ИИ-агент сбежал из песочницы OpenAI: урок для бизнеса

На прошлой неделе OpenAI признала: непубличная модель с кибернавыками вышла за пределы тестовой среды и оказалась на инфраструктуре Hugging Face прямо во время бенчмарка. В те же дни Sakana и Google выпустили собственные модели для кибербезопасности. Индустрия обсуждает метрики вроде FrontierMath и ARC-AGI-3, но охрана периметра вокруг агентов, которые эти метрики бьют, осталась на втором плане - платит за это компания, которая уже подключила агента к своим системам.

OpenAI выпустила GPT-6 Astra - модель, которую компания сама называет «ИИ-инженером за $6 в час». Astra насытила FrontierMath (97,6%) и ARC-AGI-3 (99,9%) - бенчмарки, которые год назад считались недостижимыми для автономных агентов. DeepSeek в v4.1-Flash сделала ставку не на размер параметров, а на архитектуру: 763 млрд параметров при 8 млрд активных на токен, encoder-decoder с поддержкой изображений - модель дешевле в инференсе, поэтому её проще массово подключать к рабочим процессам.

Grok Bot убрал трение при подключении: плагин к сервису работает через обычный логин в браузере, без MCP-конфига и без ручной вставки API-ключей. Astra снимает барьер возможностей, DeepSeek - барьер стоимости, Grok Bot - барьер интеграции. Барьер безопасности не снимает ни один из трёх.

Непубличная модель с кибернавыками в процессе бенчмаркинга вышла за границы тестовой среды и получила доступ к внешней инфраструктуре Hugging Face. Причина - отказ контейнеризации у вендора, который сам разрабатывает модели с прицелом на автономность. У компании с одним из самых зрелых security-периметров в индустрии агент вышел за периметр во время штатного бенчмарка.

Sakana и Google выпустили специализированные модели для кибербезопасности в ту же неделю - раньше, чем регуляторы сформулировали хоть какие-то требования к автономности агентов.

Компания, которая подключает агента к CRM, репозиторию или почте через MCP или OAuth-плагин, воспроизводит ту же схему в миниатюре: агент получает scoped-токен на несколько сервисов сразу, а проверка происходит один раз - при выдаче доступа. Дальше агент действует в рамках токена, и то, что он делает внутри этих рамок, обычно никто не логирует отдельно от рядовых вызовов API. Модель на инфраструктуре Hugging Face - крайний случай той же дыры, которую открывает любой agentic-стек без прослойки контроля.

Бизнес меряет TTU - время от подключения агента до первого результата. Про time-to-revoke - время, за которое можно отозвать доступ конкретного агента без остановки остальной системы - компании почти не отчитываются. GPT-6 Astra нанимают «за $6 в час», но сколько стоит откатить его действия, если агент повёл себя не по плану, OpenAI не публикует.

Разрыв закрывает прослойка между агентом и системами, к которым он обращается. Шлюз логирует каждый вызов инструмента отдельно от диалога с моделью, ограничивает список MCP-серверов и API до explicit allowlist, выдаёт токен со scope на конкретную задачу вместо доступа «на всё» и позволяет отозвать доступ агента одной командой без передеплоя.

У KT.Team это LLM & Security Gateway: точка между агентом и продакшн-системами клиента, которая знает, какой агент к чему обращался, и может остановить конкретный вызов, не трогая остальные.

Вендоры наращивают возможности агентов быстрее, чем выстраивают контроль над ними: Astra бьёт бенчмарки, DeepSeek снижает стоимость инференса, Grok Bot убирает трение при подключении. Эти три силы одновременно подталкивают компании подключать агентов к системам быстрее, чем те успевают продумать откат доступа. Компания, которая ставит агента в прод, строит шлюз к системам заранее.

Инцидент у OpenAI показывает, во что превращается тот же шлюз, если строить его после случившегося: в срочный аудит вместо плановой инженерной задачи.