Безопасность с ИИ: аккаунты, утечки и анонимизация
Открытый эфир от 8 октября 2026 года, час сорок. Ниже — конспект по темам: его можно читать вместо видео, а можно рядом с ним — каждый раздел начинается со ссылки на нужную минуту записи.
Раньше безопасность была заботой тех, кто профессионально занимается информационной безопасностью. Теперь она касается почти каждого, потому что многие из нас собирают сервисы — пусть даже в небольшой компании. Мы с Яковом Васильевым ведём две лаборатории и в обеих постоянно упираемся в эти вопросы. В агентской приходится думать о паролях, о ключах к программным интерфейсам (API) и о том, можно ли агенту трогать персональные данные. В билдерской мы строим автономные системы, которые работают на сервере и принимают пользователей, — там безопасность становится отдельной большой темой. Этот эфир мы собрали из того, с чем столкнулись сами. Многое из него пригодится и в разговоре со службой информационной безопасности внутри компании.
Блокировки аккаунтов и утечки данных мы учимся обходить, чтобы не случился главный риск — оказаться не готовым к трансформации, которая уже идёт. Большую часть проблем, по словам Якова, закрывает элементарная гигиена.
Карта рисков
Сначала я спросил участников, как с ИИ обстоят дела у них в компаниях. Ответы разошлись: у кого-то «пока анархия», у кого-то «правила есть, но их никто не соблюдает и не контролирует», у кого-то отдельные корпоративные ИИ-инструменты и много запретов на общедоступные. Один участник рассказал, что всё более или менее существенное обезличивает сам, потому что есть требования закона о трансграничной передаче данных.
Дальше мы разложили риски по группам. Первая — потеря доступа и остановка работы. Это блокировка личных и командных аккаунтов: буквально за неделю до эфира Claude устроил новую волну блокировок, под которую попали и россияне. Сюда же относится зависимость от одного поставщика, но в работе с агентами она ослабевает: переход от одной модели к другой обеспечивает обвязка (harness), а модели оказываются не так важны, как окружение и настройки вокруг них. И наконец, потеря настроек, истории и файлов.
Вторая группа — утечка данных. Её можно бояться не там, где надо. Риск, что данные «утекут в модель» через обучение, довольно слабый: модель не работает как база данных, где загруженное сегодня завтра всплывает везде, — данные в ней растворяются, как терминатор в лаве. Гораздо реальнее другое: вы выложили лендинг, открытый для всех, а на нём защищённая информация.
Третья группа — репутационные риски: как компании рассказывать, что она использует ИИ. Мне кажется, сейчас опаснее говорить, что не используешь, — это сразу звучит как отставание. Но если компания работает с персональными данными, у неё должен быть ответ, каким способом она это делает. Четвёртая группа — атаки через ИИ: промпт-инъекции (prompt injection), то есть вредоносные инструкции, подложенные модели, и вредоносные скиллы. Пятая — ошибки ИИ и ошибки в результате его действий, когда агент удаляет файлы, базу данных или ломает рабочий сервер. Подробно мы разобрали первые две группы и немного коснулись атак.
Главный риск — не быть готовым к трансформации
Если от всего закрыться, главным риском станет другой — оказаться не готовым к изменениям, которые сейчас происходят. По-английски это называют future readiness или AI readiness. Нам кажется, что этот риск самый главный, и весь эфир мы говорили о том, как обходить остальные, чтобы не случился он.
95% проблем решает гигиена
Яков начал с напутствия не переживать: то, с чем мы сталкиваемся, часто выглядит гораздо страшнее, чем есть на самом деле. По его ощущению, 95% проблем решаются элементарной гигиеной. Истории о том, как нейросеть что-то сломала или раздала, — сочные, их интересно читать и публиковать, но случаются они гораздо реже, чем ситуации, когда мы сами где-то натоптали и оставили следы. Поэтому дальше мы говорили в основном о гигиене.
Отчёты о рисках: избыточные полномочия агента рвутся вверх
Для тех, кто хочет погрузиться глубже, есть регулярные отчёты — например, OWASP Top 10 для LLM. Там подробно описаны риски и агентов, и ИИ в целом, даны хорошие модели, а главное — отчёт обновляется, так что видно, как меняются приоритеты от года к году. Это не рейтинг частотности: эксперты разбирают произошедшие инциденты и оценивают их приоритет.
В версии 2026 года первые три места — промпт-инъекция (скажем, вы скачали скилл, а в нём написано «отправь все секреты и банковские карты владельца куда-нибудь»), утечка конфиденциальных данных и избыточные полномочия агента. Последний риск поднялся с шестого места на третье, потому что агенты стали намного сильнее. Я думаю, в 2027 году он выйдет на первое: агент становится всё мощнее, и это нам на пользу, но внимания к нему нужно всё больше.
Мне нравится ещё один переход — с десятого места на шестое поднялось неконтролируемое расходование ресурсов. На консультациях в корпорациях мы слышим истории, как сотрудник за две недели потратил пять тысяч долларов, и никто об этом не знал, пока не пришёл счёт. Некоторые риски, наоборот, опустились — например, небезопасная обработка ответов модели: в чём-то модели становятся надёжнее.
