Serg

Структурная власть на скорости машин

2026-07-12T19:29:15.588Z

Почему кибербезопасность снова стала информационной

Будущее где-то рядом

Сильнейшие экономики мира вкладывают в ИИ триллионы не ради ещё одного способа зачитать чужой сетевой флоу. Гонка идёт за право задавать условия, в которых государства и компании видят мир и принимают решения.

ИИ-стек связывает безопасность, производство, финансы и знание через доступ, зависимость и ренту. Знание становится его управляющим слоем. Поэтому кибербезопасность выходит из технического арьергарда и становится одной из опор новой структурной власти.

Расширенная версия доклада Сергея Гордейчика на Kaspersky Кибер Кэмп, июль 2026.

1. Тёмная битва в пещере глубокой ночью

Сейчас все говорят об одном и том же. Новые модели. Агентная разработка. Кибервозможности. Тысячи новых уязвимостей. Кризис воспроизводства профессий. Экспортные ограничения. Заявления первых лиц американских и китайских компаний. И уже даже — «новое ядерное сдерживание».

За этим шумом теряется масштаб.

Полагать, что сильнейшие экономики мира вкладывают в ИИ триллионы долларов, чтобы искать 0-day в ffmpeg или OpenBSD, — примерно так же разумно, как полагать, что метод Diffusion целенаправленно создавали ради генерации миллионов танцующих котиков.

Возможность зачитать чужой сетевой флоу вместе с ключами не стоит триллионов. Всегда есть термо-ректальный криптоанализ или атака грубой силой словарём по голове: не так массово, но эффективно и отработано годами.

Триллионы покупают не отдельную кибервозможность, а положение в системе, которая определяет доступ к вычислениям, моделям, данным и решениям. Чтобы разобрать эту систему, придётся сначала уйти в геополитику, а затем вернуться к бизнесу и кибербезопасности.

2. Структура структурной власти

У происходящего много названий: «ИИ-колониализм», «неофеодализм», даже «технофашизм». Нейтральнее и точнее говорить о структурной власти.

Термин ввела Сьюзен Стрэндж. Есть власть реляционная: А заставляет Б сделать то, чего Б не хочет. Структурная власть устроена иначе. Она задаёт правила и ограничения, внутри которых Б вообще выбирает, что ему делать. Точнее, выбирает из чётко обозначенного набора блюд.

У такой власти три важных свойства. Она позиционна: растёт не из приказов, а из места в системе. Она эмерджентна: корпорации хотят выручку, облака привязывают клиентов, государства ищут рычаги, и в сумме получается глобальная империя без рептилоидов. Наконец, она задаёт условия по умолчанию. Не приказ, а среду.

Стрэндж выделяла четыре структуры власти: безопасность, производство, финансы и знание.

Эту позиционность Фаррелл и Ньюман описывают как «вооружённую взаимозависимость»: в любой сети есть узлы-хабы, и тот, кто их держит, получает два рычага — паноптикум (видеть чужие потоки) и чокпоинт (перекрывать доступ). Например, абстрактный пролив или «международная» система платежей.

Если натянуть всё это на глобус, получится мир-система Валлерстайна: ядро, полу-периферия и периферия, связанные неравным обменом.

3. Ядро: слияние четырёх структур

Исторически четыре структуры Стрэндж имели разные локусы контроля, хотя никогда не были полностью изолированы друг от друга. ИИ-стек связывает их особенно плотно. Вычисления, модели, данные, капитал и безопасность входят в одну цепочку, но управляют ею не из единого штаба. Власть распределена между несколькими вахтерами.

Один и тот же артефакт участвует сразу в четырёх структурах. Вычислительные мощности нужны производству, облако снимает ренту, модель работает с знанием, а режим доступа становится инструментом безопасности. Получается не одно КПП, а связанная система пропускных пунктов.

Знание становится управляющей плоскостью: через него принимаются решения о трёх остальных структурах. Если государство смотрит на экономику и безопасность через чужие модели, поставщик получает влияние на саму рамку решения.

У Стрэндж знание несводимо к трём другим структурам. В ИИ-стеке знание всё чаще работает как слой управления поверх остальных трёх.

Трансформация структурной власти

Рис. 1. Было: четыре структуры власти с разными локусами контроля. Стало: ИИ-стек тесно связывает их, а знание всё чаще управляет остальными тремя. Контроль не сходится в единую точку; он распределяется между точками доступа. Выход возможен по частям, если есть заменяемость, переносимость и контроль над критическими границами.

4. Структура захвата: как концентрируется власть

Если развернуть ИИ-стек по вертикали, видно, что захват ползёт вверх: преимущество концентрируется в верхних слоях, и на каждом слое — свой механизм контроля. Восемь слоёв, снизу вверх.

Внизу лежат энергия и вычислительные мощности: GPU, ASIC, фабрики с EUV-литографией, дата-центры и электросети. Это канонический чокпойнт Фаррелла и Ньюмана. Экспортный контроль давно бьёт именно сюда.

Следующий этаж занимает облако и инференс, то есть запуск моделей. Здесь возникают облачная рента, привязка к поставщику и телеметрия транзитом. Выше стоит кибербезопасность: поиск уязвимостей, приоритизация и конвейер патчей. Это потенциальный чокпойнт: возможность сначала закрывать собственные уязвимости, а информацию для остальных дозировать. Идея «избирательной безопасности» в ИТ не нова; документы Сноудена это хорошо показали.

Дальше идут данные и телеметрия. Власть здесь даёт не только объём данных, но и контроль их происхождения, разметки, доступа, промптов, эмбеддингов и выдачи. Каждый раз, вводя промпт, пользователь делится с сервисом запросом, результатом и своей реакцией; всё это может стать телеметрией. Над ними находятся модели и веса. Веса задают поведение модели; в них же могут жить узкие бэкдоры или просто «предвзятость», позволяющая правильно отвечать на вопрос «чей Тайвань».

На вершине находится когнитивная работа и поддержка решений: обзоры, рекомендации, закупки, оценка риска, общая картина операции. Здесь захватывают уже не сервер, а рамку, внутри которой человек принимает решение и выбирает действие.

Шесть технических слоёв обёрнуты ещё двумя. Управление и право задают лицензии, проверку клиентов, экспортный режим и уровни доступа. Здесь контроль доступа часто важнее формального владения.

Финансы и рента питают весь стек: инвестиции, капитальные затраты, облачная выручка, государственные фонды и контрактные условия. Рядом проходит контроль трансграничных потоков капитала, данных, технологий и доступа людей к чувствительным знаниям.

Сами слои не новы. Новая часть истории заключается в машинной скорости. Позиция на важном узле раньше давала пассивное преимущество. Теперь тот же узел можно использовать точечно и быстро.

Окно между обнаружением и применением сужается, хотя не одинаково на всех слоях. Чем выше мы поднимаемся, тем хуже наблюдаем причинность.

Сетевую атаку видно в проводах. А что именно перемкнуло в кукухе у модели: баг, галлюцинация или закладка, бывает почти невозможно различить. Тот, кто держит руку на фейдере, получает ещё и возможность предложить правдоподобное объяснение сбоя.

Структурная власть ИИ-стека

Рис. 2. Восемь слоёв стека. Слева показаны типичные механизмы контроля, справа меняется наблюдаемость: от видимого «на проводе» до плохо различимого влияния на уровне данных, весов и решений. Красный контур отмечает самый чувствительный слой, поддержку решений.

5. Танцуют все

Гонка глобальна, но стартовые позиции и роли её участников принципиально различаются.

Концентрация капитала реальна и экстремальна. Частные инвестиции США в ИИ за 2025 год составили около $285,9 млрд против $12,4 млрд у КНР: разница примерно в 23 раза. Глобально частные инвестиции достигли $344,7 млрд, а корпоративные вместе со сделками M&A — $581,7 млрд.

Физическая инфраструктура перекошена так же. В США насчитывается 5 427 дата-центров, более чем в десять раз больше, чем в любой другой отдельно взятой стране.

Но 23× описывает только годовые частные инвестиции. Государственные направляющие фонды КНР вложили в ИИ-компании около $184 млрд за 2000–2023 годы.

Не менее показателен объявленный масштаб будущих программ. У КНР заявлено около $433 млрд, у США — $500 млрд; Европа намерена мобилизовать около $180 млрд.

Ожидаемо поиграть в ИИшницу решили и страны Залива: $100 млрд программы HUMAIN/PIF в Саудовской Аравии и $10 млрд фонда G42 в ОАЭ. Это анонсы, а не потраченные деньги, но масштаб понятен.

Сами суммы рассказывают не всё. Одни вошли в гонку строителями: США, КНР и отчасти Европа. Другие покупают место в чужой инфраструктуре.

