Умение работать с ИИ в ИБ постепенно перестают выделять в отдельный навык. Его подразумевают так же, как владение Microsoft Office, которое странно было бы увидеть в требованиях к аналитику SOC. Разница в цене ошибки. Неумелая работа с Word отнимает только время. Неумелая работа с ИИ-агентом расходует лимиты и деньги на подписку, а если подписка корпоративная, то и деньги компании.
Разобраться в ИИ-агентах на практике помогут четыре воркшопа о применении ИИ в информационной безопасности из подборки «Инженерный октябрь»: от ИИ как рабочего инструмента начинающего специалиста до безопасности самих агентов.
Базовый набор понятий осваивается быстро. Разберём, что в него входит, где ИИ ошибается и как не навредить себе и работодателю.
Модель и агент: в чём разница
Модель работает просто: вы задаёте вопрос, она отвечает текстом. Так устроен обычный чат с нейросетью.
Агент использует модель вместе с инструментами. Он умеет запускать команды, читать и создавать файлы, ходить в интернет, открывать браузер. Модель на просьбу «сделай сайт» опишет, каким он мог бы быть. Агент этот сайт создаст, правда, при такой формулировке очень посредственный.
Примеры агентов: Claude Code, Codex и открытый OpenCode. Модель можно поднять и локально, например через Ollama, но на домашнем железе она работает заметно медленнее облачной.
Почему агент «забывает» инструкции
Главное понятие в работе с ИИ называется контекстом. Это всё, что модель знает в текущей сессии: ваши сообщения, загруженные документы, вывод команд, промежуточные рассуждения. Объём ограничен контекстным окном: в зависимости от тарифа, например, 200 тысяч или миллион токенов.
Пока сессия укладывается в лимит, всё работает нормально. Когда контекст переполняется, агент автоматически его сжимает: часть подробностей выбрасывается. Отсюда типичная жалоба новичков: в начале сессии вы попросили никогда не делать чего-то, а через час агент это делает, потому что инструкция потерялась при сжатии. Качество падает и раньше предела: по наблюдениям практиков, окно на миллион токенов заметно хуже работает уже после 600–700 тысяч.
Что с этим делать:
- Выносите постоянные правила в файл инструкций. Агенты читают файлы вроде AGENTS.md или CLAUDE.md в начале каждой сессии. Туда пишут стек, договорённости, ограничения, текущий статус.
- Просите агента обновлять этот файл в конце большой задачи. Так следующая сессия не будет заново перерывать весь проект и тратить на это токены.
- Чистите контекст между задачами. Если вы час исследовали одну проблему, а теперь беретесь за другую, начните новую сессию.
Скиллы, MCP и субагенты простыми словами
Все три инструмента помогают расходовать контекст экономнее.
Скилл проще всего воспринимать как сохранённую инструкцию. Если вы каждый раз объясняете агенту, как разбирать отчёт или в каком формате выдавать результат, этот текст пишут один раз в Markdown-файл. У скилла есть короткое описание, по которому агент сам понимает, когда его подключить. Пока скилл не нужен, он не занимает место в контексте. Готовые скиллы публикуют в открытых каталогах, их можно взять и переделать под себя.
MCP даёт агенту «ручки» к внешним системам. Под капотом это обычный API, обёрнутый в удобный для модели формат. Через MCP агент может, например, открыть браузер и проверить, не налезают ли кнопки друг на друга на разных экранах. Через MCP и скиллы агента подключают к SIEM, сканерам, базе активов.
Субагенты помогают с большими задачами. Основной агент составляет план, а каждый пункт отдаёт отдельному помощнику с минимально нужным контекстом. Все неудачные попытки и ошибки остаются у помощника и не засоряют главную сессию. Увлекаться ими не стоит: они тратят много токенов, а ошибка одного помощника делает результат всей системы хаотичным.
Пример из работы защитника: новая уязвимость
Новые CVE выходят каждый день. Некоторые затрагивают сразу все дистрибутивы Linux или все версии Windows и вызывают переполох. Специалисту по безопасности в такой момент приносят номер уязвимости и просят срочно понять, насколько всё плохо.
Дальше повторяется один и тот же порядок действий:
- прочитать описание и оценку критичности;
- найти публичный эксплойт или PoC;
- разобраться, как он работает;
- понять, какие следы атака оставляет в телеметрии и можно ли её обнаружить;
- найти патч или способ снизить риск.
Такой порядок легко поручить агенту. На запрос с номером CVE он ищет информацию в открытых источниках и возвращает сводку: что затронуто, есть ли эксплойт, как его обнаружить, что установить. Если PoC не нашёлся, это тоже сигнал: возможно, уязвимость можно закрыть в плановом порядке.
