# A37: Автоматический вызов агентов и межагентная эскалация (Automatic agent invocation / cross-agent escalation)

> Скомпрометированный агент может запустить другой агент или приложение, расширяя последствия. Исследование Promptware описывает такие сценарии. Область поражения растёт: от календаря к умному дому, от почты к CRM, от документа к системам заявок и автоматизации реагирования.

- Канонический HTML: [/threats/a37-automatic-agent-invocation-cross-agent-escalation](https://ai-first.tech/threats/a37-automatic-agent-invocation-cross-agent-escalation)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность AI-агентов

## Как проявляется риск

Агент обрабатывает один источник и имеет возможность обращаться к соседним приложениям и агентам. Под влиянием обработанного содержимого он инициирует другой инструмент без осознанного решения пользователя. Вызванное приложение исполняет запрос, поскольку он пришёл от доверенного агента. Граница доверия нарушается на стыке приложений: права одного контура переносятся в другой без проверки. Цепочка вызовов удлиняется, а исходная причина скрывается за промежуточными шагами.

## Влияние на бизнес

- **Безопасность.** Сбой в одном приложении распространяется на смежные системы, включая средства реагирования.
- **Операции.** Непредусмотренные действия в CRM и системах заявок нарушают работу подразделений.
- **Данные.** Сведения из одного контура попадают в другой, где для них нет правил обращения.

## Где риск наиболее вероятен

- Многоагентные системы с взаимным вызовом
- Ассистенты, объединяющие почту, календарь и CRM
- Автоматизация заявок и реагирования на инциденты
- Агенты, управляющие устройствами

## Кому и что решать

- **ИТ-директор.** Проектировать агентные решения с явными границами между приложениями.
- **Директор по кибербезопасности.** Обеспечить политику границ действий, блокировку операций высокого риска и аудит цепочек вызовов.
- **Владелец бизнес-процесса.** Понимать, какие смежные системы затронет сбой агента, работающего в процессе.

## Признаки для службы мониторинга

- Длинные цепочки вызовов инструментов в ответ на простой запрос
- Действия в приложениях, к которым запрос пользователя не относился
- Переходы между приложениями происходят без подтверждений
- Один агент запускает другого без участия человека
- Действия не связаны с запросом пользователя

## Меры защиты

- **Политика границ действий** (организационная). Определить, какие переходы между агентами и приложениями допустимы.
- **Права на уровне приложений** (техническая). Выдавать разрешения отдельно для каждого приложения, чтобы доступ к одному не открывал другое.
- **Явное подтверждение переходов** (техническая). Запрашивать согласие пользователя при обращении агента к другому приложению или агенту.
- **Блокировка действий высокого риска** (техническая). Запретить автоматическое выполнение операций с существенными последствиями в цепочке.
- **Аудит цепочек вызовов** (мониторинг). Сохранять полную последовательность вызовов и выявлять межприложенческие действия без подтверждения.

## Вопросы команде и поставщику

- Какие агенты могут вызывать другие агенты и приложения?
- Где в цепочке решение принимает человек?
- Что станет доступно при компрометации одного агента?
- Можем ли мы восстановить всю последовательность действий?

## Показатели контроля

- Доля межприложенческих действий, выполненных с подтверждением
- Число цепочек вызовов, вышедших за пределы запроса
- Доля агентов с описанными границами действий

## Первые 30 дней

- Составить схему связей между агентами и приложениями
- Отключить автоматические переходы к системам высокого риска
- Включить сквозной журнал цепочек вызовов

## Классы решений

- Защита AI-агентов
- Шлюз AI
- Защитные ограничения для SOAR

## Сопоставления

- OWASP: LLM06
- MITRE: ATLAS: Agent Tool Misuse
- NIST: NIST AI RMF: Manage

## Первоисточники

- [arXiv: Invitation Is All You Need! Promptware Attacks Against LLM-Powered Assistants](https://arxiv.org/abs/2508.12175) — Исследование indirect prompt injection через почту, календарь и документы.
- [CISA / NSA: Careful Adoption of Agentic AI Services](https://www.cisa.gov/news-events/news/cisa-us-and-international-partners-release-guide-secure-adoption-agentic-ai) — Контроли для agentic AI.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.