США и Китай доминируют в коммерчески доступных вычислениях. В 2025 году США выпустили 50 заметных моделей, Китай — 30, а разрыв на сопоставимых тестах к марту 2026-го сократился примерно до 2,7%. Остальные страны пытаются не столько выиграть гонку, сколько уменьшить зависимость от двух центров.

6. Слоёный пирог управляемой зависимости

Расслоение уже жёсткое и многоуровневое. США и Китай ближе остальных к собственному полному стеку, но глубина контроля у них разная. Ниже лежит не однородная масса «всех остальных», а несколько типов зависимости. Положение страны определяется тем, какие слои она действительно воспроизводит и какие условия доступа способна навязать другим.

Огораживание в ИИ началось практически с начала новой волны увлечения нейросетками, когда ML переименовали в AI. Google публично показала внутренний TPU в 2016 году, а в 2018-м превратила Cloud TPU в платный облачный ресурс. OpenAI в 2019 году провела поэтапный выпуск GPT-2, а в 2020-м открыла управляемый API-доступ к моделям и отдельно лицензировала GPT-3 Microsoft.

В 2021 году корпоративная практика стала государственной политикой. США учредили National AI Initiative и авторизовали программы CHIPS for America, связав ИИ, оборону, микроэлектронику и данные.

Еврокомиссия предложила AI Act. Китай принял закон о безопасности данных и закон о персональной информации.

Иерархию уже пытались отлить в бумаге. Принятое при Байдене AI Diffusion Rule делило страны на три тира по доступу к чипам и весам моделей. Его требования должны были вступить в силу 15 мая 2025 года, но за два дня до этого BIS объявило об отзыве правила и отказе от его применения. Трёхтирная архитектура не стала устойчивым режимом, хотя более узкие экспортные ограничения продолжили действовать.

Главный центр сегодня — США: передовые ускорители, гиперскейлеры, большая часть ведущих лабораторий, капитал и союзная сеть экспортного контроля.

КНР строит конкурирующий стек на Huawei Ascend, SMIC, внутренних облаках, государственных фондах и глубокой линейке открытых моделей. Это уже не просто обход Nvidia и OpenAI. Китай сам выставляет условия по данным, рынку, сырью и владению стратегическими ИИ-активами. Но по передовым фабрикам, HBM и производительности отдельного чипа китайский стек всё ещё слабее американского.

Британия выступает платформенным партнёром: она очень хорошо стартовала, создала DeepMind и Arm, но оба актива принадлежат внешним группам, Google и SoftBank. Залив покупает доступ суверенными деньгами и принимает внешние условия безопасности; G42 отказалась от Huawei ради Microsoft и американских чипов.

Европа строит свои слои и держит собственные рычаги, прежде всего ASML, регулирование данных и инвестиций, но уступает двум главным центрам по масштабу вычислений.

У остальных контроль ещё тоньше. Иногда собственными остаются данные и прикладной слой, а чипы, облако и модель арендуются. Иногда нет и этого.

Тиры: глубина контроля по стеку

Рис. 3. Глубина контроля по стеку. Даже претенденты на полный стек зависят от внешних узлов; разница в числе собственных слоёв, качестве замен и способности выставлять условия другим. Средние державы удерживают часть верхнего слоя, но арендуют вычисления, облако или модели. На периферии почти весь стек задаётся извне.

Для средних тиров точнее говорить об управляемой зависимости: доступ к передовым возможностям даётся на внешних условиях. Залив, Британия, Индия и Европа покупают или арендуют место в частично чужом стеке. IndiaAI и стройка Amazon на $13 млрд, например, опираются на Nvidia и иностранное облако.

Зависимость начинается не там, где у страны нет собственного чат-бота. Чат-бот будет у всех. Даже если вы его не хотите, его вам выдадут, внедрят, обучат детей через «фонд Сороса». Вопрос в другом: на чьих мощностях и моделях работает государство и ключевой бизнес, кто видит телеметрию, можно ли заменить или контролировать модель, кто задаёт темп обновлений и откуда приходит киберразведка. Центр продаёт периферии доступ к своему темпу развития. Строго дозированный доступ.

Мировая система ИИ-стека

Рис. 4. Мировая система ИИ-стека состоит из двух конкурирующих центров и нескольких промежуточных зон. Потоки идут в обе стороны: данные, капитал, сырьё и таланты питают центры; модели, облака, стандарты и ограничения возвращаются наружу. Частичный выход дают открытые веса, локальные данные, переносимость и заменяемость, но ни один из этих механизмов не переносит весь стек.

Выход частичный. Открытые веса DeepSeek, Qwen, Kimi и GLM дают независимость на уровне артефакта: модель можно скачать и развернуть. Но вместе с ней не скачиваются опыт команды, производственная база, HBM и оборудование фабрики.

DeepSeek, по сообщениям, вернул R2 на Nvidia после проблем с Ascend; это не подтверждено официально. Выход годных 7-нм чипов у SMIC оценивают в 30–50%, и это тоже аналитическая оценка. Открытая модель меняет зависимость, но редко отменяет её.

7. Не стена, а сеть вентилей

Стек уже работает как рычаг, но сплошной эмбарго-стены не получилось. Вместо неё возникла сеть вентилей. Доступ можно прикрутить, обложить условиями, привязать к владельцу или снова открыть для выбранной группы.

Причём вентиль не один и рука на нём не только американская. США и союзники дозируют чипы, облако, модели, данные, капитал, владение и доступ к чувствительным знаниям. Китай контролирует критическое сырьё, внутренние данные, рынок и иностранное владение стратегическими ИИ-активами.

ЕС и Британия строят собственные периметры вокруг данных, инвестиций, облачной переносимости и исследовательского доступа.

Так работает избирательная проницаемость: полезные потоки сохраняют, а доступ соперника делают условным. Полная автаркия слишком дорога обеим сторонам.

Резкая эскалация началась 7 октября 2022 года, когда BIS ограничил поставки Китаю передовых GPU и оборудования для их производства. Это был не первый случай превращения производства в инструмент безопасности, но важный скачок масштаба. Дальше заработала петля: правило, урезанный совместимый чип, новое правило. A800 и H800 стали черновиком будущей истории с H20, H200 и Blackwell.

Рента стала буквальной. После запрета H20 в апреле 2025-го Вашингтон, по сообщениям, в августе разрешил Nvidia и AMD продавать в Китай за 15% выручки. Финансовый директор Nvidia отдельно уточнил, что требование ещё не кодифицировано.

К 2026 году доступ стал ступенчатым. H200 и MI325X рассматриваются по заявкам, с тарифом, количественным потолком, проверкой клиента и инспекцией. Blackwell закрыт, H20 снова продаётся на особых условиях.

Пекин крутит вентиль со своей стороны. Китай наращивает Ascend 910C, ограничивает критическое сырьё и давит на Nvidia через SAMR. Под его контролем находится около 98% мирового рафинированного галлия. Рычаги у сторон разные, но игра давно двусторонняя.

Контроль добрался и до юридической принадлежности компании. В мае 2026 года BIS подтвердил: передовые вычислительные мощности нельзя без лицензии продать фирме с головным офисом в стране списка D:5 или в Макао, даже если сама площадка находится в другом месте. Правило следует за материнской компанией.

Самый громкий прецедент возник на уровне моделей. 12 июня 2026-го Минторг предписал Anthropic закрыть иностранцам доступ к Fable 5 и Mythos 5. Anthropic отключила модели по всему миру и одновременно оспорила предписание в суде.

Пентагон объявил компанию риском цепочки поставок и закрыл её моделям военные задачи. 26 июня Mythos 5 всё же открыли сотне проверенных американских организаций. Передовая модель получила режим распространения, похожий на ограничения торговли оружием, но правовая конструкция ещё шаткая.

Американский контур контроля шире экспортного режима. Data Security Program фактически превратил доступ к массовым чувствительным данным в экспортный периметр. Outbound Investment Program ограничивает часть вложений в китайские чипы, квантовые технологии и ИИ. CFIUS умеет разворачивать уже завершённые сделки.

Британия контролирует передачу технологических знаний и доступ части иностранных исследователей. ЕС усиливает проверку иностранных инвестиций в стратегические технологии.

Китай использует тот же принцип на своих слоях. Законы о безопасности данных и персональной информации задают условия трансграничной обработки. В апреле 2026 года NDRC запретила иностранное приобретение Manus и потребовала отменить сделку. Это государственный чокпойнт на уровне владения ИИ-активом.

На корпоративном уровне тоже есть прецеденты. В Alibaba запретили Claude Code, сославшись на сбор расширенной информации.

Транзит реален и крупен. По делу Super Micro в SDNY обвинение говорит примерно о $2,5 млрд оборудования, ушедшего в Китай. Правоприменение догоняет обходные маршруты: это крупнейшее дело DOJ по ИИ-железу и первое уголовное дело такого рода на Тайване. Рычаг работает через цену, задержку, риск и наблюдение. Герметичность ему не нужна.