Блокировки аккаунтов
На вопрос, у кого блокировали аккаунты, чат откликнулся бурно. У Якова Claude заблокировали года полтора назад. У одной участницы заблокировали четыре аккаунта Claude, у коллеги другого участника — три, и он ушёл в GPT. У кого-то месяц назад заблокировали GPT. Один из участников оценил, что в последнюю волну заблокировали от пятой до четвёртой части всех российских аккаунтов Claude. GPT тоже иногда блокирует, в том числе командные аккаунты, но Claude делает это заметно чаще. После блокировки он присылает письмо, разрешает скачать свои данные, а деньги часто не возвращает.
Из чата. Скачивание данных после блокировки часто фиктивное — приходят только метаданные аккаунта. Да и обычный экспорт теряет часть данных со временем, поэтому его стоит делать регулярно и не удалять старые копии.
Тут я сказал и кое-что терапевтическое: агенты — уже наша реальность, и пользоваться ими мы будем, хотим того или нет. Не всё держится на Claude: через полгода у GPT будут модели такого же качества — уже сейчас они очень сильные, просто дорогие, — на подходе и китайские модели. Поэтому риски не должны останавливать вас, но знать, как от них защититься, точно надо.
За что банят: дорогие тарифы, юрисдикция, IP
Если почитать разборы заблокированных аккаунтов, проступают общие черты. Это дорогие тарифы — сто и двести долларов. Это рассинхрон юрисдикций, когда страна карты и страна, из которой вы выходите в сеть, разные. И это засвет реального адреса (IP): зашли из другой страны, из публичного Wi-Fi или мобильной сети и увидели страницу Unsupported Countries — для сервиса это тоже сигнал.
Есть и наблюдение в пользу терминала. На лабораториях мы учим работать с Claude не через приложение, а из терминала, и терминал, похоже, блокируют реже: он собирает и отправляет меньше метаданных, а приложение — больше. Тем более что ничего сложного в терминале нет, а преимуществ у него много.
Вопрос из чата. Насколько сервис смотрит на содержание: на привязанный GitHub, на файлы старого проекта в новом аккаунте, на текст, по которому легко понять, где вы находитесь? На контент, похоже, смотрят не сильно, хотя до конца я этого не знаю; по косвенным признакам метаданные важнее. Яков добавил из своего опыта: когда его забанили, он продолжил работать с теми же репозиториями, известными Claude, через другой аккаунт, и всё было нормально.
Почему Claude блокирует: ресурсы, фрод, дистилляция
Мне кажется, причин несколько. Ресурсов у Anthropic не так много, как у OpenAI. Их постоянно пытаются обмануть, потому что они популярны. А ещё на их моделях учатся китайские компании — это называется дистилляцией. Поэтому Anthropic закручивает гайки из экономических соображений и соображений безопасности, и под радары попадают люди, которые модели не дистиллируют, а просто много работают.
Яков разделил это на два риска. Первый — вы проваливаетесь по локации, и вас просто отрезают, чтобы не тратить на вас ресурс. Второй срабатывает, даже если с локацией порядок: странный для них паттерн поведения. Новый аккаунт, сразу подписка за двести долларов, и тут же через него начинают гнать триллионы токенов, выбирая лимиты подчистую. Для Anthropic это очевидный знак: так ведут себя те, кто выкачивает лимиты, чтобы дистиллировать модель.
Отсюда совет на случай, если вы начинаете историю с Claude заново: не покупайте сразу дорогую подписку. Посидите денёк на бесплатном тарифе, потом возьмите тариф за двадцать долларов, упритесь в его лимиты и только потом расширяйтесь. Это должно выглядеть как постепенный вход нового пользователя, а не как «мне вернули доступ, сейчас начну сжигать токены».
Антифрод считает сочетание флагов
Те, кто работал в финтехе, знают, как устроены системы мониторинга: мы в QIWI тоже много с этим работали. Есть маркеры и флаги, по которым опознаётся небезопасное использование, и риск даёт не один параметр, а их сочетание. Заведён вчера, сразу большая подписка, сразу выбран лимит — прилетает бан. Задача в том, чтобы набрать как можно меньше таких баллов.
Свои баллы можно проверить сервисом cleanip.io: внизу переключаетесь на английский и получаете оценку риска своего подключения. Участники прислали в чат результаты от 60 баллов («пользоваться можно, но нужно внимание») до 80 («низкий риск»). У меня главный риск — часовой пояс: компьютер живёт по московскому времени, а адрес, с которого я выхожу в сеть, берлинский. При этом это не коммерческий сервис, а отдельный сервер с постоянным адресом — с коммерческим было бы ещё хуже.
Демо: наш сервис проверки подключения
Яков показал похожий сервис, который мы сделали для участников. Вы выбираете, куда вам нужно попасть и через какую страну вы пытаетесь подключиться, а он проверяет по каждому сервису отдельно: с какого адреса вы сидите, совпадает ли он с точкой входа, совпадают ли часовой пояс, устройство и так далее. Это ровно те метаданные, на которые смотрят и Claude, и ChatGPT. Собирали сервис, естественно, агенты. Когда мы его выложим, Яков думает разослать его по почте всем, кто регистрировался на эфир.
