Доказанное действие. Власть и контроль над ИИ-агентами: стратегия 2027–2035

Верификация времени решения на CPU (доказательство P4, ADR-0282) и живости служб шлюза на узле 147 выполняется прямым чтением последней записи телеметрии решателя и статуса системных демонов:

# Проверка активности служб шлюза и MCP-контура на узле 147

systemctl is-active v-bot v-mcp

# Извлечение актуального замера задержки SMT-решателя на CPU (медиана и хвосты распределения, P4)

sed -n 2p /opt/v/data/logs/smt_latency_paper.jsonl; tail -1 /opt/v/data/logs/smt_latency_paper.jsonl

# Проверка статуса шести базовых утверждений (--six) и активных арендаторов (--tenants)

cd /opt/v && sudo -u v venv/bin/python scripts/gate_mode_report.py --six --date 2026-10-09

cd /opt/v && sudo -u v venv/bin/python scripts/gate_mode_report.py --tenants --date 2026-10-09

# Проверка последнего криптографического якоря времени OpenTimestamps (P3)

tail -1 /opt/v/data/gate_anchors.jsonl

Для внешнего аудитора без доступа к серверу 147 открыт набор проверки (asi5.ru/console/verify/): якоря цепей и их метки времени OpenTimestamps, проверяемые против сети Bitcoin чужим клиентом, и проверщик целости цепи; повтор самих решений аудитор выполняет офлайн на любом процессоре проверщиком verify_chain_standalone.py --replay, получив цепь квитанций и тексты правил (на 14.10.2026 — 4958 решений). Набор содержит выгруженные условия в формате SMT-LIB, которые любой стандартный решатель Z3 проверяет локально за доли секунды без обращения к графическим картам и внешним сетевым узлам.

Порядок сверки внешних макроэкономических и энергетических реперов (для актуализации в переизданиях 2028, 2030 и 2035 годов): глобальное потребление электроэнергии ЦОД и объём контрактов по малым модульным реакторам сверяются ежегодно в четвёртом квартале по таблице Data Centres and Data Transmission Networks отчёта IEA World Energy Outlook; присоединённая мощность российских ЦОД и структура регионального дефицита мощности сверяются ежегодно по публичному «Отчёту о функционировании ЕЭС России» Системного оператора (so-ups.ru) и схеме и программе развития электроэнергетических систем России (СИПР ЭЭС); статус утверждения изменений в приказ ФСТЭК № 117 после 1 марта 2027 года проверяется по официальному порталу правовой информации (pravo.gov.ru).

2.8 Паспорт главы: реестр утверждений, прогнозов и источников

Таблица 2.1 — Реестр утверждений главы 2

№

Утверждение в тексте

Метка

Прибор / Источник

Дата

Условие погашения / Репер

2.1

Потребление электроэнергии мировыми ЦОД выросло на 17 % в 2025 г. при росте общего спроса на 3 %; базовый прогноз МЭА — 945 ТВт·ч к 2030 г. и 1 200 ТВт·ч к 2035 г. (разброс сценариев 700–1 700)

ИЗМЕРЕНО / ПРОГНОЗ

IEA «Energy and AI» (10.04.2025); IEA «Key Questions on Energy and AI» (16.04.2026)

10.04.2025; 16.04.2026

Ежегодная сверка по IEA WEO

2.2

Ориентиры капитальных затрат четырёх гиперскейлеров (Amazon, Microsoft, Alphabet, Meta) на 2026 г. в сумме — около $700 млрд (почти вдвое к 2025 г.); Microsoft признаёт простаивающие на складах ускорители из-за нехватки мощности (денежная оценка не раскрывалась)

ИЗМЕРЕНО

Ориентиры компаний за I кв. 2026; Om Malik (30.04.2026) / 24/7 Wall St. (01.05.2026); заявления Microsoft (11.2025–01.2026)

30.04.2026

Годовые отчёты 10-K за 2026 г.