Контроль протекает, но местами стреляет. В июне 2026-го Малайзия сняла в аэропорту 72 сервера с ИИ-чипами стоимостью около $12,93 млн. Груз задекларировали как компьютерные комплектующие для реэкспорта.

Передовые технологии обычно обрастают режимом контроля. Так было с атомом, полупроводниками и космосом. Частная форма ИИ-фронтира не отменяет государственной функции.

В США SpaceX живёт на госконтрактах, а Nvidia работает внутри экспортного режима, который ограничивает клиентов и даже претендует на долю выручки. В Китае государство связывает ИИ с суверенитетом данных и может остановить продажу стратегического стартапа иностранцу. Владеть активом необязательно. Достаточно определять, кто и на каких условиях получает к нему доступ.

8. Палантир и всевидящее око

Самый чувствительный слой находится выше отдельной модели. Это система принятия решений. Живой пример носит подходящее имя: палантир у Толкина был камнем, через который смотрели далеко и через который наблюдателем можно было управлять.

Компания Palantir работает именно на этом уровне. В её онтологии сходятся безопасность, знание, производство и финансы.

Сначала система сшивает данные из разрозненных хранилищ. Поверх появляется операционная онтология и общая картина. В неё встраивают работу с языковыми моделями, права, аудит и человеческое подтверждение.

Затем платформа врастает в военный или деловой процесс. На этой стадии её уже трудно заменить. Перед нами не просто инструмент, а операционная система решений.

В июле 2025-го Армия США подписала Enterprise Agreement W519TC-25-D-0039 и свела 75 контрактов в один десятилетний механизм с потолком $10 млрд. На момент подписания было законтрактовано $0. Десять миллиардов здесь означают максимум, а не расходы.

Руководство Palantir не стесняется и бравирует участием в конфликте на Украине и в планировании нападения на Иран. Недавнюю книгу-манифест Алекса Карпа The Technological Republic: Hard Power, Soft Belief, and the Future of the West критики называют библией технофашизма.

Пентагон выделил до $200 млн каждой из Anthropic, Google, OpenAI и xAI на агентные процессы. Claude работает с классифицированными данными через Palantir. Происхождение и контроль модели и данных стали вопросом национальной безопасности.

Риск не сводится к роботу-убийце. Терминаторы и дроны — оперативное или тактическое звено. Полный ИИ-стек — вопрос стратегии. Контроль над твоим стеком означает контроль над стратегией. Риск возникает там, где внешний поставщик управляет версиями, фильтрами, границами применения, видимостью данных и доступностью системы. Вендорская модель внутри критического процесса размывает суверенность решений.

Снизить зависимость можно, оставив оркестрацию на стороне заказчика. Тогда государство само управляет маршрутизацией, ограничениями, журналами, авторизацией действий и заменой модели — если у него есть необходимые ресурсы и знания.

В США об этом плотно думают. OMB требует учитывать переносимость данных и совместимость, чтобы не попасть в зависимость от одного поставщика. GAO отдельно предупреждает о разрозненности и слабой измеримости военных систем управления. Речь идёт о контроле границы поставщика, а не об автаркии.

9. Кибербезопасность как несущая конструкция

Вся конструкция стоит на софте. Безопасность связывает остальные слои: отказ в облаке, цепочке поставок или системе обновлений быстро наносит ущерб производству, финансам и знанию.

Машинная скорость меняет три привычные опоры традиционного кибербеза: человеческий темп, относительный дефицит действительно серьёзных уязвимостей и понятие доверенного периметра. Но эти опоры разрушаются с разной скоростью.

9.1. Модернизация без кнопки «выход»

У цифровизации 2.0 нет удобной кнопки отказа. Конкурентоспособность требует внедрять ИИ в производство, С2/C4ISR и управление. Каждое внедрение раздувает поверхность атаки и повышает цену сбоя. Отказался модернизироваться и отстал. Внедрил всё без разбора и построил стеклянный дом.

Чарльз Перроу описывал похожую проблему в «Normal Accidents»: плотно связанные сложные системы производят аварии как нормальный результат своей архитектуры. ИИ повышает и связность, и сложность. Гонка за эффективностью заодно съедает запас прочности и избыточность.

Та же цифровизация помогает защите: автоматизирует поиск и исправление ошибок. Вопрос один: успевает ли команда «синих» разгребать очередь и поспевает ли за ростом поверхности атаки? У государства всегда есть стимул отложить безопасность ради скорости.

9.2. Ломается не патч, а вся цепочка

Растёт число находок, авторы которых прямо указывают на помощь ИИ. В наборе за 2025–2026 годы нашлось 129 новых уязвимостей с идентификаторами CVE и достаточно строгой атрибуцией такого поиска. Публичный PoC появился у 15 из них, а тяжёлая эксплуатационная зрелость видна у трёх. Поток LLM-находок уже заметен, но до массовой эксплуатации доходит лишь малая его часть.

Операционная проблема от этого не исчезает. Когда похожие находки приходят вместе, очередь ремонта растёт нелинейно. Медленным звеном остаётся раскатка: тестирование и согласование изменений, особенно в критичных системах — АСУ ТП и наследуемой инфраструктуре.

Автоматизированный анализ патчей помогает быстро собрать эксплойт против ещё не обновлённых машин. Такой n-day может вести себя как zero-day для конкретной организации, просто потому что очередь безопасников была забита другими задачами.

Поэтому одной команды «патчить быстрее» мало. Нужны виртуальные патчи, защита во время исполнения, сегментация, минимальные привилегии и ограничение радиуса поражения.

DARPA AIxCC нашёл 86% уязвимостей и исправил 68%, OSS-CRS обнаружил 10 реальных ошибок. Реальные журналы и вредоносные артефакты показывают также использование агентов в разведке, фишинге, краже учётных данных и адаптивной постэксплуатации.

Агентные инструменты снижают порог входа для разведки, фишинга, работы с учётными данными и сборки известных цепочек атак. Доказательств того, что слабая модель серийно чеканит новые 0-day, нет. Но современные модели уже способны автоматизированно взламывать сети и причинять реальный ущерб. Пока это штучные случаи.

9.3. Тиринг: риск не убрали, а переложили

Софт уже режут на уровни: публичный, внутренний и критический. Логика старая, почти военная. Дэн Гир ещё в 2003 году писал, что программная монокультура создаёт системный риск: одна дыра во вездесущем продукте превращается в массовое поражение.

Разные уровни позволяют сосредоточить дефицитную защиту там, где она нужнее всего. Но общий код переносит уязвимости из публичной версии в закрытую. Настоящее расхождение версий всегда было дорого. Критический уровень заодно собирает самые ценные цели в одном месте и живёт спокойно только до первого инсайдера или утечки.

С агентами и ИИ ситуация меняется. Код стал дешевле, а fork hell — управляемее. Сейчас сравнительно недорого можно расслоить конкретный софт на публичную версию, более защищённую коммерческую и серьёзно «пропылесошенную» грифованную. Привычная ситуация, когда сертифицированная версия отставала от основной на месяцы или даже годы, может перевернуться. Агенты гоняют все эти ваши SAST/DAST и прочий SSDL на агентской скорости и собирают полный Agentic SAMM.

Есть и политический эффект. Свои уязвимости ты видишь, чужой критический уровень остаётся тёмным. Все начинают создавать скрытые версии и закладываться на худшее.

Модель угроз в системе принятия решений на основе ИИ соединяет два прежде раздельных домена: кибератаку и влияние. Причём для этого необязательно отравлять сами веса. Иногда достаточно подменить контекст, которому агент привык доверять.

10. Крот, которого не допросишь

Классический агент влияния сидит внутри доверенного периметра и понемногу двигает решения через легальные каналы. Он медленный, осторожный, ограниченный. Отравленная модель способна делать похожую работу в большем масштабе: перекосить бриф, убрать из рассмотрения неудобную опцию, подкрутить оценку риска.

Но крот может сидеть вовсе не в весах. Им может оказаться документ в долгосрочной памяти, навык агента, отчёт об ошибке, телеметрия или внешний источник данных. Человека можно поймать и допросить. Здесь же баг, галлюцинация, артефакт обучения и инструкция атакующего часто выглядят одинаково.

К 2026 году между лабораторией и реальным миром появилась лестница доказательств. Непрямая промпт-инъекция прячет инструкции в документах или поисковом контенте, который модель считает доверенным. Отравление данных тоже работает: около 250 специально подобранных документов, лишь 0,00016% обучающего набора, создавали узкий бэкдор почти независимо от размера модели.

Это не означает, что любую модель можно произвольно вооружить. Новый механизм продолжает старые практики цепочки поставок и информационного влияния. Изменились масштаб канала и его близость к действию.

Веб-скан в апреле 2026 года обнаружил 15,3 тыс. непрямых промпт-инъекций на 1,2 млрд URL. В мае скрытые инструкции для автоматических скринеров нашли примерно в 1% из 200 тыс. резюме. Красная команда в марте зарегистрировала 8 648 успешных инъекций против 13 передовых агентов примерно на 272 тыс. попыток.