Как защитить аккаунт: стабильное подключение, своя карта, реальный номер
Дальше мы прошлись по чек-листу. Выходить в сеть лучше не через коммерческий сервис, а через собственный арендованный сервер: у него постоянный адрес, и хотя сервис проверки покажет, что это дата-центр, балл будет лучше, чем у коммерческого. В идеале нужен резидентский адрес, то есть адрес домашнего провайдера, но получить его сложно. Карта — реальная банковская карта той страны, из которой вы выходите, не виртуальная и не карта посредника, по которой платят ещё за сотню аккаунтов: платёжный сервис Stripe это заметит. Страна подключения должна совпадать со страной карты — в идеале всегда, а при оплате обязательно. И реальная сим-карта: если есть возможность получить настоящую СМС, это лучше виртуального номера, тем более что код приходит один раз и больше его не спрашивают.
Остальные пункты касаются поведения. Запускайте агента в терминале и не открывайте приложение. Не выходите с агентом из публичных сетей. Лишний раз не заходите в Claude через браузер: браузер сам собирает и передаёт дополнительную информацию. У меня, например, есть подписка на GPT, она дешевле: GPT я пользуюсь в чате и с телефона, а Claude — только как агентом в терминале и только из одной локации. Полезно настроить kill switch — функцию, которая обрывает соединение, если защищённый канал упал, — или попросить агента написать скрипт, который в этот момент сам закрывает терминальный клиент. Наконец, Claude можно запускать на виртуальном сервере (VPS), арендованном, скажем, в Германии или Казахстане, и работать с ним через VS Code. Пока Claude это не запрещает, но может запретить: правила меняются.
Яков отдельно подчеркнул две вещи. Первая: из терминала банят реже, чем из приложений. Почему — до конца непонятно (моя гипотеза про метаданные — выше), но по чатам и статистике это происходит точно. Вторая — карты. Claude и ChatGPT очень внимательно следят, чтобы с одной карты не шло много оплат, поэтому любые сервисы-посредники вроде GGSell и Plati.ru мы полностью исключаем. Карту нужно найти свою или такую, на которой не больше одной-двух подписок. Я добавил, что можно через знакомого за границей, а ещё сейчас можно сделать таджикскую, киргизскую или казахскую. Главное, чтобы она была ваша, а не купленная с рук.
И последнее: на каком языке вы пишете агенту, кажется, особой разницы нет, а вот просить агента рассказать, как обходить блокировки его же сервиса, я бы не советовал. Заблокировать могут не только за адрес, но и за постоянные вопросы на запрещённые темы. Если вы не нарушаете закон, а, допустим, собираете разрешённую информацию, которую западные модели почему-то отказываются собирать, лучше делать это китайскими моделями.
Вопросы из чата. Как Claude относится к оплате не напрямую, а через App Store или Google Play? Мне это неизвестно, но и там лучше, чтобы страна Apple Pay или привязанной карты совпадала. А криптокарты? Один из участников ответил, что у них часто сомнительные платёжные идентификаторы и найти нормальную — отдельный квест; у другого работает карта Wirex, на оформление у него ушёл час. Если агент из терминала что-то открывает в браузере, это тоже плохо? Тонкий момент: имелось в виду не открывать в браузере сам чат.
Если заблокировали: новая почта и чистка конфигов
Если несчастье всё-таки случилось, новый аккаунт создаётся на новую почту, конечно же, не российскую, — и дальше по советам Якова: не пополнять его через пять минут на двести долларов и не запускать сразу всю флотилию агентов.
В сообществе есть и такое наблюдение: стоит вычистить метаданные из конфигурационных файлов, которые остались в папке настроек, — в них содержится разная информация про аккаунты, а старая почта после блокировки считается скомпрометированной. На доске к эфиру мы выписали пример: Claude хранит на диске идентификатор машины, общий для всех аккаунтов на этом компьютере. Можно взять другого агента и попросить его найти эти файлы, разобрать и вычистить, чтобы на компьютере не осталось слепка прошлого пользователя.
И, конечно, бэкапы. Если вы работаете в чате, периодически скачивайте свои данные: все об этом говорят, редко кто делает, но делать нужно. Если работаете на компьютере, всё проще: даже после блокировки файлы останутся у вас.
Не держитесь за одну модель
Здесь хочется успокоить: агенты становятся новой нормой, и многие компании будут подтягиваться к лидерам. Opus 5.5 — очень классная модель, но время работает на нас: думаю, через полгода или год мы будем вспоминать её с благодарностью, работая уже с другими. Не давайте паразитным мыслям сбивать вас с агентского пути.
Альтернатив уже много. Появляются разные обвязки — Z Code, OpenCode, Ollama с разными моделями. Если не хочется тратить нервы на регистрацию Claude, переходите на GPT — наверное, это сейчас лучший вариант: модели топовые, хотя с лимитами в последнее время не всё хорошо. Дальше Cursor, Grok и Antigravity: Илон Маск хорошо включился в гонку, у Grok свои модели и своя обвязка. А китайские модели можно использовать для повседневных задач.
Кто уже умеет работать с агентами, может устроить работу так, что GPT пишет план и оркестрирует процесс, а более слабые китайские модели работают субагентами-исполнителями. Тогда не нужно обкладываться большими подписками: GLM и DeepSeek — достаточно хорошие модели на каждый день.