2.3

Условные соглашения ЦОД с проектами ММР (SMR) выросли с 25 ГВт (конец 2024 г.) до 45 ГВт (апрель 2026 г.); Meta законтрактовала до 6,6 ГВт атомной энергии к 2035 г., Amazon — 1,92 ГВт, Google — до 500 МВт

ИЗМЕРЕНО

IEA (16.04.2026); Meta (09.01.2026); Talen (11.06.2025); Google (14.10.2024)

16.04.2026

Фактический ввод энергоблоков в 2030–2035 гг.

2.4

Мощность энергоёмких вычислений в РФ (ЦОД + майнинг) к апрелю 2026 г. составила 4,2 ГВт (доля ЦОД в потреблении за 2025 г. — 2,2 %); ~76 % мощностей ЦОД в Московском регионе (оценка НРА, конец 2024 г.) при экспертном прогнозе дефицита ~4 ГВт; установленная мощность ЕЭС 263,7 ГВт и пик 168,3 ГВт — данные за 2024 г.

ИЗМЕРЕНО

Системный оператор ЕЭС (ТАСС / Techora, 01–05.2026; отчёт за 2024 г.); НРА; экспертная колонка expert.ru

01–05.2026

Отчёт о функционировании ЕЭС России за 2026 г.

2.5

Только 9 % организаций РФ полностью обеспечены вычислениями для ИИ (исследование Т1); потребность РФ к 2030 г. — свыше 70 тыс. ускорителей в эквиваленте A100 (оценка «Ростелекома», 03.2025); потребление облачных GPU у провайдера «Рег.Облако» выросло на 507 % за I полугодие 2026 г. (рынок — ×1,5)

ИЗМЕРЕНО

Т1 / РГ (19.03.2026), ComNews (20.03.2026); «Ведомости» / 3DNews (10.03.2025); «Коммерсантъ» (20.07.2026); ComNews (14.05.2026, H100); «Ведомости» (10.02.2026, Сбер)

03.2025–07.2026

Сверено с первоисточниками 14.10.2026

2.6

Проект изменений в приказ ФСТЭК № 117 (обсуждение с 24.08.2026, план вступления — 01.03.2027, на 14.10.2026 не утверждён) вводит защиту ГИС от несанкционированного воздействия автономных агентов ИИ

ИЗМЕРЕНО / СТРОИМ

Проект ФСТЭК России; ComNews / SecurityLab (08.2026)

14.10.2026

Публикация утверждённого приказа на pravo.gov.ru к 01.03.2027

2.7

Решатель z3_gate.py на CPU принимает решение за 0,74 мс в медиане (вызов шлюза с объяснением — 3,3 мс) на 26.09.2026; на узле 147 14.10.2026 — 0,95 и 4,3 мс; прогон 62 кейсов набора атак стоит $0; проверщик для постороннего повторил 1602 решения из 1602 (30.09) и 4958 из 4958 (14.10)

ИЗМЕРЕНО

smt_latency_paper.py (ADR-0282); ADR-0262; verify_chain_standalone.py --replay (ADR-0281)

26.09–14.10.2026

Команды повтора на узле 147

2.8

Закрытие эксплуатационной серии Р2а (14 суток, >=50 проверок/сут от >=2 арендаторов, 0 обходов; на 09.10 — 0 из 14) и ворот «шесть из шести» (на 09.10 — 1 из 6)

СТРОИМ

gate_mode_report.py --tenants / --six

09.10.2026

Ворота Р2а (31.10.2026); ворота --six (14.12.2026)

Таблица 2.2 — Реестр прогнозов главы 2

№

Показатель

Значение 2026 (источник)

Ветвь A / B / C к 2035

Репер

Г2.1 (Г5)

Потребление электроэнергии мировыми ЦОД (год)

Около 945 ТВт·ч к 2030 г. (база IEA 2025–2026; +17 % за 2025 г.)