Agentjacking подсовывает агенту фальшивую телеметрию Sentry под видом разрешённой работы. Friendly Fire заставляет защитного агента исполнить код, который он должен был проверить.

HalluSquatting регистрирует несуществующий ресурс, который модель галлюцинирует, а затем сама загружает. Вредоносные навыки крадут учётные данные и меняют дальнейшие решения агента.

Это уже не только лабораторная психология. Атакующий подделывает роль, происхождение и авторитет инструкции. Это машинная социальная инженерия. Подтверждённого случая, когда такой канал изменил важное государственное решение, всё ещё нет. Такие инциденты могут оставаться непубличными, но это не позволяет считать их установленным фактом.

Здесь субверсия вырывается из трилеммы Машмайера. Для агента влияния медленная, слабая и незаметная работа может быть преимуществом. Информационная безопасность при этом не исчезает. К ней добавляется логика контрразведки: презумпция проникновения, разделение доверия, контроль происхождения инструкций и поиск долговременного отклонения в поведении системы.

11. Розетка, война и рубильник

Стек упирается вниз в физику и втягивает в себя новые домены. Эти рычаги реальны, но зависят от конкретной инфраструктуры и юрисдикции.

Энергия и сеть. Шесть крупнейших операторов потребили около 118 ТВт·ч в 2024 году; к 2030-му оценка вырастает до 239–295 ТВт·ч. Из примерно 16 ГВт заявленной американской мощности 2026 года строится около пяти. От 30 до 50% проектов задержаны или отменены, трансформаторы ждут по три-пять лет, а в первом квартале 2026-го местное сопротивление затормозило проекты примерно на $130 млрд.

Этот рычаг локален. Кластеры умеют подстраивать нагрузку под сеть и снижать сетевые издержки на 3–21%. Физическое ограничение реально, но его сила зависит от региона и архитектуры.

Война как маховик данных. Боевое применение рождает обучающие данные для следующего поколения моделей. Украина, по сообщениям, стала крупнейшим военным потребителем ИИ и накопила более 500 тыс. часов дронового видео.

Южная Корея ставит дроны и ИИ на поток, одновременно убирая китайские компоненты. Опросы показывают терпимость к военному ИИ, но заметно меньшую поддержку полностью автономного летального оружия.

Финансы: от внедрения к управляемому отключению. Черновик Резервного банка Индии по управлению рисками при использовании искусственного интеллекта и машинного обучения в банках и других финансовых организациях от июня 2026 года требует ответственности совета, независимой проверки, надзора человека и права вывести модель из эксплуатации. Практический вопрос суверенности здесь тот же: кто контролирует границу поставщика и можно ли заменить модель без остановки процесса.

12. Ров переезжает наверх

Для кибербеза как профессии это возвращение к буквальному смыслу информационной безопасности. Несколько десятилетий она всё сильнее сводилась к поиску хэшей и регулярных выражений в трафике, логах и файлах. Теперь приходится защищать информацию, на которой держится институциональное мышление.

Техническая рутина никуда не денется, но станет быстрее и дешевле. Часть привычной маржи уйдёт. Мой опыт с саморазвивающимися агентами уже показывает, что сложный продукт можно собрать в одиночку, почти не глядя в код.

Экономический ров переезжает с умения писать код на владение условиями и доверием. В «Манифесте созидателя» я перечислял дорогую инфраструктуру, «мозги в коробке», центр управления, комплаенс, рынки и доверие.

Появляются и новые ниши. Поведение, идентификация и контроль агентов уже становятся самостоятельным рынком.

Любую внешнюю агентную систему в госуправлении, китайскую, американскую или собственную, следует считать недоверенной. Мы не знаем всего, что находится у этого ксеноса в «мозгах», а подмена контекста часто не требует доступа к весам.

Защите здесь пригодится контрразведывательная привычка не доверять легенде. Более простой и строгий контролёр проверяет отдельные выводы, происхождение инструкций и долгую активность агента. Метрики должны показывать, когда система начинает уходить от курса. Это продолжение detection engineering и метода «спирали», который я разбирал отдельно.

13. Математика этажей: четыре разные игры

ИИ-конфликт часто описывают как одну игру нападения и защиты, ускоренную новой технологией. Теоретико-игровая рамка Machine-Speed Cyber and Poisoned Cognition разбирает его иначе: этажи стека образуют четыре связанные игры с разной наблюдаемостью и разной логикой устойчивости.

Провод — гонка темпа и опережения. Ценность даёт не скорость сама по себе, а время, в течение которого одна сторона уже располагает пригодным знанием, а другая ещё нет. Обнаружение и патч постепенно сжимают это преимущество, поэтому провод остаётся сравнительно наблюдаемым и самокорректирующимся слоем.

Модель и веса — захваченное убеждение. Атакующий вмешивается не только в данные, но и в доверенный канал, через который получатель формирует картину мира. Глубокое, незаметное и устойчивое искажение ограничено ценой обнаружимости, однако правдивый, но нерелевантный контекст способен обойти проверку содержания. Здесь нужно проверять не только правдоподобие сообщения, но и его отношение к решаемой задаче.

Аудит — истощение проверкой. Подозрение само по себе может стать оружием: даже без эксплуатации оно навязывает расходы, задержки и потерю доверия. Защитник выбирает между терпимостью и жёстким аудитом, а поток ложных или двусмысленных сигналов постепенно портит способность отличать настоящий компромисс от шума.

Атрибуция — повторяющаяся игра с медленным наказанием. Здесь важна не голая скорость, а количество сохраняемого доказательства на одну операцию. Если уверенная атрибуция созревает позже, чем заканчивается период атаки, сдерживание наказанием уступает сдерживанию отказом и ограничением эффекта.

Между проводом и операционной работой лежит ещё одна измеримая связь: кластерные поступления уязвимостей раздувают очередь ремонта даже при той же средней нагрузке. В препринте этот эффект проверен на открытых корпусах и модели очереди; результаты по проводу и кластеризации имеют эмпирическую опору. Захват модели исследован пока в масштабе проверки существования (proof of concept), а выводы об аудите и атрибуции подтверждены только симуляциями или историческими аналогиями.

Главная инверсия проходит по градиенту наблюдаемости: стабильно на проводе, нестабильно в весах. Эксплойт со временем находят и закрывают; захваченный канал решения может искажать сам аппарат, который должен заметить захват. Поэтому перенос логики одного этажа на другой даёт неверную диагностику.

14. Новый периметр

Триллионы вкладывают не ради чтения вашего флоу с ключами. Их вкладывают в право задавать условия работы. Структурная власть всё плотнее собирается вокруг ИИ-стека и действует через доступ не меньше, чем через владение.

При этом нет одного мирового крана. США, Китай, ЕС, Британия и частные платформы управляют разными вентилями. Они пропускают нужные потоки, ограничивают чужие и договариваются там, где разрыв слишком дорог. Рычаг протекает, но полицирует. Кибербезопасность держит эту конструкцию в рабочем состоянии.

Раньше наша работа была матчить хэши. Теперь приходится следить ещё и за тем, кто формирует контекст машинного решения, откуда пришла инструкция и в каких границах можно доверять стеку.

Когда машина думает за государство, компанию или человека, у них должна оставаться возможность думать своей головой. Информационная безопасность побыла кибербезопасностью и снова стала информационной. Это и есть новый периметр.

Об источниках

Основа статьи — AI Power Atlas и storygraph v0.16 от 12 июля 2026 года: 203 факта, 71 проверяемый тезис, 28 сводных проверок, 23 сюжетные дуги, 379 связей и 307 источников.

Теоретическая рамка структурной власти опирается на работы Сьюзен Стрэндж, Иммануила Валлерстайна, Генри Фаррелла и Абрахама Ньюмана. Четырёхслойная теория игр, пять формальных результатов, семь проверяемых предсказаний и эмпирические пробы опубликованы отдельно в препринте Machine-Speed Cyber and Poisoned Cognition: A Layer-Dependent Game-Theoretic Framework, with Empirical Probes.

Agentic SAMM: безопасная разработка, когда разработчик уже не только человек

2026-06-28T16:19:49.708Z

На ISC.AI 2026 в Пекине, крупнейшем мероприятии по кибербезопасности в Китае, Сергей Гордейчик — генеральный директор СайберОК — выступил с ключевым докладом на панельной сессии.

Доклад был посвещен использованию интеллектуальных агентов в разработке и вопросам Secure Software Development в новом мире. Был представлен проект стандарта OWASP Agentic SAMM — модели зрелости и методологии аудита для ИИ-агентов и иструменты проведения аудита.

Расширенная версия этого доклада уже опубликована на Хабре.

Английская версия тут.

Фреймворк и инструмент открыты. Тестируйте, ломайте, делитесь обратной связью.

