# A35: «Обманутый посредник» в агентных процессах (Confused deputy in agentic workflows)

> Агент обладает доверенным доступом к внутренним системам, но его решениями может управлять недоверенное содержимое. Человек без прямого доступа использует привилегии ассистента через данные, которые тот читает.

- Канонический HTML: [/threats/a35-confused-deputy-in-agentic-workflows](https://ai-first.tech/threats/a35-confused-deputy-in-agentic-workflows)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность AI-агентов

## Как проявляется риск

Агент получает на обработку внешний документ, письмо или страницу. В содержимом есть указание использовать доступ агента к внутренней системе для операции, выгодной постороннему. Модель не отличает данные от распоряжений и действует как «обманутый посредник» (confused deputy). Граница доверия нарушается, когда привилегированный вызов инструмента следует за чтением недоверенного источника. Формально операцию выполняет законная учётная запись, поэтому средства контроля доступа не видят нарушения.

## Влияние на бизнес

- **Безопасность.** Посторонний получает возможность действовать во внутренних системах чужими привилегиями.
- **Данные.** Внутренние сведения могут быть извлечены или изменены по указанию из внешнего содержимого.
- **Право и комплаенс.** Операция оформлена на законного пользователя, что затрудняет расследование и распределение ответственности.

## Где риск наиболее вероятен

- Ассистенты, разбирающие входящую почту и вложения
- Агенты с поиском по внешним источникам
- RAG-системы с правом действий во внутренних системах
- Обработка документов контрагентов

## Кому и что решать

- **ИТ-директор.** Требовать в архитектуре агентных решений разделения каналов данных и управления.
- **Директор по кибербезопасности.** Обеспечить привязку прав действия к источнику запроса и запрет на управление инструментами из внешнего содержимого.
- **Владелец бизнес-процесса.** Определить операции, которые агент не должен выполнять после работы с внешними материалами без подтверждения.

## Признаки для службы мониторинга

- Действие агента повторяет указание из внешнего содержимого
- Источник распоряжения не совпадает с пользователем сеанса
- Привилегированный вызов следует сразу за получением недоверенных данных
- Операция не связана с исходным запросом пользователя
- В контексте отсутствует маркировка происхождения данных

## Меры защиты

- **Политики допустимых действий** (организационная). Описать, какие операции разрешены агенту в каждом сценарии и при каких условиях.
- **Авторизация с привязкой к источнику** (техническая). Разрешать действие только если распоряжение исходит от пользователя, а не из прочитанного содержимого.
- **Маркировка происхождения контекста** (техническая). Помечать внешние данные как недоверенные, чтобы политика могла учитывать источник.
- **Запрет управления инструментами извне** (техническая). Не допускать вызова инструментов по указаниям из внешнего содержимого.
- **Подтверждение привилегированных операций человеком** (организационная). Запрашивать согласие пользователя на привилегированные операции после чтения внешних источников.
- **Корреляция чтения и действий** (мониторинг). Выявлять привилегированные вызовы, следующие за получением недоверенных данных.

## Вопросы команде и поставщику

- Какие агенты одновременно читают внешние данные и имеют доступ к внутренним системам?
- Как система отличает распоряжение пользователя от текста в документе?
- Какие операции требуют подтверждения после работы с внешним содержимым?
- Можно ли по журналу восстановить, что вызвало действие агента?

## Показатели контроля

- Доля агентных сценариев с маркировкой происхождения данных
- Число привилегированных вызовов после чтения недоверенных источников
- Доля таких вызовов, прошедших подтверждение человеком

## Первые 30 дней

- Выявить агентов, сочетающих внешние источники и привилегированные инструменты
- Ввести подтверждение для их привилегированных действий
- Добавить в журнал сведения об источнике каждого распоряжения

## Классы решений

- Защита AI-агентов
- Защита RAG
- Управление учётными записями и доступом (IAM)

## Сопоставления

- OWASP: LLM06
- MITRE: ATLAS: Agent Tool Misuse
- NIST: NIST AI RMF: Manage

## Первоисточники

- [OWASP: LLM01:2025 Prompt Injection](https://genai.owasp.org/llmrisk/llm01-prompt-injection/) — Прямые и косвенные prompt injection и меры снижения риска.
- [OWASP: LLM06:2025 Excessive Agency](https://genai.owasp.org/llmrisk/llm062025-excessive-agency/) — Избыточные полномочия и автономность агентов.
- [arXiv: Invitation Is All You Need! Promptware Attacks Against LLM-Powered Assistants](https://arxiv.org/abs/2508.12175) — Исследование indirect prompt injection через почту, календарь и документы.
- [arXiv: AI Agents and Indirect Prompt Injections: Public Competition](https://arxiv.org/abs/2603.15714) — Публичная competition по red teaming AI agents.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.