Агент стал сильнее периметра: что 2026 год изменил в LLM

Prompt injection - атака, при которой злоумышленник прячет команду в данных, которые читает агент: во входящем письме, PDF от поставщика, описании товара на маркетплейсе.

Агент с доступом к почте и ERP открывает документ и выполняет чужую инструкцию как свою.

Проактивность и устойчивость к инъекциям связаны напрямую.

Проактивный агент делает больше шагов без согласования с человеком, и на любом из них он может прочитать вредный текст или воспользоваться лишним доступом.

Случай OpenAI показывает, что модель, которой поставили цель, может пустить в ход любые доступные ей права.

Формулировка «самая устойчивая» означает меньше успешных атак в тестах Anthropic.

Что атаки перестанут срабатывать, Anthropic не заявляет. Цена, сниженная вдвое, расширяет круг компаний, которым агент по карману.

Моя гипотеза: до конца года агентов внедрят те, кто весной считал их слишком дорогими, и вместе с агентами у них появится новая поверхность атаки.

### Шлюз между моделью и данными Обращения к моделям идут через одну точку.

Наш LLM & Security Gateway маскирует персональные данные до отправки провайдеру, проверяет входящий контент на признаки инъекций и пишет в журнал вызов, промпт и ответ.

Через шлюз можно сменить провайдера - Anthropic Claude, OpenAI, GigaChat, YandexGPT, Qwen - без переписывания интеграций.

Пока авторы трёх открытых писем спорят о правилах, независимость от одного вендора защищает бюджет от чужих регуляторных решений. ###

Узкие права через MCP MCP - протокол, по которому агент получает инструменты.

Мы собираем MCP-серверы под конкретную задачу: агент читает остатки и создаёт черновик заказа, а оплату и изменение цены проводит только человек.

Если агент прочитал вредную инструкцию, у него нет инструмента, чтобы её выполнить. ###

Контекст из проверенных источников RAG подключает к агенту базу знаний компании: регламенты, договоры, каталог.

Модель отвечает по этим документам со ссылкой на источник и меньше опирается на случайный текст из входящих данных. ###

Черновик вместо прямой записи В проектах с PIM на Pimcore или Akeneo агент пишет тексты карточек, размечает таксономию и собирает фасеты для каталога.

Результат попадает в черновик, редактор принимает его или правит.

До запуска мы прогоняем агента на данных заказчика и измеряем долю правок.

Масштабировать начинаем, когда эта доля опускается до согласованного порога.

За 2026 год модели стали сильнее и дешевле быстрее, чем компании научились их ограничивать. Цена модели упала вдвое.

Цена инцидента с агентом, у которого права администратора, осталась прежней.

Бюджет этого года я бы вкладывал в контур: шлюз, права под задачу, журнал и проверку результата.

Модель внутри контура, по моей оценке, придётся менять раз в квартал, и при хорошем контуре замена занимает один день.