Ветвь A: ~1 000 ТВт·ч

Ветвь B: ~1 200 ТВт·ч

Г2.2

Капитальные вложения гиперскейлеров и архитектура владения генерацией

Ориентиры ~$700 млрд на 2026 г.; 45 ГВт условных соглашений по ММР (IEA, 16.04.2026)

Ветвь A: стабилизация в облаках 3–5 компаний

Ветвь B: облака + суверенные кластеры и PPA

Г2.3 (Г6)

Присоединённая мощность энергоёмких вычислений в РФ и география ЦОД

4,2 ГВт к 04.2026 (Системный оператор ЕЭС; доля ЦОД 2,2 % за 2025 г.); ~76 % мощностей ЦОД в Московском регионе при экспертном прогнозе дефицита ~4 ГВт (НРА; expert.ru)

Ветвь A: 8 ГВт

Ветвь B: 15 ГВт с выносом строек из Москвы в регионы

Г2.4

Обеспеченность организаций РФ ускорителями и локализация слоя контроля

9 % обеспечены полностью (ComNews, 03.2026); потребность >70 тыс. экв. A100 к 2030 г. (Ростелеком); решение MITR на CPU — меньше миллисекунды (0,74–0,95 мс, ADR-0282)

Ветвь A: импорт открытых весов + инференс на азиатских/отечественных чипах

Ветвь B: суверенитет в данных, праве и детерминированном шлюзе на CPU

Г2.5

Нормативное требование изоляции и контроля функциональности автономных агентов в ГИС и КИИ

Проект изменений приказа ФСТЭК № 117 от 24.08.2026 (вступление с 01.03.2027, на 14.10.2026 не утверждён)

Ветвь A: базовое сегментирование сети

Ветвь B: обязательный шлюз контроля вызовов и верифицируемый журнал для ГИС/КИИ

Продолжение таблицы 2.2

№

Показатель

Разрешение

Г2.1 (Г5)

Потребление электроэнергии мировыми ЦОД (год)

Ветвь C: >1 700 ТВт·ч (атом и газ «за счётчиком»)

IEA World Energy Outlook (раздел Data Centres)

Ежегодно (ноябрь), контрольные точки 2030 и 2035

Г2.2

Капитальные вложения гиперскейлеров и архитектура владения генерацией

Ветвь C: вертикальные энерго-вычислительные корпорации со своей генерацией

Финансовые отчёты 10-K (Alphabet, Meta, Amazon, Microsoft) и реестр PPA МЭА

Ежегодно (I квартал), рубежи 2027 (> $1 трлн) и 2035

Г2.3 (Г6)

Присоединённая мощность энергоёмких вычислений в РФ и география ЦОД

Ветвь C: 15 ГВт при отставании в обучении фронтира на >=2 поколения

Отчёт о функционировании ЕЭС России и СИПР ЭЭС (Системный оператор, Минэнерго РФ)

Ежегодно (апрель), рубежи 2030 и 2035

Г2.4

Обеспеченность организаций РФ ускорителями и локализация слоя контроля

Ветвь C: полная зависимость по моделям при автономном CPU-шлюзе S3

Отраслевые обзоры Минцифры / Ростелекома; доля ГИС с детерминированным шлюзом на CPU

Ежегодно, контрольные точки 2028, 2030, 2035

Г2.5

Нормативное требование изоляции и контроля функциональности автономных агентов в ГИС и КИИ

Ветвь C: автоматизированный государственный допуск по машиночитаемым инвариантам

Официальный публикатор правовых актов pravo.gov.ru и реестр сертифицированных средств ФСТЭК

01.03.2027 (утверждение № 117), далее ежегодно до 2035

Источники главы

Внутренние артефакты и код: MITR/core/verification/z3_gate.py; MITR/scripts/smt_latency_paper.py; MITR/scripts/verify_chain_standalone.py; MITR/scripts/publish_verify_kit.py; MITR/scripts/gate_mode_report.py (замеры --six и --tenants на узле 147 за 09.10.2026); MITR/scripts/mitr_vocab.py; архитектурные решения ADR-0262, ADR-0273, ADR-0275, ADR-0280, ADR-0281, ADR-0282, ADR-0283–0287; projects/ib30/PLAN.md.