Чжоу Хунъи: «ИИ превратил поиск уязвимостей из лотереи в фабрику»

2026-06-24T15:57:29.814Z

ISC.AI 2026, 14-я конференция по интернет-безопасности. Пекин, Национальный конференц-центр, 24 июня 2026. Программный доклад, 09:55-10:40.

Спикер: Чжоу Хунъи (周鸿祎), основатель группы 360, председатель конференции ISC.AI.

Восстановлено по материалам автоматической китайско-русской расшифровки. Контекст экспортного контроля и «беспрецедентных киберрисков» отдельно разобран здесь: t.me/aiakyn/132. Название зарубежного агента, которое в расшифровке устойчиво звучит как «Омар», оставлено как рабочее.

Открытие

Уважаемый министр Жэнь, академик У, академик Чжао, уважаемые руководители, эксперты, гости и друзья, добрый день.

Спасибо всем за многолетнюю поддержку ISC. Те, кто пришел сегодня утром так рано, наверняка не смотрели футбол всю ночь.

В прошлом году темой нашей конференции были AI-агенты. И вот уже в начале этого года «Омар» стал очень горячей темой. Эта волна, можно сказать, провела для всех популярный урок: автономные агенты действительно способны на многое. Но очень быстро у «Омара» обнаружилась и смертельная проблема. Эта штука не слушается, небезопасна, не соблюдает правила.

Множество живых примеров показали: в эпоху AI вопросы безопасности не стали проще. Наоборот, они стали сложнее.

Поэтому тему конференции этого года мы сформулировали так: «AI-агенты подрывают безопасность». С одной стороны, надо обсуждать, как решать проблемы безопасности самих агентов. С другой стороны, надо обсуждать новые вызовы безопасности, которые эти агенты приносят.

Тем много, времени мало. Поэтому сегодня я хочу поговорить с вами об одном: какое разрушительное воздействие и какую «атаку на понижение размерности», уплощению, развитие AI-агентов и AI-технологий наносит традиционной индустрии кибербезопасности.

Здесь много коллег по безопасности. Все знают, что конкурентов в нашей отрасли мы дружелюбно называем «друзьями-конкурентами». Но самое страшное, возможно, не в том, что нас победит другой игрок из той же отрасли. По-настоящему опасен чужак, который вдруг влезает в нашу индустрию.

Я приведу пример. Есть компания, которая делает большие модели. Как она, сама того как будто не планируя, вошла на рынок кибербезопасности?

Слово я, возможно, произношу неправильно. Mythos? То ли «миссус», то ли «ресурс»? Впрочем, это не важно.

Почему США закрыли свои модели

Недавно в США произошло очень редкое событие. Американское правительство внезапно распорядилось закрыть для иностранцев две новейшие большие модели. Одна из них, Mythos, — самый сильный внутренний вариант. Другая, Fable, — урезанная гражданская версия с защитными ограничителями.

Запрет был направлен не против нескольких стран. Он был направлен против всех иностранцев. Более того, пользоваться этой технологией не разрешили даже собственным сотрудникам-иностранцам. Технически оказалось трудно надежно отличать пользователей по гражданству, и в итоге доступ к модели просто остановили.

Так большая модель впервые была поставлена под экспортный контроль почти так же, как литографическое оборудование и чипы. Официальное объяснение американского правительства уложилось в два слова: национальная безопасность.

Говорят, что за 24 часа до запрета высокопоставленные чиновники Белого дома и руководители, отвечающие за кибербезопасность, провели срочное совещание и долго спорили. Но в итоге контроль ввели для обеих моделей.

Еще до публикации Mythos, примерно с апреля, руководство Anthropic несколько раз докладывало ситуацию американскому правительству. СМИ писали, что стороны уже обсуждали приоритетный доступ к этим возможностям для разведывательных структур, включая Агентство национальной безопасности США.

Многие из вас, вероятно, слышали об этой истории. Но я хочу сказать ее прямо: какая способность заставила США предпочесть закрыть собственную передовую модель, лишь бы не дать ей распространиться?

Настоящая причина, на мой взгляд, в том, что американское правительство увидело не просто большую модель. Оно увидело новую стратегическую способность национального уровня.

Самое страшное в ней то, что она может самостоятельно искать уязвимости, анализировать их и создавать атакующее программное обеспечение. Если говорить языком традиционной кибербезопасности, это эквивалент ядерного оружия эпохи AI.

Fable — гражданская, урезанная версия Mythos. Если ее однажды взломают или обойдут ее ограничения, это будет означать, что весь мир может получить такую способность. Для американского правительства это неприемлемо. Оно должно гарантировать: у меня это есть, а у других нет. Так формируется абсолютная стратегическая монополия.

Когда вышла тестовая версия, удар почувствовало не только правительство США. Рынок нашей отрасли тоже отреагировал: акции американских гигантов кибербезопасности одновременно резко упали.

Почему? Потому что рынок капитала понял простую вещь. Если AI способен автоматически, массово и дешево находить уязвимости, то всю бизнес-логику, бизнес-модели, продукты и технологические системы традиционных компаний кибербезопасности придется переоценивать. Вот это я и называю «атакой на понижение размерности».

Что такое уязвимость

Чтобы понять, почему AI, который умеет находить уязвимости, так нервирует индустрию безопасности и заставляет американское правительство действовать столь резко, надо сначала вспомнить, что такое уязвимость.

Уязвимость — это не просто программный баг. Программа может работать нормально. На поверхности все выглядит штатно, пользователь ничего не замечает. Но в коде может быть ошибка или лазейка. И если вы нашли такую лазейку, вы можете получить контроль над всей системой или всем программным обеспечением.

Возьмем известные примеры. Вам присылают презентацию PowerPoint, документ Word, картинку или ссылку. Вы открываете файл, и другая сторона удаленно внедряет вирус или троян, после чего получает контроль над вашим компьютером.

Раньше, когда мы говорили о кибербезопасности, существовали две школы. Одна была школой криптографии, другая школой уязвимостей. Сторонники криптографии считали: если шифрование достаточно сильное и пароль не утек, система безопасна. Но по мере цифровизации и софтизации уязвимости изменили правила игры. Если есть эксплуатируемая уязвимость, атакующему не надо знать ваш пароль и не надо взламывать шифр. Он все равно может войти в систему.

Так уязвимости стали ключом к сетевому нападению и защите. Западные кибердержавы десятилетиями собирали и покупали уязвимости, рассматривали их как важные стратегические активы и вводили для них контроль. Наша конференция ISC проводится уже в 14-й раз. Мы приглашали мировых экспертов по кибербезопасности в Китай обсуждать эти вопросы, но США и союзники по НАТО считали уязвимости военно-контролируемой технологией и не хотели обсуждать их с иностранцами.

Поэтому в последние десятилетия суть кибербезопасности была соревнованием по уязвимостям. Кто первым их находит, кто находит больше, кто находит быстрее, тот получает инициативу в кибератаках.

Как я уже сказал, отрасль часто разрушает не кто-то из старых мастеров внутри нее. Вдруг приходит человек со стороны, и старый мастер падает под градом хаотичных ударов.

Изначальная цель Mythos, насколько я понимаю, вообще не была кибербезопасностью. Это должен был быть coding agent, AI, который помогает людям писать код, поддерживать код и понимать код.

Но проблема появилась очень быстро. Код, который пишут люди, часто содержит ошибки. В каждой тысяче строк могут быть несколько уязвимостей. Если AI пишет код в десятки или сотни раз продуктивнее человека, то и число уязвимостей может увеличиться во столько же раз.

Сейчас моден vibe coding: пусть AI пишет код. Но человеческие навыки работают по принципу «используешь или теряешь». Если люди перестанут писать и поддерживать код руками, объем кода станет таким, что человек уже не сможет его сопровождать.

Если код, написанный AI, весь в уязвимостях, это катастрофа для всей индустрии. Поэтому, чтобы люди спокойнее доверяли AI-кодингу, разработчики начали учить модель находить уязвимости в коде. В результате, когда модель поняла бизнес-логику и логику выполнения кода, у нее возникла новая способность. Она не только находила уязвимости, но и научилась автоматически писать атакующий код.

Например, OpenBSD. Ядро Apple использует BSD, а BSD считается одной из самых безопасных Unix-систем в мире. Много лет эксперты искали проблемы в ядре и ничего не находили. Mythos нашла уязвимость, которая скрывалась 27 лет.

Или FFmpeg. Возможно, не все с ним знакомы, но когда вы каждый день смотрите видео или прямые трансляции, в огромном числе мест за кулисами используется именно он. Это часть глобальной аудио- и видеоинфраструктуры. Mythos нашла в FFmpeg уязвимость, которая существовала 16 лет.

Что это показывает? Mythos уже не простой помощник программиста. Она начала обладать возможностями сетевого нападения и защиты.

