Что такое ИИ-агент на сервере и как не дать ему снести рабочую базу: 7 шагов

Для тех, кто пока не работал с серверными задачами через нейросети, коротко поясню, что такое ИИ-агент в этом контексте. Это программа на базе языковой модели, которая сама выполняет команды на компьютере: читает файлы, запускает скрипты, правит конфиги. В отличие от обычного чат-бота, агент действует, а не только отвечает. Именно поэтому вопрос прав доступа из теоретического становится практическим: агент с правами администратора может натворить ровно столько, сколько позволяет учётная запись.

Автор оригинального руководства описывает два реальных инцидента из собственной практики. В первом случае ИИ-агент при очистке рабочих копий репозитория случайно удалил общую папку зависимостей проекта. Откат занял одну команду, потому что резервный lock-файл был под рукой. Во втором случае другой агент при слиянии веток молча затёр исправления безопасности из соседнего пулреквеста. Заметили по диффу (разнице между версиями файлов) и вернули трёхсторонним слиянием. Оба случая закончились легко, но только потому, что откат был продуман заранее.

Что понадобится

• Сервер или виртуальная машина с Linux (подойдёт любой VPS от 500 рублей в месяц)
• Возможность создавать отдельных пользователей на сервере (доступ к sudo)
• VPN-инструмент: Tailscale или WireGuard (оба бесплатны для личного использования)
• Система резервного копирования: встроенные снимки VPS, rsync или аналог
• ИИ-агент с доступом к терминалу (Claude Code, Cursor, Cline или аналогичный)
• Время: около двух часов на первичную настройку, затем неделя в режиме «только чтение»

Семь шагов к безопасному серверному агенту

1. Создайте отдельного пользователя без root для каждого сервера. Этим пользователем работает только агент. Команда sudo доступна исключительно для конкретных действий, например systemctl restart myapp, а не для всего подряд. В базу данных агент входит под ролью, которая читает всё, а пишет только в разрешённые таблицы. Никаких боевых паролей и ключей в файлах, доступных этому пользователю.

# Создаём пользователя для агента
sudo adduser ai-agent --disabled-password

# Разрешаем только перезапуск конкретного сервиса
echo "ai-agent ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart myapp" | sudo tee /etc/sudoers.d/ai-agent

1. Не открывайте новые порты ради ИИ. Подключайте агента через Tailscale или WireGuard, либо используйте инструмент, где сервер сам подключается наружу. Любой открытый порт найдут сканеры в течение часов, даже если сам агент им не воспользуется.

2. Первая неделя: только смотреть. Агент читает логи, конфиги, состояние сервисов и объясняет, что видит, но ничего не меняет. Так вы узнаете, насколько часто модель неправильно понимает вашу систему, и цена этого знания равна нулю.

3. Сначала откат, потом действие. Снимки виртуальных машин и датасетов перед любым изменением. Резервные копии хранятся там, куда агент не дотянется: другой пользователь, другой хост или хранилище с режимом «только дозапись». Хотя бы раз проверьте восстановление из копии. Непроверенная копия, это надежда, а не копия.

4. Всё повторяющееся превращайте в скрипт. ИИ-агент оформляет действие скриптом или плейбуком Ansible (набор инструкций для автоматической настройки серверов). Вы читаете код, коммитите в репозиторий и запускаете сами. Перед каждым разовым действием задавайте агенту прямой вопрос:

Что именно это изменит и как это откатить?

Это правило напрямую спасло автора руководства во втором инциденте: затёртые исправления обнаружили именно потому, что изменения проходили через читаемый дифф.

1. Ведите журнал всего, что запускалось. Какая команда, на какой машине, чем закончилась. История команд отдельного пользователя, уже рабочее начало. Цель: ответить на вопрос «что агент делал в два часа ночи» без догадок.

2. Настройте кнопку «стоп». Возможность за секунды отменить запущенную задачу и отключить машину, в том числе с телефона. Если вы не за рабочим столом, агент не должен продолжать действовать без вашего контроля.

Проверь текущий конфиг nginx, предложи оптимизацию для статики, оформи изменения скриптом. Ничего не применяй.

Что с этим делать прямо сейчас?

Автору на Дзене, который использует ИИ для генерации контента: даже если вы не администрируете серверы, принцип «минимальных прав» работает и для десктопных ИИ-агентов. Не давайте агенту доступ ко всей файловой системе, ограничьте рабочей папкой проекта. Понимание того, что такое ИИ-агент и где проходит граница его полномочий, защитит вас от случайной потери черновиков и рабочих файлов.

Маркетологу и предпринимателю в РФ. Если вы разворачиваете ИИ-агента на российском VPS (Selectel, Timeweb, VK Cloud), все семь шагов применимы без изменений. Tailscale работает в России. Из инструментов для агентного доступа к серверам доступны Claude Code (через VPN) и открытые решения на базе моделей с открытыми весами (open weights), например Llama или Qwen, которые можно запустить локально без ограничений.

Фрилансеру, который настраивает серверы клиентам. Чек-лист из семи пунктов можно включить в договор как стандарт безопасности при подключении ИИ-инструментов. Это переводит разговор с клиентом из плоскости «доверяете ли вы ИИ» в плоскость «какие права мы ему выдаём».

Ни один из семи шагов не требует конкретного ИИ-инструмента и не зависит от размера вашей инфраструктуры. Создайте отдельного пользователя, закройте лишние порты, дайте агенту неделю «только смотреть» и настройте кнопку «стоп» до первой боевой команды. Уверенная ошибка модели неизбежна, но её цена целиком в ваших руках.