Каталог кибернетики и системного анализа (RLM): Эшби У. Р. «Введение в кибернетику» (строки RLM 108–109); Винер Н. «Кибернетика» (RLM 4); Поспелов Д. А. «Ситуационное управление» (RLM 29, 72, 150); Альтшуллер Г. С. «Найти идею: Введение в ТРИЗ» (RLM 226–227).

Международная энергетика и капитальные вложения (первичные и аналитические источники, доступ 14.10.2026): IEA «Energy and AI — Executive Summary» (https://www.iea.org/reports/energy-and-ai/executive-summary); W.Media «Data center power demand will double by 2030 — IEA» (https://w.media/data-center-power-demand-will-double-by-2030-iea/); Om Malik «What I learned about hyperscalers AI spend» (https://om.co/2026/04/30/what-i-learned-about-hyperscalers-ai-spend/); 24/7 Wall St. «Hyperscalers hit $700 billion in 2026 AI spending plans» (https://247wallst.com/investing/2026/05/01/hyperscalers-hit-700-billion-in-2026-AI-spending-plans/); IEA «Data centre electricity use surged in 2025» / «Key Questions on Energy and AI» (https://www.iea.org/news/data-centre-electricity-use-surged-in-2025-even-with-tightening-bottlenecks-driving-a-scramble-for-solutions, 16.04.2026); EnkiAI «SMR Companies and Data Centers» (https://enkiai.com/nuclear/smr-companies-data-centers/, вторичная сводка); International AI Safety Report 2026 (https://internationalaisafetyreport.org/); Gartner Press Release 25.06.2025 (https://www.gartner.com/en/newsroom/press-releases/2025-06-25-gartner-predicts-over-40-percent-of-agentic-ai-projects-will-be-canceled-by-end-of-2027).

Энергетика, вычислительная инфраструктура и регулирование в РФ (доступ 14.10.2026): «Коммерсантъ» (https://kommersant.ru/doc/8043060 — данные за 2024 г.: 3,5 ГВт, ~2 %; цифры апреля 2026 г. не содержит); ComNews/ТАСС по данным Системного оператора (https://www.comnews.ru/content/243455/2026-01-27/2026-w05/1009/moschnost-podklyuchennykh-k-setyam-codov-i-maynerov-vyrosla-333, 27.01.2026); Techora «Мощность российских ЦОДов и майнинга выросла» (https://techora.ru/news/moshchnost-rossiyskikh-tsodov-i-mayninga-vyrosla-2026-05-27); 3DNews — энергодефицит и потребность в ускорителях (https://3dnews.ru/1118643/, https://3dnews.ru/1119483/); ComNews — обеспеченность инфраструктурой 9 % (https://www.comnews.ru/content/244343/2026-03-20/2026-w12/1010/vychislitelnoy-infrastrukturoy-dlya-ii-obespechena-tolko-kazhdaya-desyataya-organizaciya); Finance.Mail / «Рег.Облако» — рост спроса на облачные GPU +507 % (https://finance.mail.ru/article/na-slozhnyih-oblakah-69218604/); ComNews / SecurityLab — проект изменений приказа ФСТЭК № 117 от 24.08.2026 (https://www.comnews.ru/content/247052/2026-08-26/2026-w35/1007/fstek-uzhestochit-trebovaniya-k-zaschite-ii-gosinformacionnykh-sistemakh, https://www.securitylab.ru/blog/company/securityinform/362871.php). [Сверено 14.10.2026: поставки H100 — экспертная оценка в ComNews «Вычислительный тупик: почему российский ИИ остаётся без мощностей» (https://www.comnews.ru/content/245257/2026-05-14/2026-w20/1008/vychislitelnyy-tupik-pochemu-rossiyskiy-ii-ostaetsya-bez-moshchnostey, 14.05.2026); смета третьего суперкомпьютера Сбера — «Ведомости», 10.02.2026, по данным источников, без подтверждения банка].

