90% SMB уже используют ИИ. Только 23% понимают, как это контролировать

В 2026 году малый и средний бизнес оказался в ловушке, которую крупные компании проходят медленнее и болезненнее. Внедрение ИИ обогнало управление им - системы строятся безконтрольно. Но ключевое изменение за последний год - не в том, что малый и средний бизнес используют ИИ, а в том, что они строят его сами.

По данным Q3 2026 Pax8 SMB AI Pulse Report (опрос 1 150 руководителей в США, Великобритании, Германии и Швеции), 67% компаний, использующих ИИ, уже создали хотя бы одно AI-решение, которое находится в регулярной эксплуатации; ещё 19% находятся в стадии прототипа. Только 13% полагаются исключительно на готовые покупные инструменты. Другими словами, малый бизнес перестал быть покупателем ИИ - он стал его разработчиком и оператором.

Именно здесь и начинается проблема.

Что именно они построили - и почему это меняет профиль риска

Среди тех, кто строит: 52% разрабатывают автоматизированные рабочие процессы, связывающие ИИ с другими бизнес-системами, а 46% создают или тестируют ИИ-агентов, которые выполняют многошаговые задачи автономно. И из них 39% пишут кастомные интеграции через API провайдеров.

Это принципиально иная категория риска, чем чат-бот. Acronis в отчёте от октября 2026 года формулирует разницу предельно точно: инструмент, который только генерирует текст, несёт примерно тот же риск, что и плохо составленное письмо. Инструмент, который может «дотянуться» до систем и что-то в них изменить, несёт риск всего, что эти системы содержат. Вопрос безопасности здесь не в том, насколько умна модель, а в том, к каким системам и данным модель авторизована.

И эти системы уже не гипотетические. По данным того же Acronis EDR за июнь - сентябрь 2026 года, 9,4% корпоративных Windows-машин запускают тот или иной инструмент с агентной функциональностью, хотя всего год назад эта цифра была близка к нулю. Причём семь из десяти таких машин работают с графическими приложениями, а не с командной строкой: технология вышла за пределы разработчиков и попала в руки людей, которые терминал не откроют никогда. Лидируют здесь не крупнейшие аккаунты, а небольшие компании.

Три типа рисков, которые малый и средний бизнес уже создали - часто не замечая их

Первый риск - это теневой ИИ, который никто не утверждал. Pax8 фиксирует: за последние шесть месяцев 35% компаний, использующих ИИ, обнаружили у себя инструменты, рабочие процессы или агентов, работающих без официального одобрения. В Швеции этот показатель достигает 55%, в США - 42%. При этом формальный, задокументированный review внутренних AI разработок есть только у 23% в Великобритании и, максимум у 45%, в Швеции. Сотрудник, который «просто попробовал» собрать агента, мог подключить его к CRM, финансам или базе клиентов - и этот агент теперь действует автономно, без владельца и без ведома безопасников.

Второй риск - безусловно избыточные полномочия. В обновлённом OWASP LLM Top 10 за 2026 год эта категория поднялась с шестого на третье место - самый значительный рост в списке. OWASP прямо называет это «наиболее значимым изменением» и описывает как риск предоставления LLM-приложению большего доступа или автономии, чем ему нужно. Причина проста: приложения всё чаще дают моделям инструменты для действий, а не только для ответов. Чем больше инструментов, тем выше вероятность, что агент сделает то, чего от него не ждали.

Третий риск - разрыв между «способностью действовать» и «объёмом доступа». Gartner формулирует это как корневую причину провалов: организации не различают способность агента совершить действие и масштаб доступа, который ему выдан для этого действия. Когда применяется единый подход «или всё заблокировано, или всё доверено», возникают две крайности: чрезмерное ограничение простых агентов (замедление работы и рост теневой разработки) или недостаточное ограничение автономных (рост операционного, security- и compliance-риска).

Почему «просто добавь guardrails» не работает

Соблазн очевиден: поставить фильтр на входе, фильтр на выходе и считать, что безопасность решена. Проблема в том, что модель - это не файрвол. Если решение «идти ли на этот URL» или «использовать ли этот ключ» принимает модель, то prompt injection побеждает любой контроль, который живёт внутри промпта.

В 2026 году это перестало быть теорией. 16 октября 2026 года OpenAI раскрыла семь инцидентов «несоответствующего» поведения моделей. Главный из них: внутренняя исследовательская модель семейства GPT-5.6 Sol во время задачи по обновлению крипто-трейдингового приложения, самостоятельно вывела приватные ключи из общеизвестных фраз для восстановления от разработчиков, просканировала 362 адреса, нашла кошелёк с тестовым ETH в сети Sepolia и потратила чужие средства для оплаты деплоя контракта. У модели не было своего финансируемого кошелька - она решила эту проблему сама.

Ключевая деталь, которая делает этот кейс важнее остальных: модель задала себе вопрос, есть ли у неё разрешение, рассмотрела этические последствия и, убедила себя, что можно. Её рассуждение: «средства на известной публичной dev-мнемонике фактически заброшены», «Sepolia ничего не стоит» - значит, всё в порядке. Это не галлюцинация и не артефакт тренировки. Это автономный агент, принявший осознанное решение использовать неавторизованные учётные данные после того, как он явно рассмотрел, стоит ли это делать. OpenAI обнаружила инцидент 26 июня 2026 года, а раскрыла - почти четыре месяца спустя.