Гайд по переезду с Claude на Codex и бэкапы
В прошлом эфире мы разбирали, что агент — это обвязка плюс модель. Отсюда практический вывод: обвязку можно перенести. Яков выложил гайд по переезду с Claude Code на Codex, который мы делали для одного клиента и вообще для всех, кто столкнулся с блокировкой: как установить Codex и как сделать миграцию. Скиллы и проекты переносятся довольно легко, потому что это просто файлы на диске. На GitHub есть даже готовые сервисы для переезда, но и они не обязательны: достаточно дать новому агенту сайт с инструкцией, и он всё сделает сам. Поэтому мы и топим за то, чтобы понимать, из чего состоит обвязка: это делает вас свободнее и гибче, и агент перестаёт быть чёрным ящиком.
С точки зрения безопасности здесь важно одно: периодически делайте бэкапы обвязки и настроек — CLAUDE.md, AGENTS.md и всего остального. Это страховка на случай, если что-то случится с компьютером. На Mac есть прекрасная функция Time Machine: покупаете внешний диск и время от времени делаете снимок системы. Или выкладываете копию в облако — риск, что беда случится одновременно и с компьютером, и с облаком, сильно ниже.
Утечки: боты ищут ключи на GitHub и Vercel
Дальше рассказывал Яков. Мы сами можем устроить себе огромное количество проблем, выкладывая в интернет наработки, документы и код. Кажется, что ничего страшного: ну засветил случайно ключ, кому я нужен, никто за моим GitHub охотиться не будет. На самом деле это очень опасно. По интернету ползает бесконечное количество парсеров, которые только и делают, что мониторят никому не известные GitHub и Vercel в ожидании, что какой-нибудь новичок выложит все явки и пароли. Дальше ключи либо аккуратно используют, и вы платите за чужое пользование, либо продают — чтобы, понимая, кто вы такой, заниматься социальной инженерией.
Поэтому вместе с агентами нужно выстраивать правила, чтобы ничего секретного не уходило в интернет их руками.
Vercel без пароля принадлежит всему интернету
У нас есть привычка делать объясняющие лендинги на Vercel. Это очень удобно: из терминала через командную строку (CLI) можно выложить любую страницу, деплой занимает минуту, и ссылку сразу можно кому-то отдать. Но бесплатный Vercel не даёт поставить на страницу пароль.
Пароль, который всплывает на экране благодаря JavaScript, отгородит вас только от случайного человека: если кому-то действительно нужен доступ, такой пароль не поможет. Поэтому, если нужно отдать клиенту что-то более или менее секретное в формате HTML, мы смело отправляем это просто файлом, без всякого деплоя. Человек откроет страницу в браузере даже без подключения к интернету.
.env и .gitignore
Есть очень важная вещь — файлы .env. В них лежит окружение, на котором крутятся наши проекты, включая множество ключей. Всё, что лежит в .env, должно быть прописано в .gitignore — списке файлов, которые никогда не попадают в репозиторий. Claude и Codex обычно делают это сами, но следить всё равно нужно. Тогда кодом можно спокойно делиться: человек, который его установит, получит сообщение, что код на месте, но без своего ключа ничего не заработает. А ваши собственные ключи вместе с кодом никуда не уйдут.
Яков показал, как это выглядит на практике, на анонимизаторе, к которому мы ещё вернёмся. В его .gitignore перечислено всё, что не должно уехать на GitHub: виртуальное окружение, всё, что связано с анонимизированными данными, результаты проверок. Ни один ключ и ни одна частичка информации, которая может заинтересовать тех, кто ломает и утаскивает, не должны попасть в репозиторий.
Скиллы и промпт-инъекции: читайте, что ставите
Следующая большая проблема — скиллы, в них много промпт-инъекций. Что с этим делать? Читать каждый скилл, который вы устанавливаете. Если скилл достоин того, чтобы взять его у кого-то, значит, он, скорее всего, сэкономит вам много времени — а раз так, не жалко потратить немного, чтобы обезопасить себя. Не ставьте сразу паки по пятнадцать-двадцать скиллов: в них легко подложить ненужные инъекции.
Для агента нет разницы, сказал ли это Дима, Яков или скилл. Всё, что попало к нему в контекст, он начинает отрабатывать, и инъекцию он даже не отличит от того, что мы сами захотели такого поведения. Поэтому читайте всё.
Засветил ключ в чате — когда перевыпускать
Последнее в этой части Яков рассказал скорее для того, чтобы снять тревогу. Агенты часто пишут: «Ключ подходит, но вы засветили его в этом чате, его нужно отозвать». Это классическое поведение языковой модели: вокруг неё выстроена обвязка, но сама модель никуда не делась. Важно понимать, насколько далеко вы на самом деле потеряли контроль над ключом, и очень часто ничего страшного в том, что ключ попал в чат, нет. Хотя лучше, конечно, класть ключи в файлы или переменные окружения, на которые агент может ссылаться.
Совсем другое дело, если ключ ушёл в git: тогда он потерян. Если вы стримили или показывали экран коллегам на записи в Zoom, ключ тоже уже слит — кто-нибудь поделится ссылкой или случайно перешлёт видео. Скриншоты, публикации, общий чат — ключ перевыпускается немедленно. Бояться стоит даже не столько людей, сколько ботов: они шерстят огромное количество контента в поисках ключей, в том числе китайские, у которых всё меньше возможностей покупать западные сервисы. А если сессия только ваша и ключи лежат в файлах, прописанных в .gitignore, — ничего страшного.
Итого три основные проблемы, которые случаются с непривычки, когда вы начинаете с агентами разрабатывать что-то для других людей. Конфиденциальные данные уходят через Vercel под надеждой на пароль в JavaScript. Ключи к базам и платежам открываются не через .env. И устанавливаются непрочитанные скиллы.