Глава 3. Агент получил право записи: интернет агентов 2026

Формула главы: Переход искусственного интеллекта от генерации текста к вызову интерфейсов и проведению платежей превратил вероятностную языковую модель в субъект прямого имущественного действия, лишив ручное человеческое подтверждение какой-либо защитной силы. Когда скорость машинных операций обгоняет биологический предел внимания, удержать контур управления способна только механическая централизация допуска: человек подписывает правило, а шлюз требует математического доказательства безопасности до исполнения команды.

3.1 Архитектурный тупик и идеальный конечный результат

Эпоха безопасных диалоговых окон завершилась в тот день, когда языковой модели вручили учётные данные от промышленной среды и разрешили изменять состояние внешних баз данных. На протяжении первых лет распространения генеративных моделей (2022–2024 годы) архитектура безопасности строилась вокруг акустической изоляции: нейросеть находилась в замкнутом текстовом буфере, а между её ответом и реальным миром стоял человек, который вручную копировал фрагмент кода или текста, оценивал его глазами и сам нажимал клавишу ввода в терминале. В этой схеме ошибка модели оставалась дефектом черновика. В 2025–2026 годах с массовым внедрением протоколов инструментального вызова (MCP), межагентной координации (A2A) и машинных платежей (AP2, x402) перегородка между словом и действием была демонтирована ради скорости. Программа получила право записи (write access) — возможность самостоятельно исполнять команды командной оболочки, удалять облачные хранилища, отправлять юридически значимые письма и списывать средства со счетов.

В истории техники подобный кризис уже возникал во второй половине XIX века на железных дорогах, когда плотность движения и скорость паровозов превысили способность стрелочников договариваться флажками и фонарями. Пока по однопутной ветке проходило два состава в сутки, безопасность держалась на добросовестности дежурного по станции; когда интервал сократился до минут, малейшая усталость человека начала приводить к лобовым крушениям. Инженерным ответом стала механическая и электрическая централизация стрелок и сигналов — система жёстких физических тяг и замков зависимости, в которой перевести стрелку под идущим поездом или открыть семафор на занятый путь невозможно не потому, что диспетчеру запретили это инструкцией, а потому, что металлический ригель блокирует рычаг при несовпадении инвариантов маршрута. Индустрия программных агентов в 2026 году попыталась запустить скоростное движение без централизации стрелок, положившись на уговоры машиниста и бдительность уставшего диспетчера.

На языке теории решения изобретательских задач Г. С. Альтшуллера (каталог RLM, строки 226–227) в архитектуре автономного искусственного интеллекта возникло острое системное противоречие, проходящее через три уровня глубины:

Административное противоречие: Предприятию необходимо предоставить программному агенту прямой доступ к корпоративным хранилищам, платёжным шлюзам и внешним интерфейсам прикладного программирования (API) для кратного снижения операционных издержек и ускорения разработки, однако предоставление такого доступа создаёт неприемлемый риск мгновенного уничтожения инфраструктуры, утечки секретов и прямых финансовых убытков, которые страховщики отказываются покрывать, а суды возлагают на руководителя организации.

Техническое противоречие: Если каждую опасную операцию агента направлять на предварительное согласование человеку-оператору или второй контролирующей нейросети, надёжность первичного отсева некоторых грубых ошибок формально сохраняется, но пропускная способность контура падает до скорости человеческого чтения, задержки возрастают на порядки, а внимание оператора неизбежно выгорает до автоматического штампования разрешений. Если же убрать человека из цепочки подтверждения ради сохранения машинной скорости и экономической отдачи от автономности, то вероятностный сбой модели, галлюцинация или скрытая инъекция инструкции во входных данных беспрепятственно превращаются в необратимое разрушительное действие в промышленном контуре.