В том же раскрытии были ещё шесть инцидентов, и их паттерн тревожнее, чем любой отдельный кейс:

• обход HTTP GET-ограничений через внешний браузер с извлечением данных через OCR;
• обход контроля интернет-доступа через кастомный сетевой код для отправки POST-запросов;
• несанкционированный доступ к внутренней системе с изменением конфигурации для получения токена облачного хранилища и выгрузкой 147 451 строки непубличных данных, с последующим восстановлением настройки, чтобы «замести следы», но с продолжением использования токена.

Урок здесь не в том, что «модели злые». Урок в том, что отчёт агента о своей работе не может быть единственным каналом аудита. И что «ключ был общеизвестен» не означает «использование ключа было разрешено».

Цена вопроса: рынок уже посчитал

Gartner прогнозирует, что к 2027 году 40% предприятий понизят в правах или выведут из эксплуатации автономных ИИ-агентов из-за провалов управления, которые обнаружились только после инцидентов в продакшене. Отдельно: более 40% агентных AI-проектов будут закрыты к концу 2027 года из-за роста затрат, неясной бизнес-ценности или неадекватных контролей риска.

При этом рынок безопасности агентов растёт взрывными темпами: с 1,65 млрд долларов в 2026 году до прогнозируемых 13,52 млрд к 2032-му при CAGR 42,0%. Деньги в безопасность пойдут. Главный вопрос: до инцидента или после.

Для малого и среднего бизнеса это особенно чувствительно. По данным ESET SMB Cyber Readiness Index 2026 (опрос 4 400 руководителей), 40% бизнеса не имеют политики, ограничивающей использование ИИ-приложений вне одобренных процессов или платформ. При этом 54% организаций не имеют определённого подхода к ограничению доступа ИИ-агентов к системам. То есть способность действовать у SMB появляется, а способность контролировать - нет.

Что значит «безопасность на уровне ядра» на практике

Когда мы проектировали архитектуру безопасности для платформы ИИ-агентов, мы сформулировали цель, которая звучит необычно для индустрии: не «платформа для агентов», а система, в которой классическая безопасность, изоляция и защита от угроз нового поколения работают как единая ткань, а не как отдельные заплатки. На практике это означает три слоя, которые нельзя добавить «сверху» - их нужно закладывать в фундамент.

Первый слой: криптография, устойчивая к горизонту планирования. Данные, зашифрованные сегодня, могут оставаться конфиденциальными десятилетиями. Атака «храни сейчас, расшифруй позже» уже не кажется теоретической угрозой: перехваченный сегодня шифротекст может быть расшифрован, когда появится достаточно мощный квантовый компьютер. Поэтому мы выбрали не только проверенный AES-256-GCM, но и гибридную пост-квантовую схему (Ring-LWE в сочетании с ChaCha20 и Gimli), которая показывает пропускную способность до 2,8 ГБ/с и установление сессии менее чем за 10 мс на обычном железе.

Ключевое архитектурное решение здесь - это не хранить сами ключи, а выводить их детерминированно из мастер-секрета, соли и версии. Компрометация долгосрочного ключа не раскрывает прошлые сессии - и в этом помогает такое свойство, известное как perfect forward secrecy. В менеджере ключей это реализовано через доставку, которая добавляет к соли четыре байта с номером версии, так что ротация ключей не ломает активные сессии и не требует миграции данных.

Второй слой: изоляция, которая не является фильтром в SQL-запросе. Мульти-тенантность, при которой компрометация одного клиента не затрагивает остальных - это не про строчку фильтра в запросах. Это про архитектуру, в которой каждый агент существует в собственной зоне доступа, со своей памятью, инструментами и контекстом. На уровне платформы это означает, что инструменты агента, будь то поиск в интернете, обращение к CRM или чтение базы знаний - не получают доступа к тому, что не разрешено явно для его тенанта. Принцип «что агент умеет» и «что агенту разрешено» разделены на уровне архитектуры, а не промпта.

Третий слой: runtime-защита, которая не душит легитимные запросы. Правила, которые блокируют всё подряд, бесполезны: они либо отключаются, либо обходятся. Задача - не блокировать, а детектировать аномалии: галлюцинации, отклонения от исторического распределения ответов, попытки выйти за пределы разрешённого контура. Это требует мониторинга, который живёт вне агента и который агент не может отключить. Именно об этом - один из самых тревожных аспектов инцидентов OpenAI: модель обходила ограничения и заметала следы, а обнаружение произошло только ретроспективно, через четыре месяца.

Вопрос, который стоит задать себе сегодня

Gartner предупреждает: применение одинакового управления ко всем агентам, независимо от уровня автономии - ведёт к провалу. Слишком жёсткие уровни контроля для простых агентов замедляют работу и плодят теневую разработку; слишком мягкие для автономных - повышают риски, как операционные, так юридические и классические в безопасности.

Выход не в «закрутить гайки», а в пропорциональности: разным агентам - разные уровни доверия, разные права, разные уровни контроля. Gartner предлагает как минимум три уровня автономии - Observe (только чтение), Advise (рекомендации с ручным исполнением) и Act with Approval (действия с явным подтверждением каждого шага). И для каждого свой набор для контроля.

Вопрос не в том, использовать ли ИИ-агентов. 66% малого и среднего бизнеса уже заявили, что без ИИ их бизнес не будет конкурентно-способен через три года. Вопрос в том, сможете ли вы назвать каждого агента, который сегодня работает в вашей компании, и объяснить, к каким системам он имеет доступ.

Если ответ «не уверен» - это и есть отправная точка.

Если вы строите или внедряете ИИ-агентов и хотите обсудить архитектуру безопасности - напишите. Мы открыты к диалогу с командами, которые считают, что контроль не должен появляться после инцидента. А если хотите попробовать самостоятельно собрать безопасную команду ИИ-агентов, то предлагаем ознакомиться с нашим решением.