пишут автоматизации быстрее, чем ИТ успевает их согласовать;
• бизнесу под аудит или сертификацию по инфобезу, где нужен полный реестр обработки данных.

Избыточно:

• компаниям из 5–10 человек, где все автоматизации на виду и обсуждаются в общем чате;
• там, где ИИ-инструменты вообще не используются в работе — тогда аудит сведётся к разовому опросу.

¹ Агент — программа, которая для решения задачи в цикле сама вызывает внешние инструменты (поиск, API, отправку сообщений) и решает, что делать дальше, на основе результата. Отличается от чат-бота автономностью: не ждёт следующего вопроса, а действует.