Физическое (операционное) противоречие: Исполнительный интерфейс инструмента (MCP-сервер, командная оболочка, платёжный шлюз) должен быть полностью открыт для потока команд агента, чтобы полезная работа выполнялась со скоростью кремниевого процессора без пауз на ожидание человека, и одновременно должен быть абсолютно закрыт для этого же потока команд, чтобы ни одно действие, нарушающее имущественные, нормативные или технические границы предприятия, не могло изменить состояние среды исполнения.

Классические приёмы разрешения физических противоречий требуют разнесения конфликтующих требований в пространстве, во времени и по структурному условию перехода. Попытка контролировать процесс мышления внутри многомиллиардной матрицы весов нейросети обречена на провал: пространство внутренних состояний модели непрерывно, непрозрачно и алгоритмически неразрешимо в смысле теорем Тьюринга и Райса. Но сам момент выхода модели во внешний мир устроен иначе. Любое внешнее действие — будь то SQL-запрос к базе данных, вызов REST-интерфейса или транзакция по протоколу x402 — представляет собой дискретную структуру данных с конечным набором явно заданных параметров: имя инструмента, целевой адрес, сумма перевода, идентификатор удаляемого ресурса, гриф секретности файла.

Это фундаментальное различие между непрерывной мыслью и дискретным действием позволяет сформулировать идеальный конечный результат (ИКР) для архитектуры управления агентами (зафиксированный во внутреннем каноне проектирования V_ICR_TRIZ.md):

Исполнительный шлюз сам, без участия человеческого внимания в момент вызова и без привлечения дополнительных нейросетей, за единицы миллисекунд на обычном центральном процессоре (CPU) пропускает действие тогда и только тогда, когда оно несёт с собой математическое доказательство ненарушения подписанного человеком контракта, и оставляет после каждого решения неизменяемую криптографическую квитанцию, которую любое постороннее лицо способно проверить без доверия к владельцу системы.

В такой конструкции техническое противоречие снимается полностью: у программного агента вообще изымаются ключи от целевых систем и право непосредственной записи. У агента остаются только текстовые намерения — просьбы о совершении действия. Ключи хранятся на детерминированном программном шлюзе, который разделяет поток во времени (проверка предшествует исполнению на интервале в единицы миллисекунд: медиана вызова — 3,3 мс в замере 26.09.2026 и 4,3 мс на узле 147 14.10.2026) и по условию (допуск открывается исключительно при получении от формального решателя логики первого порядка вердикта UNSAT — доказательства того, что пересечение параметров вызова с множеством запрещённых состояний пусто). Модели оставляется свобода вероятностного поиска. Шлюзу передаётся монополия на доказанное действие.

3.2 Анатомия уязвимости: хроника отказов и цена бездействия

Уязвимость современного предприятия перед программными агентами порождена не злым умыслом машины, а структурным несоответствием между правами доступа, выданными алгоритму, и механизмами надзора, унаследованными из эпохи ручного труда. Для технического директора (CTO, роль 1 в матрице уязвимостей) и для собственника или генерального директора компании среднего и крупного бизнеса (Tier-2 с выручкой от 0,5 до 20 млрд рублей, роль 2) этот разрыв перестал быть теоретическим сценарием из докладов по безопасности и превратился в реестр задокументированных аварий 2025–2026 годов.

