AI-агент может не только предложить команду, но и сам выбрать следующий шаг, вызвать инструмент, разобрать результат и продолжить работу. Именно поэтому его нельзя запускать с формулировкой «найди уязвимости» и широкими правами. Ниже — минимальная архитектура управляемого агента и чек-лист первого безопасного теста.
Хотите увидеть эту архитектуру в работе? Посмотрите запись мастер-класса по сборке AI-агента для пентеста и проверьте своего агента в AI-челлендже на полигоне Standoff Hackbase.
Почему агент — это не просто длинный промпт
В обычном чате модель отвечает, а человек решает, что делать с ответом. Агент работает циклом: получает цель, строит план, выбирает инструмент, выполняет действие, анализирует вывод и обновляет план. В эту схему добавляются память и многошаговое выполнение.
Такой подход автоматизирует не отдельную команду, а последовательность действий. Но вместе со скоростью растёт цена неточной инструкции. Если не задать границы заранее, агенту придётся самому догадываться, какие узлы можно проверять, какие методы допустимы, что считать доказательством и когда остановиться.
Минимальный агент поэтому начинается не с выбора модели. Он начинается с управляемого контура.
Из чего состоит минимальная архитектура
Для первого прототипа достаточно семи компонентов. Чем меньше элементов в системе, тем проще понять, где именно возникла ошибка.
Цель и критерий успеха. Вместо «проведи пентест» агент получает одну проверяемую задачу: например, подтвердить или опровергнуть конкретную гипотезу в пределах учебного стенда. Сразу задайте, какой результат считается достаточным: найденный флаг, воспроизводимый ответ сервера, сохранённый артефакт или вывод о том, что данных для подтверждения нет.
Scope и запреты. Перечислите разрешённые адреса, приложения, каталоги и типы проверок. Отдельно зафиксируйте, что запрещено, при каких условиях агент обязан остановиться и когда должен позвать человека. Scope нельзя оставлять только в системной инструкции: ограничения нужно дублировать на уровне среды и параметров инструментов.
Планировщик. Его задача — сформулировать одну гипотезу и выбрать следующий проверяемый шаг. Хороший планировщик не строит длинную цепочку вслепую: после каждого результата он объясняет, что изменилось в понимании задачи и почему нужен следующий вызов.
Ограниченный набор инструментов. На старте агенту не нужен десяток сканеров и полный доступ к оболочке. Подключите один-два инструмента под конкретный этап работы и опишите для каждого назначение, допустимые параметры, признаки успешного результата и типичные ошибки. Запуск «всего подряд» усложняет анализ и повышает риск выхода за границы задачи.
Изолированный исполнитель. Команды должны выполняться под отдельной учётной записью, с минимальными правами, allowlist операций и запретом разрушительных действий. Полезны лимиты времени и частоты запросов, ограничения файловой системы и сети, а также проверка параметров до запуска.
Память и журнал. Сохраняйте не только финальный ответ, но и всю траекторию: исходную цель, гипотезу, выбранный инструмент, параметры, необработанный вывод, интерпретацию, изменение плана и ручные вмешательства. Без этого невозможно отличить воспроизводимую методику от удачного совпадения.
Контроль результата. Перед критичным действием агент запрашивает подтверждение, а перед принятием находки человек сверяет вывод с исходными данными. Уверенно написанный отчёт ещё не доказывает существование уязвимости: нужны воспроизводимые шаги и сохранённые свидетельства.
В упрощённом виде цикл выглядит так:
- получить конкретную задачу и проверить scope;
- сформулировать одну гипотезу;
- выбрать разрешённый инструмент и параметры;
- запросить подтверждение, если цена ошибки высока;
- выполнить действие в изолированной среде;
- сохранить сырой вывод и интерпретацию;
- решить, продолжить работу, изменить гипотезу или остановиться.
На записи мастер-класса можно посмотреть, как такая схема превращается из набора правил в работающего агента, а затем проверить собственную конфигурацию на полигоне Standoff Hackbase.
Какие решения нельзя оставлять только модели
Текстовый запрет полезен, но он не заменяет технический контроль. Если агент имеет доступ к оболочке, сети, файлам и учётным данным, формулировка «не делай ничего опасного» не ограничивает его фактические возможности.
Ручное подтверждение стоит требовать при расширении scope, обращении к чувствительным данным, подключении нового инструмента, изменении окружения и выполнении потенциально разрушительной команды. Перед каждым безобидным шагом оно только замедлит работу, поэтому точки контроля лучше выбирать по цене возможной ошибки.
Человеку также следует вмешаться, если агент повторяет неудачное действие, не может объяснить следующий шаг, предлагает выйти за границы задачи или формирует вывод без достаточных доказательств.
Чек-лист перед первым запуском
Перед тестом проверьте основу:
- задача сформулирована узко, а критерий успеха измерим;
- разрешённые цели и действия перечислены явно;
- условия остановки и обращения к человеку зафиксированы;
- агент работает под отдельной учётной записью с минимальными правами;
- доступны только необходимые инструменты и параметры;
- среда изолирована, а сетевой и файловый доступ ограничен;
- критические действия требуют подтверждения;
- все вызовы инструментов и их сырой вывод журналируются;
- итог нельзя принять без воспроизводимых доказательств.
Первый прогон проводите на простой безопасной задаче. Важно проверить не только успешный сценарий, но и корректный отказ. Попробуйте предложить агенту выйти за scope, вызвать запрещённый инструмент, обратиться к недоступному файлу, пропустить подтверждение или составить отчёт без доказательств. Правильный результат такого теста — остановка с понятным объяснением.
После прогона изучите журнал. Если выбран неверный инструмент, уточняйте планирование и описание возможностей. Если команда составлена неправильно — правила применения инструмента. Если сырой вывод верный, а интерпретация ошибочна — формат данных и критерии подтверждения. Так агент улучшается по наблюдаемым причинам, а не случайным переписыванием промпта.
Где проверить агента после сборки
CyberED и Standoff Hackbase проводят AI-челлендж по пентесту. Участники могут посмотреть запись мастер-класса с багхантером Kekis, собрать минимального агента, а затем до 17 сентября настраивать и испытывать его на динамических заданиях общего полигона. 17 сентября эксперт покажет своё прохождение, разберёт рабочие стратегии, тупиковые подходы и типичные ошибки управления агентом.
Получить запись мастер-класса и испытать своего AI-агента на Standoff Hackbase