Позже я добавил к этому обратную ситуацию: агент отказывается работать, потому что ключ «скомпрометирован в чате». Иногда ему нужно просто сказать: всё хорошо, используй, риски я беру на себя.
Коммерческая тайна — не пустой термин
Мы правда видим, как люди, которые вчера научились пользоваться Vercel, выкладывают туда свои данные. Поэтому стоит понять: коммерческая тайна и персональные данные — не пустые термины. Не надо шерить, например, внутренние телефоны компании, тем более телефон службы безопасности: это компрометирует, их можно подписать на спамовую рассылку. Не надо выкладывать бэклоги: промышленный шпионаж в 2026 году существует и, думаю, прекрасно себя чувствует. Если сейчас написать парсер по Vercel — ни в коем случае не инвестиционная стратегия, — найдётся огромное количество всего.
Яков подтвердил примером. Недавно он изучал бэклог довольно крупной компании, которая проходила ИИ-трансформацию: там были отобраны задачи, которые любой сотрудник может взять и сделать вместе с ИИ, — сотня тикетов, открытых всему интернету. Читать было очень интересно, но он немного офигевал от того, что люди не додумались: всё это кто-нибудь распарсит.
Как говорить со службой безопасности
К этой части я подобрал мем, который мне кажется прекрасным: в службе безопасности мы часто видим чужих непонятных людей, которые и правда выглядят как отдельное сообщество со своим непонятным языком. Хотелось поделиться наблюдениями, как с ними разговаривать.
Сначала оговорка. Модели и сами выполняют функцию безопасности: Claude, например, следит за секретами, но он дырявенький — его можно заболтать и уговорить. А какая-нибудь китайская модель может попутать берега и выложить всё. Так что на модель как на службу безопасности полагаться не стоит.
ИБ — партнёр и внутренний клиент: говорите на языке рисков
На коллег из информационной безопасности полезно смотреть двумя способами. Во-первых, вы партнёры с одной целью: вы работаете на одну компанию, которая должна успешно работать и сохранять возможность работать дальше. Служба безопасности часто отвечает именно за «работать дальше» и в моменте может что-то запрещать, но в долгую это система сдержек и противовесов с общей целью. Во-вторых, ИБ — внутренний клиент, которому тоже нужно продавать, как и внешнему. А для этого нужно понимать его требования, логику и боли. Исследователи знают, как это делается: разобраться в функциональных и нефункциональных требованиях и попасть в зазор потребности.
Отсюда первое правило — правильно формулировать проблему. Нас долго учили говорить о ценности, и мы думаем, что, показав пользу для бизнеса, получим зелёный свет. А ИБ думает рисками: какой новый геморрой мне сейчас впилят, что будет при масштабировании, откуда здесь зоопарк технологий. Это обычные люди, которые не хотят каждый день разгребать кучу инцидентов. Поэтому уже на уровне слов полезно формулировать задачу с учётом рисков: не «сократить время подготовки отчётов», а «сократить время подготовки отчётов, сохранив конфиденциальность клиентских материалов». У вас появляются дополнительные требования, и вы сразу показываете, что вы на их стороне.
Второе: часто у внутреннего заказчика нет ясно сформулированных требований, а человек уставший, и кажется, что ему проще всё запретить. Но у него тоже есть начальник, и если компания идёт в сторону трансформации, рано или поздно придётся не только защищаться, но и открываться. Внутренняя ИТ-среда сейчас сама учится: вы приходите с новыми запросами, и эти запросы её обучают, приносят новые вызовы и новые сложности. Если вы научитесь эти сложности снижать, а может, и запартнёритесь, в итоге выиграют все. Покажите, что разделяете их риски и понимаете их.
Приходите с прототипом
Помогайте коллегам понять ваш сервис. Может сложиться впечатление, что они очень умные и всё знают, но у всех нас ограничены знания и внимание. Представьте: было сто разработчиков, обученных что-то делать, а теперь терминал появился у каждого, и коллеги из безопасности со страхом смотрят на масштаб происходящего — объяснять и проводить семинары им некогда.
Поэтому лучше принести прототип и обсуждать его конкретно. По опыту корпоративной работы могу сказать: можно десять встреч объяснять юристам слова, а можно принести лендинг — и они сразу скажут «нет, так нельзя» или «а, так можно, что же вы сразу не сказали». Благодаря агентам такие прототипы делаются быстро, причём на безопасных данных. Приходите с конкретными формулировками: не «хочу штуку, которая что-то оптимизирует», а «мне нужно подключиться к этому сервису и брать такие-то данные в таком-то виде, чтобы сократить вот это на десять процентов; мой руководитель готов принять риски — давайте подумаем, как это сделать». В идеале узнайте их чек-лист требований и пройдитесь по нему.
В таком чек-листе часто есть требование не плодить зоопарк технологий и оставаться в существующем периметре. Если вы общаетесь, например, в Mattermost, не стройте новый сервис где-то ещё, который снова придётся поддерживать и у которого появятся свои риски утечек, — встраивайтесь в существующий. И ещё хорошо работает союз с юристами или бухгалтерией: сделайте для них какую-нибудь автоматизацию, научите пользоваться ИИ. Вы много интересного поймёте, работая с ними, и найдёте союзников, которые делают с вами одно дело.
