Умение работать с ИИ в информационной безопасности перестаёт быть отдельным навыком. Его ожидают так же, как знание Office. Разница в цене ошибки. Неумелая работа с Word отнимает время. Неумелая работа с ИИ-агентом расходует лимиты подписки и деньги компании.

Модель и агент

Модель отвечает на вопрос текстом. Так устроен обычный чат.

Агент использует модель вместе с инструментами: запускает команды, читает и создаёт файлы, ходит в интернет, открывает браузер. На просьбу «сделай сайт» модель только описывает, как он мог бы быть. Агент его создаст.

Примеры: Claude Code, Codex, открытый OpenCode. Модель можно поднять локально через Ollama, но на домашнем железе она медленнее облачной.

Почему агент забывает инструкции

Ключевое понятие — контекст. Это всё, что модель знает в текущей сессии: ваши сообщения, документы, результаты команд, рассуждения. Объём ограничен контекстным окном — обычно 200 тысяч или миллион токенов.

Когда контекст переполняется, агент его сжимает и выбрасывает часть подробностей. Отсюда жалобы новичков: в начале сессии просили никогда не делать чего-то, а через час агент это делает. Инструкция потерялась при сжатии. По опыту практиков, окно на миллион токенов заметно хуже работает уже после 600–700 тысяч.

Решение:

  • Выносите постоянные правила в файл инструкций (AGENTS.md или CLAUDE.md). Агент читает его в начале каждой сессии. Туда пишут стек, договорённости, ограничения, текущий статус.
  • Просите агента обновлять этот файл в конце большой задачи. Следующая сессия не будет заново перерывать весь проект.
  • Чистите контекст между задачами. Начните новую сессию для другой проблемы.

Скиллы, MCP и субагенты

Все три инструмента экономят контекст.

Скилл — это сохранённая инструкция. Если вы каждый раз объясняете агенту, как разбирать отчёт или в каком формате выдавать результат, этот текст пишут один раз в Markdown. Скилл имеет короткое описание, по которому агент понимает, когда его подключить. Пока он не нужен, контекст не занимает. Готовые скиллы есть в открытых каталогах.

MCP даёт агенту доступ к внешним системам. Это обычный API в удобном для модели формате. Через MCP агент может открыть браузер и проверить вёрстку на разных экранах. Через MCP и скиллы агента подключают к SIEM, сканерам, базе активов.

Субагенты помогают с большими задачами. Основной агент составляет план и отдаёт каждый пункт помощнику с минимально нужным контекстом. Ошибки и неудачи остаются у помощника и не засоряют главную сессию. Но это дорого в токенах, а ошибка одного помощника делает результат всей системы хаотичным.

Пример: новая уязвимость

Новые CVE выходят каждый день. Специалисту по безопасности приносят номер и просят срочно понять масштаб проблемы.

Повторяется один алгоритм:

  1. Прочитать описание и оценку критичности.
  2. Найти публичный эксплойт или PoC.
  3. Разобраться, как он работает.
  4. Понять, какие следы атака оставляет в телеметрии.
  5. Найти патч или способ снизить риск.

Такой порядок легко поручить агенту. Он ищет информацию и возвращает сводку: что затронуто, есть ли эксплойт, как его обнаружить, что установить. Если PoC не нашёлся — это сигнал, что уязвимость можно закрыть в плановом порядке.

Когда запросы повторяются, их упаковывают в скилл. Попросите агента создать скилл для разбора CVE по нужным пунктам, проверьте результат и поправьте. Если в компании есть база активов с версиями ПО, подключите её отдельным скиллом или через MCP — агент покажет, какие хосты уязвимы.

Для одной уязвимости ручной проверки за пять минут достаточно. Когда таких проверок десять в день, автоматизация окупается быстро.

Агенты помогают с триажем алертов, разбором отчётов об угрозах и рекомендациями по конкретному инциденту вместо общих фраз из плейбука.

Где ИИ ошибается

Модели отвечают уверенно, даже когда ошибаются. Избавиться от галлюцинаций пока нельзя, поэтому нужно отличать правдоподобную ерунду от реального результата.

Частая картина: агент в каждом ответе объявляет о критической уязвимости. Помогают встречные вопросы. Точно ли это эксплуатируется? Как подтвердить находку вручную? Напиши минимальный PoC. После такой проверки большая часть «находок» обычно отваливается. Важные выводы стоит перепроверять два-три раза разными моделями.

Агент работает быстрее человека, но может упустить существенное. Был случай, когда специалист и агент разбирали один файл параллельно. Агент справился быстрее, но не заметил второй исполняемый файл внутри первого. Человек его нашёл, хотя потратил больше времени. ИИ полезен, если понимать, что ему поручить и что проверить за ним.

Типичные ошибки в работе с агентом:

  • Просить «найди все уязвимости и не ошибайся». Модель не знает бизнес-логики приложения, поэтому выдаёт ложные срабатывания. Гипотезу формулирует человек, перебор отдают агенту.
  • Писать длинные ролевые вступления вроде «ты сеньор-девопс». Раньше помогало, сейчас работает хуже.
  • Отправлять огромные логи целиком. Они не поместятся в контекст, сначала их фильтруют.
  • Сдавать результат без проверки. В баг-баунти жалуются на поток ИИ-отчётов, которые не совпадают с реальностью.

Как не навредить себе и компании

Агенты запрашивают разрешение перед командами, но почти никто их не читает построчно. Рано или поздно агент попросит запустить огромный скрипт, и вы нажмёте «да». Поэтому агентов лучше не запускать на рабочем ноутбуке. Используйте виртуальную машину, Docker-контейнер или отдельный компьютер, не связанный с рабочими аккаунтами. В некоторых агентах есть хуки, которые механически запрещают опасные действия вроде удаления файлов.

Конфиденциальные и персональные данные в облачную модель лучше не отправлять. Провайдер может обещать, что не обучается на запросах, но проверить это нельзя. Бесплатные модели скорее всего собирают данные. Частично помогают LLM-шлюзы: они маскируют токены, пароли и персональные данные. Это снижает риск, но полной гарантии не даёт.

Учитывайте риск блокировки. Некоторые провайдеры настороженно относятся к использованию инструментов в кибербезопасности и блокируют аккаунты, в том числе пользователей из России. Модель не отличает разрешённый пентест от взлома, поэтому даже легальная работа может закончиться баном. Ответственность за действия агента лежит на том, кто его запустил.

Что ИИ не заменит

Всё, что делается строго по инструкции, рано или поздно автоматизируют. Человек, который использует нейросети, вытеснит того, кто ими не пользуется. При этом фундамент остаётся. Сетевые протоколы и операционные системы останутся, потому что на них держится совместимость. Когда агент упрётся в непонятную проблему, вы спуститесь на уровень собственных знаний.

ИИ умножает ваши навыки, но не создаёт их с нуля. Слабой модели приходится дробить задачу на мелкие шаги и тщательно готовить контекст. С сильной ваша роль смещается к контролю и оценке результата. В обоих случаях решение, куда копать дальше, остаётся за вами, как и ответственность за результат.

С чего начать

  • Установите один агент в виртуальную машину и заведите для него файл инструкций.
  • Решайте CTF-задания параллельно руками и с агентом, затем сравнивайте ошибки.
  • Найдите задачу, которую регулярно повторяете, и сделайте для неё первый скилл.