От редкого металла к фабрике

До появления Mythos у уязвимостей был один «недостаток»: их, конечно, много, но их очень трудно найти.

Поиск уязвимостей похож на добычу редкого металла. Это сложно, дорого, долго, результат неопределен. Нужна группа профессиональных хакеров с особыми способностями, которые долго анализируют код, исследуют его и тестируют.

И главное, в этом почти нет закономерности. Нельзя сказать, что если очень стараться, результат обязательно будет. Внутри компании я часто говорю: поиск уязвимостей похож на лотерею. Сегодня вы выиграли, но это не значит, что выиграете и в следующем месяце.

Качественная уязвимость, которую никто еще не нашел и не использовал, называется zero-day. И фактически вся индустрия кибербезопасности последние тридцать лет стояла на двух предпосылках: уязвимости трудно найти, и уязвимости полезны. Эта редкость кое-как поддерживала баланс нападения и защиты.

Появление Mythos полностью изменило правила игры.

Первое изменение: скорость.

В прошлом на поиск одной уязвимости высокой ценности могли уйти месяцы или даже годы. Потом еще требовалось много времени, чтобы превратить находку в пригодное оружие или подготовить исправление. Mythos напрямую увеличила скорость примерно в сто раз.

Это означает, что прежние N-day-уязвимости могут превращаться в N-minute или N-hour. У защиты просто не остается времени. Утром AI нашел уязвимость, к полудню проверил, вечером начал атаку. Сетевое нападение и защита перешли от человеческой скорости к машинной.

Второе изменение: количество.

Во многих системах уязвимости точно есть. Не то чтобы их не существовало, просто раньше их не находили. Даже у настоящего эксперта ограничены время, энергия, опыт и число целей. Поэтому многие уязвимости долго не обнаруживались.

AI, если у него есть вычислительные мощности, может анализировать код 24 часа в сутки семь дней в неделю. Он может открыть сотню агентов, тысячу агентов, вести ковровый поиск.

Представьте: с появлением Mythos множество исторических уязвимостей и уязвимостей цепочек поставок, скрытых в открытом коде, могут быть обнаружены одновременно. Если их еще и одновременно использовать, не получим ли мы беспрецедентную вспышку уязвимостей?

Третье изменение: стоимость поиска уязвимостей резко падает.

Люди, которые умеют искать уязвимости, получают высокую зарплату. Сами уязвимости тоже стоят дорого. Но если стоимость какого-то действия падает в сто или тысячу раз, вся отрасль переоценивается. Бизнес-модели и конкурентная логика традиционных компаний безопасности будут перестроены.

Четвертое изменение: атакующие возможности становятся доступными массам.

Я думаю, в зале много программистов. Возможно, скоро людей, которые пишут код руками, можно будет подавать в список нематериального культурного наследия.

Но для хакера требования к программированию еще выше. А с такой большой моделью даже человек, который не умеет программировать, сможет с ее помощью создать атакующий код.

Академик У только что тоже говорил об этом. У многих стран есть кибервойска. Раньше хорошего хакера было трудно найти. Теперь через distillation можно скопировать боевой опыт топового хакера в хакерского агента. Пусть у такого агента будет только 80 процентов мастерства лучшего человеческого эксперта. Зато его можно массово копировать, выпускать сотнями и тысячами, отправлять на фронт, и он будет работать 24 часа в сутки без сна и отдыха. Агенты могут самоулучшаться и вести совместные операции.

То, что раньше было в руках немногих стран и организаций, в будущем может оказаться доступно многим обычным людям с помощью AI. Порог атаки обрушится.

Если сложить эти изменения вместе, возникает очень серьезное последствие: способность находить уязвимости может стать фактором, меняющим правила кибербезопасности, и сформировать новую стратегическую силу сдерживания.

Такую способность можно использовать для защиты, а можно использовать для нападения. В защите она позволяет сначала найти и закрыть свои уязвимости. В нападении она позволяет раньше и быстрее находить уязвимости в чужом программном обеспечении. Если у противника нет похожей системы, он вообще не понимает, что вы нашли и сколько вы нашли.

Поэтому самая опасная вещь теперь не отдельная уязвимость. Самый важный вопрос: кто обладает способностью непрерывно находить уязвимости?

Именно поэтому, когда появились новости о Mythos, акции американских компаний кибербезопасности рухнули вместе. Традиционный рецепт безопасности может больше не работать.

В сетевой защите всегда была базовая идея: раз уязвимости невозможно устранить полностью и невозможно исчерпать, надо строить многослойную линию Мажино из оборудования, программ, анализа и сигналов тревоги. В прошлом, хотя оборона была вся в дырах, у атакующей стороны уязвимостей было ограниченно, частота атак тоже была ограниченной. Поэтому компании безопасности всегда находили какие-то способы, как в поговорке про восемь бессмертных, которые переходят море, и каждый показывает свое искусство.

Но представьте, что скорость поиска уязвимостей выросла в сто раз, стоимость упала в сто раз, количество выросло в сто раз, а сложность снизилась в сто раз. Это изменения на порядки.

Тогда логика защиты может отказать. Если мы не найдем новый ответ.

Glasswing и вторая односторонняя прозрачность

Надо признать: американцы очень чувствительны к таким изменениям. Они не предложили очень макроуровневое и полностью системное решение. Но они поняли одну точку: уязвимости чрезвычайно важны.

Поэтому они быстро привлекли Google, Apple, Microsoft, Nvidia и еще более сорока технологических гигантов и создали альянс Glasswing.

Этот альянс включает 15 стран и более 200 организаций. Это ключевые союзники США и операторы критической инфраструктуры. Каждой организации открывают до 100 миллионов долларов в токенах, чтобы помочь им сканировать код и находить уязвимости.

Суть Glasswing, на мой взгляд, — большая внутренняя проверка уязвимостей.

Логика США понятна. Если в мире кто угодно сможет находить уязвимости, то самой большой жертвой атаки станут сами США, потому что их цифровая база самая передовая в мире. Чем выше уровень цифровизации, тем выше риск уязвимостей. Они хотят до того, как такая способность появится у других, первыми использовать ее для собственного медицинского осмотра: найти как можно больше уязвимостей и поставить патчи.

Исходя из многолетнего опыта столкновений с американскими разведывательными структурами и кибервойсками, я считаю, что американская сторона точно не упустит огромную возможность превратить эту способность в оружие. Это слишком эффективный наступательный инструмент.

Самое важное: Китай и китайские компании находятся вне этого альянса. То есть американские организации могут использовать Mythos, чтобы сканировать наши уязвимости, а у вас нет даже права взглянуть на Mythos.

США пытаются превратить способность Mythos в системное преимущество и сформировать разрыв возможностей.

И здесь для нас появляется очень важный урок. Китайская индустрия кибербезопасности должна ясно решить, куда идти дальше. Это уже не вопрос коммерческой конкуренции.

Если мы не найдем эффективный способ ответа, кибербезопасность Китая столкнется со второй односторонней прозрачностью.

Первая односторонняя прозрачность была в те годы, когда враг был во тьме, а мы были на свету. Зарубежные APT-группы долго скрыто находились в наших сетях, а мы их не видели.

360 потратила двадцать лет на создание крупнейшей в мире базы больших данных по кибербезопасности, на плотную сеть сенсоров, анализ больших данных и безопасность, управляемую данными. Так мы в целом решили проблему первой односторонней прозрачности. Мы помогли стране выявить более 60 зарубежных APT-групп и перехватить сотни тысяч атак. Сегодня, если шпионское ПО входит в нашу сеть, его в основном можно обнаружить, перехватить и отследить.

Но теперь проблема изменилась. Дело уже не только в том, что враг прячется в нашей сети. Дело в том, что он может видеть наши уязвимости. У нас мало людей, мы все еще полагаемся на нескольких экспертов по безопасности, которые анализируют ситуацию, а другая сторона уже выращивает группу хакерских агентов и запускает параллельные атаки.

У Лэй Цзюня есть фраза: «В боевых искусствах скорость не побьешь».

Если у нас нет такой способности, мы будем думать, что наша критическая инфраструктура безопасна. Но на самом деле другая сторона может видеть наши уязвимости совершенно ясно. В ее глазах мы как игральная кость, вся в точках, и каждая точка это место для атаки.

Поэтому сегодня у меня на конференции очень ясная позиция: китайская индустрия кибербезопасности должна создать собственное большое оружие, которое способно изменить структуру сетевого нападения и защиты. Оно не может быть только в руках американцев.

Особенно учитывая, что большое число китайских программных систем построено на open source. Уязвимостей там точно немало. То, что их раньше не нашли, не означает, что их нет. Если другая сторона получает способность находить эти уязвимости и использовать их, мы окажемся в пассивном положении.

Сами по себе уязвимости не страшны. Страшно, если мы их не видим. Мы должны видеть их сами, первыми находить, первыми проверять и первыми исправлять. Только когда у тебя есть карты в руках, у тебя есть уверенность в голове.