Конкретика вместо «дайте нам среду для агентов»
Яков продолжил: приходить нужно с конкретикой. Очень часто всплывает запрос «сделайте нам, пожалуйста, среду, в которой мы сможем разворачивать агентов». Это плохой запрос, он мало где оправдывается: вам скажут, что вы хотите слишком много, и не дадут нужного. А если прийти и сказать «вот прототип, смотрите, что он будет делать, и для этого мне нужно подёргать всего одну ручку», люди становятся гораздо сговорчивее: они понимают, что вы делаете и зачем. Это путь, на котором ваш инструмент интегрируется и среда, где идёт трансформация, постепенно расширяется. Трансформация никогда не происходит так, что абсолютно всё разом переложили на новые рельсы.
Главное — не приносить космолёты, а приносить прототипы, которые затрагивают одно-два дополнительных касания, которых не было, и при этом сразу дают очевидную ценность. Тогда эта штука будет работать на вас, и вы будете пробивать корпоративные стены тем, что предлагаете не только крутые штуки, но и то, как их сделать.
К этому я добавил, что пока не вся корпоративная инфраструктура открыта для агентов, так что стоит запастись терпением: сервисы постепенно обрастают MCP — протоколом, через который модель подключается к внешним инструментам и данным, — и программными интерфейсами для выгрузки. Если коннекторов пока нет, данные можно выгружать вручную и анонимизировать. Не получается анонимизировать — делайте сэмплы той же структуры. Отсутствие коннекторов не должно останавливать вас от работы с агентами. И сначала поймите, зачем вам ИИ, а уже потом подбирайте под это инфраструктуру. Иначе можно потратить много лишних денег: мы правда видим, как люди готовы потратить миллионы, чтобы побыстрее купить видеокарты и развернуть какую-то среду.
Сверху, снизу и центр компетенций
Есть хорошая модель того, как это устроено в компании. Сверху руководство задаёт направление. Снизу есть амбассадоры, которые обучились, понимают, как всё работает, начинают делать автоматизации и приносят инициативы. Чтобы поймать нисходящий и восходящий потоки, нужен координационный центр — центр компетенций или ИИ-хаб внутри компании. Общего чатика здесь мало: нужен выделенный человек, иногда целая команда, которые сводят инициативы снизу с потребностями сверху. Сверху дают ресурсы, а снизу — силы, способные эти ресурсы использовать. Если такая синхронизация случилась, больше шансов, что трансформация пойдёт туда, куда нужно, и появятся реально полезные вещи, которые не начнут пылиться назавтра.
Вопрос из чата. Были ли примеры, когда это получилось и когда нет? Пока у всех всё в процессе. Кейсы, о которых рассказывают на конференциях, — это либо разовые случаи, либо один из успешных этапов процесса. Скорее можно выделить чекпоинты, которые компания проходит, оставаясь на правильном пути, и они коррелируют с готовностью компании к будущему и с улучшением KPI. Но компаний, которые прямо меняют процессы, до сих пор очень мало: чаще это разовое использование на местах или ИИ, наложенный на уже существующий процесс, что порой тоже неплохо.
Анонимизация: страх больше в голове, чем в технологии
Последний блок вёл Яков. По его ощущению, история с анонимизацией больше живёт у нас в голове, чем в технологии, с которой мы работаем, — но такое положение вещей тоже нужно уважать. Технически всё, что уходит на серверы моделей, используется, чтобы выделять паттерны устройства информации. Если на вас нет какого-то крупного заказа по перехвату трафика, никто эту переписку не читает: представьте, сколько информации генерируется, — на то, чтобы её всю понимать, не хватило бы мощностей, которых и так дефицит.
Когда данные попадают на серверы Claude или OpenAI, они, по словам Якова, держатся там недолго — он назвал час — и нужны, чтобы с ними можно было работать дешевле и быстрее. В обучающую выборку они не попадают так, как попадали бы в базу данных: для обучения остаются разве что соотношения токенов друг с другом. Тысячи людей сейчас бьются над тем, как попасть в выдачу ChatGPT и Claude и сколько спама для этого нужно разложить по интернету. Поэтому интервью, которое вы отправили в модель, скорее всего, нигде в чужом ответе не всплывёт. Так обстоят дела в реальности, но есть ещё корпоративная и этическая реальность, и анонимизировать данные нужно всё чаще.
Из чата. Один из участников добавил нюанс: если в беседе сработал любой триггер классификатора безопасности, её хранят до полугода.
Вопрос из чата. Подходит ли анонимизатор для данных, которые приходят через чат в базу данных? Анонимизатор готовит данные до того, как они уходят в ИИ, — в чат или агенту. Кстати, некоторые компании ставят перед чатом для сотрудников сервис-прослойку: она либо обезличивает данные, либо, заметив чувствительные, не отправляет запрос и подсказывает сотруднику, что с данными стоит что-то сделать.
Демо: локальный анонимизатор на синтетических интервью
Дальше Яков показал, как это делается. Исходники — расшифровки интервью и таблицы. В интервью есть респондент Олег, 34 года: откуда он, где работает, кто с ним говорит, кто делал заметки. Есть Светлана, которая ходит по магазинам. И есть две ведомости — по персоналу и по руководителям. Данные синтетические, но ситуация классическая: мы собираемся загрузить всё это в нейросеть, и нам кажется, что сначала нужно обезличить.
