ИИ-агент в 1С и Jira только с правами сотрудника: схема AGIMA не пускает пароли в модель

Персональный ИИ-помощник удобен для работы с текстом, но в компании цена ошибки выше. Пользователь может случайно отправить модели пароль, а агент получить слишком широкие права и изменить данные не там, где нужно. В блоге AGIMA на Хабре описано, как этот риск закрывают архитектурой, а не уговорами быть осторожнее.

Опаснее, если агент получает доступ к внутренним системам без понятных границ. : Назар Башинский, разработчик AGIMA

Что нового в подходе AGIMA?

Сначала коротко о главном термине. ИИ-агент (agent) похож на исполнительного помощника: он не только отвечает на вопрос, но и сам выполняет действия в рабочих программах.

Схема собрана из нескольких слоёв:

• Работа внутри компании. Контур разворачивают на собственных серверах (on-prem), а не в чужом облаке.
• Привычный вход. Сотрудник пишет боту в корпоративном мессенджере Mattermost, как обычному коллеге. Внутри работает Codex App Server, подключённый к мессенджеру через коннекторы.
• Действия от имени человека. Работает имперсонация: агент действует не через общую служебную учётную запись, а от лица конкретного сотрудника и с его правами.
• Два шлюза. LLM Gateway пропускает запросы к большой языковой модели и следит за лимитами. MCP Gateway служит единой точкой подключения корпоративных систем.
• Защита от утечек. Система DLP проверяет запрос до отправки модели и не выпускает пароли и токены доступа за пределы контура.
• Сейф для паролей. Учётные данные лежат в хранилище Vault, вход в него идёт через единый корпоративный вход (SSO). Шлюз берёт нужный ключ только в момент обращения.
• Журнал действий. Аудит фиксирует, кто начал запрос, какие правила сработали, откуда взяты данные и чем всё закончилось.
• Запись отдельно от чтения. Операции, которые меняют данные, проходят отдельный контроль.

Деталь показательная: к чистому Codex команда пришла по итогам тестов. До этого она пробовала обвязки (харнессы, которые превращают модель в агента с инструментами) OpenClaw и Hermes. В связке с Mattermost у Codex оказалось меньше ошибок, а настройка гибче.

Ещё один слой называют корпоративной онтологией. Это карта процессов, ролей и связей в компании, которая помогает агенту понять, какой шаг процесса и какой источник нужен. Права доступа она не заменяет.

Как попробовать подход у себя?

1. Найдите материал AGIMA на Хабре и покажите схему тому, кто отвечает за IT в компании.
2. Выпишите системы, к которым хотите подпустить агента, и разделите задачи на чтение и запись.
3. Проверьте, куда уходят пароли и ключи: в промптах (текстовых запросах к модели) их быть не должно.
4. Решите, где человек обязан подтвердить действие агента, прежде чем тот что-то изменит.

Можно ли собрать такое на YandexGPT или GigaChat?

Схема устроена так, что интерфейс и модели можно менять, а ограничения доступа остаются в инфраструктурном слое. Из доступных в РФ языковых моделей, YandexGPT и GigaChat. Подключала ли их AGIMA, в материале не сказано, поэтому это вопрос к вашему подрядчику, а не готовый рецепт.

Что делать с этим прямо сейчас, по ролям

Автору Дзена. Тема безопасности агентов в рунете раскрыта слабо, а читатели работают в компаниях с 1С. Разбор «почему нельзя давать боту пароль» простыми словами соберёт практическую аудиторию.

Маркетологу. Если отдел подключает агента к CRM или рекламным кабинетам, спросите, от чьего имени он действует. Общая учётная запись с широкими правами означает, что ошибка бота станет ошибкой всего отдела.

Предпринимателю. Схема рассчитана на собственные серверы, поэтому не зависит от доступности зарубежного облака. Начните с одного сценария только на чтение, например поиск по базе знаний, и лишь потом давайте право что-то менять.

Частые вопросы: что такое ИИ-агент и зачем ему ограничения

Что такое ИИ-агент простыми словами?

Если коротко, что такое ИИ-агент: это нейросеть, которой дали инструменты. Она не только пишет текст, но и заходит в программы, ищет данные и выполняет действия по вашей просьбе.

Почему нельзя просто дать агенту доступ ко всему?

Агент может ошибиться и изменить не те данные, а пароль из переписки может уйти в модель. Поэтому AGIMA пропускает каждый запрос через проверку прав, шлюзы и журнал.

Это готовый продукт, который можно купить?

Нет. Это описание архитектуры, цену и сроки внедрения AGIMA не называла. Начните с одного безопасного сценария на чтение: так вы проверите пользу агента, не рискуя данными компании.