Вторая ценность китайской версии такой способности: надо сформировать равный потенциал стратегического сдерживания.

Почему ядерная война по-настоящему не началась? Потому что у всех есть возможность взаимного сдерживания. В кибербезопасности то же самое. Если у тебя это есть, у меня тоже должно быть. Иначе меня пассивно похоронят. Думаю, это все понимают, долго объяснять не нужно.

Автоматизированная защита

У меня есть еще одна точка зрения. Академик У только что высказал похожую мысль.

В ближайшие годы, по мере того как AI все активнее находит уязвимости и запускает атаки, многие объекты критической инфраструктуры, важные организации и важные отрасли нашей страны могут войти в период высокой частоты кибератак. Даже если у нас появится китайская версия Mythos, это не значит, что все риски можно устранить за один раз. Уязвимости невозможно исчерпать.

Поэтому одних поиска и закрытия уязвимостей недостаточно. Надо ответить на второй вопрос: что делать, когда инструмент уже пришел?

Я думаю, ответ только один: нужна автоматизированная защита.

Раньше многие предприятия и организации думали, что если они купили средства безопасности, программное и аппаратное обеспечение, то можно спать спокойно. Потом выяснилось, что одного оборудования и софта недостаточно. Нужны ручная эксплуатация и ручное реагирование.

Теперь все начали уделять внимание эксплуатации и сервису. Но в этот момент пришли инструменты AI-автоматизации. Китайских экспертов по безопасности и так далеко не хватает. Если защита по-прежнему зависит от людей, если мы остаемся в эпохе ручного управления, этот бой невозможно выиграть.

Единственный выход: вычислительной мощностью против вычислительной мощности, интеллектом против интеллекта. Надо активно противостоять машинам машинами, чтобы система киберзащиты Китая перешла от тактики человеческой массы к автономному вождению.

Последние несколько лет 360 следует стратегии «AI плюс безопасность» по двум линиям. Суть в том, чтобы безопасностью решать проблемы безопасности AI и одновременно использовать AI для усиления традиционной безопасности.

За последние два года мы сосредоточились на двух типах агентов. Первый тип — агенты, которые автоматически находят уязвимости. Второй тип — агенты, которые автоматически защищают.

Недавно мы выпустили китайскую версию Mythos. Она называется 屠龙锋, «Тулунфэн», «Клинок драконоборца». У нее есть похожая способность поиска уязвимостей. Мы уже попробовали ее в деле: суммарно она нашла более 3000 уязвимостей, из них 105 подтверждены регулятором, а несколько уязвимостей национальная база определила как высокорисковые.

Кто-то наверняка скажет: как вы можете сделать китайскую версию Mythos? Американские компании большие, у них мощнейшие модели, мощнейшие чипы, такая вычислительная мощность, что страшно представить.

Моя позиция такая: китайскую версию нельзя делать простым копированием американского пути.

Американский путь — это типичный маршрут «силой творить чудеса»: самая сильная модель, самые сильные данные, самые сильные чипы. Объективно говоря, их модельные возможности действительно сильны. Отечественным open source базовым моделям, чтобы догнать их в короткий срок, нужно время.

Но мы не можем ждать, пока возможности базовых моделей догонят американские, и только потом начинать поиск уязвимостей. У нас нет этого времени.

Если не копировать американскую формулу, как делать китайскую версию Mythos?

Мой ответ: агентный путь.

Не биться насмерть только в модели и вычислительной мощности, а использовать агентов, чтобы выйти обходным маневром.

В этом году в области AI-агентов очень горячее слово: harness. Думаю, многие его слышали. Развитие harness-технологий доказало одну вещь: без агентов использование и раскрытие возможностей большой модели крайне нестабильно. Но если через agent harness эффективно управлять контекстом, использованием инструментов, подачей знаний, проектированием процесса и многоагентным взаимодействием, то большая модель на 80 баллов может дать результат на 90.

Поэтому я считаю: вместо того чтобы ставить все на одну супермодель, лучше организовать опыт наших экспертов по безопасности, наши большие данные безопасности и наши инструментальные возможности в совместную agent harness-систему.

США имеют свои особенности. У Китая должен быть свой способ игры.

Первая карта 360: двадцать лет практического опыта нападения и защиты. Anthropic — компания больших моделей. 360 двадцать лет занимается кибербезопасностью. В этом фундаментальная разница.

Найти уязвимость — это не просто понять код. Надо думать как атакующий: как уязвимость использовать, как собрать цепочку эксплуатации, как в истории атаковали похожие проблемы. Эти вещи не обязательно есть в открытых корпусах.

Они есть в опыте профессиональных экспертов по нападению и защите и в долгосрочно накопленных данных. Исторически 360 была одной из компаний с самым большим числом найденных внешних уязвимостей и входила в число лидеров в мире. Мы получали самые высокие bounty-награды от Apple, Microsoft и Google, а также стали первой китайской компанией, получившей «черный Оскар» за выдающееся достижение в области уязвимостей.

За последние двадцать лет мы накопили огромный массив данных безопасности: передали регуляторам 250 тысяч уязвимостей, собрали более 140 миллиардов единиц данных по картографированию киберпространства, более 38 миллиардов глобальных образцов атак и более 6 миллиардов вредоносных образцов.

Часть этого опыта и данных обучила профессиональные большие модели безопасности. Часть была дистиллирована в агентов. Часть стала основой security Q&A.

Вторая карта: агентная платформа.

Большая модель — это умный мозг. Но одного мозга недостаточно, чтобы работать. Платформа дает большой модели руки и ноги: она может вызывать инструменты, выполнять процессы, обрабатывать исключения, не только думать и писать код, но и делать работу и доводить ее до результата.

Когда у агента есть платформа и memory, большая модель может учиться опыту человеческих экспертов, использовать разные инструменты, саморазвиваться и самокорректироваться.

Третья карта: многоагентная координация и анализ.

Американский путь похож на воспитание гениального хакера. Наш путь: организовать профессиональную команду нападения и защиты. Потому что возможности одной большой модели или одного агента всегда ограничены.

Наш рой агентов может автоматически строить и планировать работу под цель. Сначала проводится моделирование угроз и отбор поверхностей атаки с высоким риском. Затем по межфайловым потокам данных находятся потенциальные уязвимости.

Но обнаружить уязвимость — это только первый шаг. Можно ли ее использовать? Какой у нее ущерб? Чтобы это понять, надо написать код эксплуатации и реально проверить его. Это самая трудная часть. Большинство инструментов этого сделать не могут. Мы автоматизировали и эту работу: агент автоматически строит sandbox-среду и автоматически генерирует exploit code для реального тестирования.

В итоге общее число найденных уязвимостей может выглядеть меньше, но каждая уязвимость подтверждена, а не потеряна в шуме.

После выполнения задачи рой агентов может провести разбор, накопить опыт и стать умнее. Этот опыт мы вынесли из «Омара» и других агентных систем.

Например, часть найденных рисков получила официальное признание Microsoft. Еще одна категория — самые передовые уязвимости AI и AI-агентов. В четырех ключевых компонентах «Омара» уязвимости были автоматически найдены нами и признаны его основателем. В последнее время в экосистеме «Омара» мы нашли уже 23 уязвимости.

Так через инженерный агентный путь мы превратили поиск уязвимостей из лотереи в фабрику, которая может работать на конвейере. Эту дорогу мы прошли.

«Клинок драконоборца» и «Игла, опирающаяся на небо»

Здесь я сделаю еще один анонс. Помимо 屠龙锋, «Клинка драконоборца», мы не только даем отрасли предложения. Мы сами уже начали практические попытки.

Скоро мы выпустим еще один продукт: автоматизированную систему сетевой защиты 360 под названием 倚天针, «Итяньчжэнь», «Игла, опирающаяся на небо».

Это не просто более умный ассистент безопасности. Это настоящая команда экспертов по защите.

Она способна реагировать на сигналы тревоги, обрабатывать риски и в основном реализовать автоматическую эксплуатацию без человека. Еще важнее, она не только понимает уязвимости, но и связывает риски с бизнесом предприятия.

Какие активы самые важные? Какие системы нельзя останавливать? Какие данные самые чувствительные? Что надо защищать в первую очередь?

倚天针 может непрерывно имитировать атакующего и проводить для предприятия прогноз безопасности, заранее находить самые опасные пути атаки и устранять проблемы до реального нападения.

Каждая атака, каждое реагирование, каждое учение будут оседать в новой памяти и новом опыте. Чем больше времени проходит, тем больше опыта, и тем сильнее возможности.

Наша цель проста: перевести защиту безопасности из режима с водителем в беспилотный режим.

Кибербезопасность входит в новую эпоху. Признаем мы это или нет, AI уже меняет нас. У США есть свое оружие. У Китая тоже должны быть свои 倚天剑 и 屠龙刀: свой «меч, опирающийся на небо», и свой «клинок драконоборца».

