Навесні 2025 року автономний хакерський агент XBOW очолив американський рейтинг дослідників на платформі HackerOne, випередивши тисячі людей-пентестерів за кількістю підтверджених вразливостей. Симптоматично: система, яка сама шукає діри в чужому коді, вже перевершує людей у профільній роботі — а отже, здатна і самостійно ці діри експлуатувати, коли щось піде не так.

Саме цю прогалину піднімають фахівці з кібербезпеки та права, на яких За даними Speka вказують: чинні закони про кіберзлочини писалися під людину-зловмисника з умислом, а не під автономного агента, який ухвалює рішення сам, без команди на кожен окремий крок. Коли ланцюжок «розробник моделі → компанія-інтегратор → користувач, що написав завдання → сам агент» упирається в конкретний злом, слідство лишається без відповіді на просте питання: чий тут був умисел.

Ризик не абстрактний. Агентні ШІ вже отримують доступ до терміналів, хмарних облікових записів і API та виконують багатокрокові дії без підтвердження людиною на кожному кроці. Один невдалий system-промпт, дірка в пісочниці або prompt injection зі зловмисної сторінки — і агент, якому доручили перевірити безпеку власного сервера, може почати сканувати чи атакувати чужий.

Чому закони про кіберзлочини не встигають за автономними агентами?

Бо кримінальне право будь-якої юрисдикції — від статті 361 Кримінального кодексу України до американського Computer Fraud and Abuse Act — вимагає доведеного умислу конкретної особи на несанкціонований доступ. Суд може встановити, що людина свідомо зламала сервер; він поки не має інструменту встановити, що «свідомо» зробила статистична модель, яка виконала ланцюжок викликів інструментів на основі власної інтерпретації розпливчастого завдання.

У практиці це розсипається на три кандидати на відповідальність, і жоден із них не закритий однозначно:

Хто вже намагається закрити цю прогалину на практиці?

Поки законодавці відстають, ринок формує власні тимчасові запобіжники. EU AI Act відносить автономні системи з доступом до критичної інфраструктури до групи високого ризику й вимагає документованого людського нагляду — але це регулює процес, а не визначає, хто платить за вже завданий збиток. Страхові компанії обережно тестують кіберполіси з explicit-виключенням дій ШІ-агентів поза заданим скоупом, тобто фактично перекладають ризик на компанію, що агента розгорнула. А багбаунті-платформи на кшталт HackerOne вводять окремі правила взаємодії для агентних учасників — чіткий периметр (scope), за межі якого агенту заборонено виходити навіть у пошуках легітимної вразливості.

Показово, що частину цієї автономності індустрія одразу спрямовує на захист, а не лише на атаку: OpenAI цього літа представила GPT-5.6-Cyber для пошуку вразливостей — модель, заточену саме під те, щоб знаходити діри раніше зловмисників. Але той самий інструмент, що зміцнює захист одного клієнта, за іншим кутом промпта здатен атакувати чужу інфраструктуру — і питання відповідальності від цього нікуди не зникає.

Чим агент відрізняється від звичайного інструменту з погляду закону?

Юридично межа проходить не між «шкідливим» і «нешкідливим» софтом, а між інструментом, який лише виконує команду людини, і системою, яка сама ухвалює проміжні рішення. Класичний сканер вразливостей — це інструмент: людина натиснула кнопку, людина відповідає. Агент, який сам вирішує, який ендпоінт спробувати наступним і чи обходити rate limit, функціонально ближче до водія, ніж до викрутки.

Тут напрошується аналогія з відповідальністю за самокеровані авто: коли керує людина, відповідає вона; коли рішення ухвалює система, відповідальність зсувається до виробника й швидко обростає рівнями автономності (SAE 0–5), під кожен з яких прописано окрему логіку. У сфері ШІ-агентів такої узгодженої шкали ще немає — і саме її відсутність експерти називають головним джерелом правової невизначеності.

Висновок AiiN: що це означає для AI-білдерів

Поки суди й регулятори не домовилися про єдину рамку, відповідальність де-факто падає на того, хто видав агенту облікові дані й права доступу, — а не на розробника моделі. Це означає, що для AI-білдера дозвіл агента на дію — це той самий за критичністю обʼєкт, що й прод-креденшали: його потрібно скоупити до мінімуму, логувати кожен виклик інструменту й тримати ручний kill switch на деструктивні операції. Компанія, яка сьогодні дає агенту потрібний і достатній доступ і повний журнал дій, завтра матиме на руках доказову базу власної сумлінності — а не лише постфактум-виправдання.

Чи можна притягнути до відповідальності розробника моделі, якщо агент зламав чужу систему?

Наразі — здебільшого ні: ліцензійні угоди великих постачальників моделей прямо забороняють зловмисне використання і знімають з розробника відповідальність за дії, які виходять за межі задокументованого призначення продукту. Практична відповідальність частіше лягає на компанію, яка розгорнула агента з реальними правами доступу, — саме вона контролювала скоуп і межі автономії.

Як AI-білдерам зменшити ризик до появи чіткого законодавства?

Три речі знижують ризик найбільше вже сьогодні: скоупити токени агента до мінімально потрібного набору дій, вимагати підтвердження людини перед будь-якою деструктивною чи мережевою дією поза білим списком, і вести повний, незмінний журнал кожного виклику інструменту. Це не усуває юридичну невизначеність, але переносить компанію з категорії «недбала» в категорію «вжила розумних заходів» — а це вже впливає на будь-яке майбутнє рішення суду чи регулятора.