Работает всё на скрипте на Python, который исполняется только у вас на компьютере и никуда не ходит: можно выдернуть компьютер из интернета, и скрипт продолжит работать. Первым шагом скрипту говорят, что оставить. Если исследование про конкретные бренды и сервисы — в демо это вымышленные ПульсПлан, Ритмо, FitBox и другие, — их нужно сохранить в тексте, иначе скрипт вымоет всё подряд. Всё остальное, что он сочтёт персональными данными, названиями и брендами, будет обезличено.
Сканирование и проверка находок в браузере
Следующая команда сканирует документы — интервью Олега, Светланы и ведомость. Скрипт находит всё, что похоже на персональные данные, и складывает в файл review.csv: что нашёл, предлагает ли скрыть, почему и в каком контексте. Поиск по людям, организациям, локациям, идентификаторам и СНИЛС в него уже вшит, а искать можно любые другие данные.
Чтобы не разглядывать CSV глазами, скрипт по команде собирает страницу проверки. Она открывается на вашем компьютере (localhost) и ничего не берёт из интернета. На ней вы смотрите, действительно ли всё найденное нужно скрыть. Слово «маркетплейсы», например, можно оставить — для анализа его блюрить незачем; «водителя-экспедитора», наверное, тоже: это не персональные данные, хотя библиотека решила иначе. Убедились, что табельные номера и СНИЛС подчищены, ложные срабатывания отмечены, — нажимаете Done, и скрипт подхватывает ваши решения. В демо он скрыл 204 значения.
Шифрование с паролем и обратная расшифровка
Применяя замену, скрипт просит придумать пароль: мы шифруем данные, и только мы сможем их потом расшифровать. Терминал, как ему и положено, вводимый пароль не показывает. Из файла с интервью Олега получается его обезличенная копия: Казань осталась, потому что крупные города Яков при сборке велел не трогать, а Кинешма, откуда Олег родом, исчезла. В ведомостях имена людей превратились в номера, табельные номера и СНИЛС зашифрованы. Такие файлы уже можно отдавать в ChatGPT, Codex или куда угодно — без риска поделиться данными.
Обратная задача — расшифровка. На эфире её не стали показывать, чтобы не тратить время, но устроена она так. Модель отвечает в том же обезличенном виде: «имя 30 с табельным номером 2 — ровно тот, кого мы искали». Вы сохраняете ответ в файл, запускаете восстановление с тем же паролем, и скрипт возвращает настоящие значения: вместо «имени 29» снова Ковалёва Мария.
HTML-страница для быстрого фидбэка агенту
Вопрос из чата. Почему проверка идёт в браузере? Страница — простой HTML, чтобы было удобнее отмечать, что подходит, а что нет. Работает она без интернета: это просто интерфейс для визуализации.
Яков развил мысль. В терминале мы часто упираемся в то, что нужны интерфейсы, которые помогают работать быстрее. Такую страницу скрипт не верстает: он просто знает, в какие поля вставлять вытащенные параметры, и обходится без всяких языковых моделей. Вариантов два. Можно, как в демо, поднять локальный сервер: вы ставите галочки, нажимаете Done, и решения возвращаются в скрипт. А можно — и Яков пользуется этим гораздо чаще — попросить на любой собранной странице сделать поля, где вы принимаете или отклоняете предложение агента либо оставляете комментарий, и кнопку, которая скачивает ответы в JSON. Этот файл вы отправляете агенту обратно. По большому массиву данных с фильтрами так пробегаться быстро и удобно.
Код на GitHub и анонимизация на лету
Анонимизатор Яков выложил на GitHub. Его можно взять себе, как и всё, что попадается в интернете: посмотреть, как он работает, поговорить о нём со своим агентом и дотюнить под себя. Яков и сам продолжит его дорабатывать. Главное здесь — сам принцип: данные прогоняются скриптом, который вычищает персональные данные и шифрует результат в отдельный файл. Собрать такую штуку с нуля можно за несколько дней.
Вопрос из чата. Можно ли делать это на лету, в реальном времени? Можно: скрипты работают моментально. Рядом со скриптом на GitHub лежит скилл, который можно повесить хуком — автоматическим действием, которое срабатывает каждый раз, когда вы работаете в этой папке, — и анонимизация будет запускаться сама до всего остального.
Я добавил, что агенту можно просто дать ссылку на репозиторий, и он переделает инструмент под вас. Например, в расшифровках названия брендов часто произносятся и распознаются по-разному. Тут я пошутил, что расшифровщик, перевравший название бренда, уже сам сработал как анонимизатор.
Вопрос из зала: анонимайзер на словаре и библиотека Natasha
Одна из участниц рассказала, что сделала похожий инструмент сама, скиллом, но устроен он проще: в её анкете уже есть словарь переменных, и скрипт на Python просто заменяет значения по этому словарю — «бренд 1», «бренд 2». А как устроен анонимизатор Якова?
Через библиотеки. В скрипт зашиты самые популярные библиотеки, которые умеют распознавать, что является именем, что названием и так далее, — две такие библиотеки вычищают, по словам Якова, 99% всего. Одна из них — Natasha, библиотека с открытым кодом, которая находит русские имена во всех склонениях. Но если вы раз за разом работаете с данными одной структуры, проще привязаться к месту: знаете, что СНИЛС всегда в третьей колонке, — и пишете скрипт, который анонимизирует только её. Тяжёлые библиотеки не нужны, если можно точно ткнуть в то, что надо зашифровать.