Когда такие запросы повторяются, их упаковывают в скилл. Достаточно попросить агента самого создать скилл для разбора CVE по нужным пунктам, проверить результат и поправить. Если в компании есть база активов с версиями ПО, её можно подключить отдельным скиллом или через MCP, и агент сразу покажет, какие хосты уязвимы.
Для одной уязвимости хватит и ручной проверки за пять минут. Когда таких проверок десять в день, автоматизация окупается быстро.
Ещё агенты помогают с триажем алертов, разбором свежих отчётов об угрозах и рекомендациями по конкретному инциденту вместо общих фраз из плейбука.
Где ИИ ошибается
Модели отвечают уверенно, даже когда ошибаются. Полностью избавиться от галлюцинаций пока технически нельзя, поэтому правдоподобную ерунду нужно уметь отличать от реального результата.
Частая картина: агент в каждом ответе объявляет о критической уязвимости. Помогают встречные вопросы. Точно ли это эксплуатируется? Как подтвердить находку вручную? Напиши минимальный PoC. После такой проверки большая часть «находок» обычно отваливается. Важные выводы стоит перепроверять два-три раза, желательно разными моделями.
Агент работает быстрее человека, но может упустить существенное. Был случай, когда специалист и агент параллельно разбирали один и тот же файл. Агент справился быстрее, но не заметил второй исполняемый файл, спрятанный внутри первого. Человек его нашёл, хотя потратил больше времени. ИИ в такой работе полезен, если понимать, что ему поручить и что проверить за ним.
Ещё несколько типичных ошибок:
- Просить «найди все уязвимости и не ошибайся». Модель не знает бизнес-логики приложения, поэтому на такой запрос выдаёт ложные срабатывания и бессмысленный текст. Гипотезу и стратегию формулирует человек, перебор и массовый анализ можно отдать агенту.
- Писать длинные ролевые вступления вроде «ты сеньор-девопс с десятилетним опытом». Раньше этот приём помогал, сейчас работает хуже или не работает совсем.
- Отправлять в агента огромные логи целиком. Они могут не поместиться в контекст, поэтому их сначала фильтруют.
- Сдавать результат без проверки. В баг-баунти уже жалуются на поток ИИ-отчётов, которые не совпадают с реальностью.
Как не навредить себе и компании
Агенты запрашивают разрешение перед выполнением команд, но построчно их почти никто не читает. Рано или поздно агент попросит запустить огромный скрипт, и вы нажмёте «да». Поэтому агентов лучше не запускать на рабочем ноутбуке. Используйте виртуальную машину, Docker-контейнер или отдельный компьютер, не связанный с рабочими аккаунтами. В некоторых агентах есть хуки, которые механически запрещают опасные действия, например удаление файлов.
Конфиденциальные и персональные данные в облачную модель лучше не отправлять. Провайдер может обещать, что не обучается на ваших запросах, но проверить это нельзя. Бесплатные модели на агрегаторах, скорее всего, собирают данные. Частично помогают LLM-шлюзы: они маскируют токены, пароли и персональные данные до отправки запроса. Это снижает риск, но полной гарантии не даёт.
Учитывайте и риск блокировки. Некоторые провайдеры моделей настороженно относятся к использованию своих инструментов в кибербезопасности и блокируют аккаунты, в том числе пользователей из России. Модель не отличает разрешённый пентест от взлома, поэтому даже легальная работа может закончиться баном. Ответственность за действия агента всё равно лежит на том, кто его запустил.
Что ИИ не заменит
Всё, что делается строго по инструкции, рано или поздно автоматизируют. Человек, который использует нейросети, вытеснит того, кто ими не пользуется. При этом фундамент никуда не денется. Сетевые протоколы и операционные системы останутся, потому что на них держится совместимость систем. Когда агент упрётся в непонятную проблему, вы спуститесь на уровень собственных знаний.
ИИ умножает ваши навыки, но не создаёт их с нуля. Слабой модели приходится дробить задачу на мелкие шаги и тщательно готовить контекст. С сильной ваша роль смещается к контролю и оценке результата. В обоих случаях решение, куда копать дальше, остаётся за вами, как и ответственность за результат.
С чего начать
- Установите один агент в виртуальную машину и заведите для него файл инструкций.
- Решайте CTF-задания параллельно руками и с агентом, затем сравнивайте, где ошиблась модель, а где сильнее вы.
- Найдите задачу, которую регулярно повторяете, и сделайте для неё первый скилл.
Начать проще с материалов, где всё это показано на реальных задачах. В подборку «Инженерный октябрь» входят четыре воркшопа по ИИ, а также доступ к курсам «Аналитик SOC», «Инженер по информационной безопасности» и «Основы пентеста».