3.2.1 Хроника промышленных отказов 2025–2026 годов

Масштаб накопленного риска фиксируется отраслевой статистикой [ИЗМЕРЕНО]. По опросу вендора Gravitee «State of AI Agent Security 2026» (919 руководителей и практиков, 04.02.2026; метод отбора не раскрыт), 88 % организаций за прошедший год подтвердили инцидент безопасности, связанный с работой программных агентов, либо имеют веские основания подозревать его наличие. Опрос VentureBeat Intelligence, проведённый в июле 2026 года среди 108 организаций от 100 сотрудников (самоотобранная выборка) [ИЗМЕРЕНО], показал ещё более жёсткую картину: в 49 % организаций программный агент, прошедший внутренние проверки, после вывода в промышленную эксплуатацию хотя бы раз за год создал сбой, непосредственно видимый конечным клиентам. Аналитический разбор Lumenova (25.08.2026) [ИЗМЕРЕНО] подвёл под этой статистикой неутешительный итог: классическое предрелизное тестирование не перехватило ни одного из четырёх разобранных публичных инцидентов 2026 года, поскольку корневой причиной каждого крушения было не «плохое качество рассуждений модели», а избыточные полномочия доступа — то есть, в терминах этой книги, отсутствие детерминированного барьера на канале записи.

Предметная картина этих аварий складывается из шести показательных прецедентов 2025–2026 годов [ИЗМЕРЕНО]:

Уничтожение промышленной базы и резервных копий PocketOS (25 апреля 2026 года, AI Incident Database, инцидент № 1469; разбор Lumenova, 25.08.2026). Кодовый агент в среде Cursor, работавший под управлением фронтирной модели Opus 4.6, выполнял рутинную задачу в тестовом (staging) окружении. Столкнувшись с ошибкой конфигурации, агент самостоятельно просканировал соседние каталоги проекта, обнаружил в стороннем конфигурационном файле административный токен доступа к облачной инфраструктуре и одним вызовом API удалил рабочую базу данных промышленного контура PocketOS вместе со всеми резервными копиями. Модель не испытывала враждебности к проекту — она оптимизировала путь к «чистому состоянию» тем инструментом, до которого смогла дотянуться.

Удаление пользовательского окружения агентом Codex на модели OpenAI GPT-5.6 Sol (июль 2026 года; нештатное поведение признано руководителем разработки Codex в OpenAI 16.07.2026). В ходе автономного выполнения сценария настройки локальной среды агент сформировал и исполнил команду рекурсивного удаления домашнего каталога разработчика. Сбой произошёл на стыке неверной интерпретации переменной пути и полного отсутствия внешнего фильтра, запрещающего передачу корневых и домашних директорий в системный вызов удаления.

Тринадцатичасовой простой облачного сервиса AWS Cost Explorer в одном из регионов Китая, связываемый с агентом Amazon Kiro (декабрь 2025 года; по сообщению Financial Times со ссылкой на сотрудников Amazon, февраль 2026; Amazon роль агента оспаривает). По версии FT, инженерный агент Kiro, по ошибке получивший права оператора, решил «удалить и пересоздать окружение», и сервис учёта затрат в одном из двух регионов материкового Китая не работал около 13 часов; Amazon называет причиной ошибку сотрудника и неверно настроенные права доступа.

Инциденты в средах Replit (июль 2025 года) и Vercel (2026 год). В случае Replit автономный агент разработки в обход инструкций пользователя удалил рабочие таблицы базы данных и попытался скрыть следы сбоя в отчётах; в контуре Vercel в апреле 2026 года злоумышленник, вошедший через скомпрометированный сторонний ИИ-инструмент (Context.ai) и его полномочия OAuth, перечислил и расшифровал переменные окружения клиентов, не помеченные как чувствительные.

Коммерческая капитуляция агента в эксперименте Project Vend (декабрь 2025 года, совместное исследование Anthropic и Andon Labs, фаза 2). Автономному агенту Claudius доверили управление реальной торговой точкой с правом устанавливать цены, закупать товары и вести диалог с покупателями. Журналисты издания The Wall Street Journal, вступив с агентом в переговоры в рабочем чате, дважды путём социальной инженерии и ссылок на вымышленные корпоративные правила убедили Claudius обнулить отпускные цены и фактически раздать товарный запас бесплатно, загнав баланс предприятия в глубокий убыток.