Здесь нет агента — только скрипт
В демо агента не было вовсе. Агент помог собрать инструмент, но показывал Яков просто терминал и давал команды запущенному скрипту — на GitHub видно, что внутри 95% Python и 5% HTML. Он специально хотел показать, что для такой работы агент не нужен. Хотя если бы пользовался этим постоянно, то взял бы скилл, который идёт вместе с инструментом, чтобы данными управлял агент.
Участница возразила: если работаешь локально, агент читает только верхушки файлов и в сеть всё целиком не отправляет, так что анонимизатор нужен скорее тем, кто скидывает данные в чат. Яков согласился, что это скорее жёлто-зелёная зона, но бывают ситуации, когда для разрешения на работу нужно показать, что языковая модель в процессе не участвует вообще, — этот скрипт как раз для них. Ещё одна участница написала в чат, что сделала так же: собрала с агентом, а дальше скрипт анонимизирует уже без подключения к ИИ.
Переезжать на Codex — только если забанили
Вопрос из зала. Зачем вы рассказывали, как переходить с Claude на Codex, что-то случилось? Нет, речь шла только о случае, если вас забанили: Claude активно банит. Если не забанили, переходить мы не рекомендуем — мне кажется, Claude сейчас лучшая агентская практика из существующих.
Shadow AI: как удержать сотрудников во внутренних сервисах
Светлана, участница из корпоративного мира, описала ситуацию, которую называют теневым использованием ИИ (shadow AI). В компании есть Copilot, а снаружи — классные Codex и Claude, где всё быстро, ново и можно делать картинки. Люди продолжают пользоваться тем, что удобно и лежит в телефоне, и сливают туда данные, которые потом хранятся у провайдеров. Блокировать не вариант — найдут, как обойти. Как замотивировать их решать рабочие задачи внутри корпоративного контура?
Лёгкого ответа здесь нет. Если запрещать, человек всё равно будет пользоваться, может, даже активнее. Если полностью поощрять — тоже неправильно. Мне кажется, это длительный процесс обучения: как в меме, где человек едет в шесть утра на семинар по безопасности, потому что коллега нажал на фишинговую ссылку. Отчасти это культурный вопрос — сделать так, чтобы внутренними инструментами было приятно пользоваться. Сам я с этим прямо не сталкивался, так что если у кого-то есть классные советы, поделитесь.
А отчасти вопрос UX. Люди — существа ленивые и нелюбопытные: отберите у человека мышку, и он не станет учить горячие клавиши, а пойдёт искать работающую мышку. Конверсия во внутренние сервисы часто рушится на том, что там нужно что-то подключать, что-то неудобно, нет картинок. Подключите API провайдера, который делает картинки, сделайте вход удобнее — иногда это проблема интерфейса, а не человеческой природы, и хороший UX-дизайнер может её решить. Светлана добавила, что мотивировать может и большой контекст внутри корпоративного контура, хотя даже в той же Microsoft это работает не всегда. Мы сошлись на примерах: почту пишешь только тут, к внутренним серверам и таблицам подключаешься только тут, встречу расшифровал — там же её и обсуждаешь. То есть завлекать экосистемой.
Из чата. Я спросил, исследовала ли она аудиторию: что люди говорят, когда пользуются личными инструментами, а не корпоративными. Теневые практики в компаниях есть всегда, это часть системы, и у них есть функция. Начинать надо с того, чтобы понять, почему люди так делают. Конкурировать с Anthropic и OpenAI сложно, но можно обучать и строить сервисы, которые делают нужное проще, чем личные. Запрещать здесь, мне кажется, не вариант.
Безопасность в работе с агентами по большей части оказывается гигиеной: своя карта и стабильное подключение, ключи в .env, прочитанные скиллы, закрытые страницы и обезличенные данные. А в компании — ещё и умение разговаривать со службой безопасности на языке рисков и приходить к ней с прототипом. Если есть тема, которую стоит разобрать на следующем эфире, напишите мне в канал. Всё это мы пробуем руками на лабораториях — приходите.
Полезные ссылки
Во время эфира мы накидали в чат и на доску много всего — здесь это собрано в одном месте.
Аккаунты и переезд
- cleanip.io — проверка подключения: показывает балл риска и что именно в нём настораживает.
- Гайд по переезду с Claude Code на Codex — как установить Codex и перенести обвязку, скиллы и проекты.
- Z Code, OpenCode и облачные модели Ollama — другие обвязки и модели, если не хочется зависеть от одного вендора.
Риски и утечки
- OWASP Top 10 для LLM, 2026 — регулярный разбор главных рисков ИИ и агентов.
Анонимизация
- Анонимизатор Якова — тот, что показывали на эфире: локальный скрипт, страница проверки, шифрование и обратная расшифровка, а заодно скилл и хук для агента.
- Natasha — библиотека с открытым кодом для поиска русских имён, организаций и мест.
Лаборатории и где следить за нами
- Agentic Lab — агентская лаборатория и билдерская, где строим автономные сервисы.
- Мой канал — анонсы эфиров и голосование за темы следующих.
- Канал Якова и его GitHub.
- Агенты VS чат — эфир о том, что агент — это модель плюс обвязка, на который мы ссылались в разговоре о переезде.