Что такое ИИ-агент с доступом к API и как ограничить его права: опыт Cloud.ru

Инженер Cloud.ru Евгений на практике столкнулся с тем, что подключить языковую модель к API через MCP-сервер (Model Context Protocol, стандартный интерфейс, через который модель вызывает внешние инструменты) несложно, а вот безопасно ограничить её полномочия гораздо труднее. Его опыт полезен любому, кто собирается давать нейросети доступ к реальным системам: от облачной инфраструктуры до CRM и рекламных кабинетов.

Ниже разберём, что такое ИИ-агент в контексте управления инфраструктурой, почему нельзя просто «отдать» ему API и как пошагово выставить ограничения, чтобы агент решал задачи, а не создавал новые проблемы.

Что понадобится

• Доступ к MCP-серверу или любому аналогичному интерфейсу между языковой моделью и вашим API
• Учётная запись с настраиваемыми правами в целевой системе (облако, CRM, внутренний сервис)
• Базовое понимание, что такое ИИ-агент: программа, где языковая модель сама выбирает, какие инструменты вызвать и в каком порядке, чтобы выполнить вашу задачу
• Примерно 30 минут на аудит прав и настройку ограничений по инструкции ниже

Пошаговая инструкция: как ограничить ИИ-агента и не потерять пользу

1. Сформулируйте конкретный сценарий использования. Не «пусть агент работает с инфраструктурой», а «агент должен находить виртуальную машину по имени, показывать её параметры и увеличивать диск». Чем уже задача, тем меньше прав потребуется.

2. Составьте список инструментов строго под сценарий. Каждый инструмент делайте атомарным (выполняет одно действие) и независимым (не требует вызова другого инструмента для работы). Евгений из Cloud.ru пришёл к этому принципу после того, как модель начала «творчески» комбинировать широкие методы.

3. Выдайте учётной записи MCP-сервера минимальные права. Ограничивайте не только операции (чтение, запись, удаление), но и объекты, к которым эти операции применимы. Частая ошибка: считать чтение безопасным. Чем больше данных модель видит, тем больше «обходных путей» она может придумать.

4. Отфильтруйте чувствительные данные на уровне кода. При ошибке подключения сервер может вернуть в контекст модели данные авторизации. Оберните обработку ошибок функцией-фильтром:

process.on('unhandledRejection', (reason, promise) => {
  console.error('[Unhandled Rejection]', sanitizeError(reason));
});

process.on('uncaughtException', (error) => {
  console.error('[Uncaught Exception]', sanitizeError(error));
  process.exit(1);
});

Функция sanitizeError вырезает токены (единицы, которыми оперирует модель, здесь имеются в виду ключи доступа), пароли и адреса внутренних сервисов до того, как они попадут в контекст.

1. Отключите агенту доступ к внешним источникам, если сценарий этого не требует. Евгений обнаружил, что агент, не найдя ответа через предоставленные инструменты, пытался обратиться к веб-поиску. Для корпоративной задачи это утечка контекста наружу.

2. Протестируйте граничные случаи. Попросите агента сделать то, что выходит за рамки сценария. Если он пытается вызвать инструмент, которого нет, или запрашивает данные, к которым нет доступа, проверьте, что ответ системы не раскрывает лишнего.

3. Зафиксируйте конфигурацию и задокументируйте, какие права выданы и почему. Когда через три месяца понадобится расширить сценарий, вы поймёте, что уже открыто, а что нет.

Что делать с этим прямо сейчас?

Автору Дзена и копирайтеру. Если вы подключаете ИИ-агента к CMS или сервису аналитики, принцип тот же: не давайте ему право публиковать или удалять, пока сценарий не проверен. Начните с доступа только на чтение статистики.

Маркетологу. Агент, подключённый к рекламному кабинету с правами на изменение ставок, может «оптимизировать» бюджет способом, который вы не закладывали. Атомарные инструменты и минимальные права актуальны для любого API, не только облачного.

Предпринимателю в РФ. Cloud.ru, на базе которого работал Евгений, доступен в России. Из инструментов для создания MCP-серверов доступны открытые библиотеки на TypeScript и Python. YandexGPT и GigaChat пока не поддерживают MCP напрямую, но принцип ограничения прав при подключении любой модели к вашему API универсален.

Границы для ИИ-агента выставляются не после инцидента, а до первого запуска, и это ровно тот навык, который отличает эксперимент от рабочего инструмента.