Навесні 2025 року автономний хакерський агент XBOW очолив американський рейтинг дослідників на платформі HackerOne, випередивши тисячі людей-пентестерів за кількістю підтверджених вразливостей. Симптоматично: система, яка сама шукає діри в чужому коді, вже перевершує людей у профільній роботі — а отже, здатна і самостійно ці діри експлуатувати, коли щось піде не так.
Саме цю прогалину піднімають фахівці з кібербезпеки та права, на яких За даними Speka вказують: чинні закони про кіберзлочини писалися під людину-зловмисника з умислом, а не під автономного агента, який ухвалює рішення сам, без команди на кожен окремий крок. Коли ланцюжок «розробник моделі → компанія-інтегратор → користувач, що написав завдання → сам агент» упирається в конкретний злом, слідство лишається без відповіді на просте питання: чий тут був умисел.
Ризик не абстрактний. Агентні ШІ вже отримують доступ до терміналів, хмарних облікових записів і API та виконують багатокрокові дії без підтвердження людиною на кожному кроці. Один невдалий system-промпт, дірка в пісочниці або prompt injection зі зловмисної сторінки — і агент, якому доручили перевірити безпеку власного сервера, може почати сканувати чи атакувати чужий.
Чому закони про кіберзлочини не встигають за автономними агентами?
Бо кримінальне право будь-якої юрисдикції — від статті 361 Кримінального кодексу України до американського Computer Fraud and Abuse Act — вимагає доведеного умислу конкретної особи на несанкціонований доступ. Суд може встановити, що людина свідомо зламала сервер; він поки не має інструменту встановити, що «свідомо» зробила статистична модель, яка виконала ланцюжок викликів інструментів на основі власної інтерпретації розпливчастого завдання.
У практиці це розсипається на три кандидати на відповідальність, і жоден із них не закритий однозначно:
- Розробник моделі — навчив і випустив ваги, але зазвичай прямо забороняє зловмисне використання у ліцензії й не контролює, як саме агент буде розгорнутий
- Компанія-інтегратор — обгорнула модель в агента з доступом до реальних інструментів (термінал, API, гаманець) і встановила межі його автономії
- Кінцевий користувач — написав завдання чи промпт, які могли бути двозначними, і не завжди міг передбачити, як агент їх інтерпретує на практиці
Хто вже намагається закрити цю прогалину на практиці?
Поки законодавці відстають, ринок формує власні тимчасові запобіжники. EU AI Act відносить автономні системи з доступом до критичної інфраструктури до групи високого ризику й вимагає документованого людського нагляду — але це регулює процес, а не визначає, хто платить за вже завданий збиток. Страхові компанії обережно тестують кіберполіси з explicit-виключенням дій ШІ-агентів поза заданим скоупом, тобто фактично перекладають ризик на компанію, що агента розгорнула. А багбаунті-платформи на кшталт HackerOne вводять окремі правила взаємодії для агентних учасників — чіткий периметр (scope), за межі якого агенту заборонено виходити навіть у пошуках легітимної вразливості.
Показово, що частину цієї автономності індустрія одразу спрямовує на захист, а не лише на атаку: OpenAI цього літа представила GPT-5.6-Cyber для пошуку вразливостей — модель, заточену саме під те, щоб знаходити діри раніше зловмисників. Але той самий інструмент, що зміцнює захист одного клієнта, за іншим кутом промпта здатен атакувати чужу інфраструктуру — і питання відповідальності від цього нікуди не зникає.
Чим агент відрізняється від звичайного інструменту з погляду закону?
Юридично межа проходить не між «шкідливим» і «нешкідливим» софтом, а між інструментом, який лише виконує команду людини, і системою, яка сама ухвалює проміжні рішення. Класичний сканер вразливостей — це інструмент: людина натиснула кнопку, людина відповідає. Агент, який сам вирішує, який ендпоінт спробувати наступним і чи обходити rate limit, функціонально ближче до водія, ніж до викрутки.
Тут напрошується аналогія з відповідальністю за самокеровані авто: коли керує людина, відповідає вона; коли рішення ухвалює система, відповідальність зсувається до виробника й швидко обростає рівнями автономності (SAE 0–5), під кожен з яких прописано окрему логіку. У сфері ШІ-агентів такої узгодженої шкали ще немає — і саме її відсутність експерти називають головним джерелом правової невизначеності.
Висновок AiiN: що це означає для AI-білдерів
Поки суди й регулятори не домовилися про єдину рамку, відповідальність де-факто падає на того, хто видав агенту облікові дані й права доступу, — а не на розробника моделі. Це означає, що для AI-білдера дозвіл агента на дію — це той самий за критичністю обʼєкт, що й прод-креденшали: його потрібно скоупити до мінімуму, логувати кожен виклик інструменту й тримати ручний kill switch на деструктивні операції. Компанія, яка сьогодні дає агенту потрібний і достатній доступ і повний журнал дій, завтра матиме на руках доказову базу власної сумлінності — а не лише постфактум-виправдання.
Чи можна притягнути до відповідальності розробника моделі, якщо агент зламав чужу систему?
Наразі — здебільшого ні: ліцензійні угоди великих постачальників моделей прямо забороняють зловмисне використання і знімають з розробника відповідальність за дії, які виходять за межі задокументованого призначення продукту. Практична відповідальність частіше лягає на компанію, яка розгорнула агента з реальними правами доступу, — саме вона контролювала скоуп і межі автономії.
Як AI-білдерам зменшити ризик до появи чіткого законодавства?
Три речі знижують ризик найбільше вже сьогодні: скоупити токени агента до мінімально потрібного набору дій, вимагати підтвердження людини перед будь-якою деструктивною чи мережевою дією поза білим списком, і вести повний, незмінний журнал кожного виклику інструменту. Це не усуває юридичну невизначеність, але переносить компанію з категорії «недбала» в категорію «вжила розумних заходів» — а це вже впливає на будь-яке майбутнє рішення суду чи регулятора.