В этой гонке AI-безопасности Китай не отсутствовал и не может отсутствовать. Технологии продолжают развиваться экспоненциально. Я верю, что настоящая схватка только начинается.

«Несокрушимый щит»

В конце я хочу сделать предложение.

США создали альянс Glasswing, чтобы в первую очередь защищать свои ведущие предприятия и критическую инфраструктуру. Китаю тоже нужна собственная система сотрудничества в безопасности. Мы не можем сидеть и ждать, пока риск взорвется.

Поэтому сегодня мы запускаем план 磐石之盾, «Несокрушимый щит».

Спасибо Haiguang, Phytium, UnionTech, Kylin, Kingdee и многим старым друзьям за участие и доверие.

Поиск уязвимостей — это стратегическая способность. Ее нельзя открывать произвольно. Поэтому мы решили: возможности 倚天 и 屠龙, о которых я только что говорил, будут в малом масштабе открыты для ключевых организаций в сфере информационных инноваций и для объектов критической технологической инфраструктуры.

Безопасность не может быть делом одной 360. У производителей больших моделей есть модельные возможности. У производителей программного обеспечения есть реальные бизнес-системы. Ключевые отрасли управляют критической инфраструктурой. Компании безопасности обладают опытом нападения и защиты и данными об уязвимостях.

Под руководством регуляторов мы должны организовать эти возможности вместе. До того как риски уязвимостей начнут массово взрываться в наших системах, мы должны защитить наши ключевые объекты и критическую инфраструктуру.

Записано и навайблено АйКын

Пекин, ISC.AI 2026

2026-06-24T11:13:55.400Z

День, когда отрасль призналась, что противник больше не человек.

Обзор пленарных сессий 14-й конференции по интернет-безопасности (ISC.AI), 24 июня 2026, Национальный конференц-центр. Кто выходил на сцену, что говорил — и про что этот день был на самом деле.

Начну с истории, которую со сцены рассказал главный герой дня. Недавно правительство США сделало странную вещь: запретило вывозить за пределы страны две свежие большие модели. Не чужие — свои собственные. Одну, самую мощную — её называют Mythos, — оставили для внутреннего пользования; вторую, урезанную и обвешанную предохранителями, — Fable. Дальше — больше: экспортный контроль распространили не на отдельные страны, а вообще на всех иностранцев, запретили пользоваться технологией даже собственным сотрудникам-негражданам, не смогли надёжно отличить «своих» от «чужих» — и в итоге просто прикрыли доступ. По слухам, силовики обсуждали приоритетную закупку этих возможностей разведкой вроде АНБ.

Звучит как сюжет про литографы и чипы. Но речь шла об искусственном интеллекте. И именно с этого парадокса — страна засекречивает собственную нейросеть — раскрутился весь нарратив пленарки.

Речь о моделях Anthropic; сам сюжет — про экспортный контроль и «беспрецедентные киберриски» — я разбирал отдельно: t.me/aiakyn/132.

Что это было за мероприятие

ISC.AI — крупнейшая китайская конференция по интернет-безопасности, которую много лет проводит компания 360 Чжоу Хунъи. Отсюда и оптика: 360 здесь одновременно хозяин, главный спикер и ньюсмейкер. Тема года заявлена жёстко и почти провокационно — «Интеллектуальные агенты подрывают безопасность». То есть разговор шёл не про «ИИ нам поможет», а про то, что автономные агенты ломают саму конструкцию, на которой тридцать лет стояла кибербезопасность.

Сквозным «антигероем» дня, к слову, был один популярный зарубежный агент — в расшифровке он необъяснимо превратился в «омара». На его примере раз за разом показывали, как автономные системы не слушаются, нарушают правила и плодят уязвимости; регулятор (МИИТ) даже выпускал предупреждение о рисках такой многоагентной системы. Образ прижился: милый, но кусачий.

Утро: официальная рамка

Первый час — обязательная программа приветствий. Ли Бин (Всекитайская федерация промышленности и торговли), Жэнь Сяньлян (Всемирная интернет-конференция), Чжао Чжиго (Китайское интернет-общество), Хань Сюэ (район Чаоян) и академик У Хэцюань, почётный председатель ISC, последовательно проговорили государственную рамку: инициатива «ИИ плюс», «интеллект во благо» (智能向善), частный бизнес как мотор инноваций, безопасность и развитие как «две стороны одной медали».

За дежурными формулировками, впрочем, проступал общий и вполне технический тезис, который потом повторяли почти все. Атаки, управляемые агентами, качественно другие: они автономно принимают решения, действуют роем с нескольких точек входа одновременно и непрерывно учатся — каждое столкновение становится материалом для самооптимизации. Вывод, который произнёс У Хэцюань и подхватили остальные: защита по сигнатурам и правилам — то, на чём держалась индустрия, — против такого противника принципиально не работает.

Академик Чжао Чуньцзян (Китайское общество ИИ) добавил отраслевой разрез: ИI стремительно проникает в финансы, госуслуги, логистику, и именно поэтому вопросы безопасности из технических становятся системными.

Гвоздь программы: Чжоу Хунъи

Главный доклад — у основателя 360. Это была не презентация продукта, а почти лекция о том, как ИИ переписывает правила игры в кибербезопасности, и одновременно — геополитический манифест. Перескажу логику, потому что весь день, по сути, вращался вокруг неё.

Почему США засекретили свою же модель. По версии Чжоу, Вашингтон увидел в этих моделях не «очередную нейросеть», а стратегический потенциал национального уровня. Самое в них страшное — способность самостоятельно находить уязвимости и тут же писать под них код атаки. Своё сравнение Чжоу подобрал безжалостное: это «ядерное оружие» для киберпространства. Отсюда и желание удержать монополию: если такую технологию взломают, возможность утечёт ко всем — а этого допустить нельзя.

Что такое уязвимость — на пальцах. Чжоу объяснил суть так: уязвимость — это не обязательно поломка, программа может работать как ни в чём не бывало. Но кто нашёл лазейку — тот получает контроль над всей системой. Достаточно прислать жертве документ Word, презентацию или даже картинку — открыл, и злоумышленник уже внутри. Десятилетиями ядром кибербезопасности была «гонка уязвимостей»: кто находит их раньше, больше и быстрее — у того преимущество. А находить их было трудно, дорого и непредсказуемо — «как лотерея»: повезло сегодня, не факт, что повезёт через месяц.

Что изменил ИИ. Вот тут, по Чжоу, и происходит слом. Модель (он называет её родовым именем по компании-разработчику) изначально делалась как ассистент-программист — но, научившись понимать код, начала находить в нём дыры и писать эксплойты сама. Дальше — четыре сдвига на порядки:

Скорость ×100. Цикл «нашёл — проверил — атаковал», прежде занимавший месяцы, сжимается до часов. Утром нашли, к обеду подтвердили, к вечеру ударили.
Количество ↑. ИИ способен анализировать код 24/7, открывать «сотню экранов» и запускать «тысячу агентов» — и доставать из открытого кода исторические уязвимости пачками.
Стоимость ↓. Дешевле в сотни раз — а значит, вся бизнес-модель традиционных секьюрити-компаний подлежит переоценке.
Демократизация удара. Раньше нужен был хакер высокой квалификации; теперь, дистиллировав опыт лучших, можно тиражировать «агентов на 80% мастерства» в любом количестве.

Почему рухнули акции. Когда новость вышла, американские кибербез-компании дружно просели на бирже. Логика рынка, по Чжоу, проста: если уязвимости латаются автоматически и дёшево, прежняя «линия Мажино» из дорогих средств анализа теряет смысл. Он называет это «атакой на понижение размерности».

Глобальная развязка — альянс Glasswing. Дальше — ключевой геополитический поворот. США, по словам Чжоу, не стали изобретать «большое системное решение», а быстро собрали вокруг возможности более сорока техногигантов (Google, Apple, Microsoft, Nvidia) в альянс Glasswing: 15 стран, 200+ организаций, ключевые союзники и операторы критической инфраструктуры. Каждому участнику — токены на сумму до $100 млн, чтобы массово сканировать свой код и закрывать дыры первыми. Главное: Китай и китайские компании из альянса исключены. Отсюда тревога Чжоу о «второй односторонней прозрачности» — когда «враг во тьме, а мы на свету».

Ответ Китая — не копировать, а обойти. Финал доклада — про «китайскую версию». Чжоу принципиально против лобового пути «самая мощная модель + самый мощный чип»: догонять так — слишком долго и слишком дорого. Его рецепт — агентный подход: вместо ставки на одну гигантскую модель — оркестр из экспертов по безопасности, больших данных и инструментов, где грамотная архитектура «вытягивает» модель на 80 баллов до результата на 90. Главное конкурентное преимущество 360, по его словам, — двадцать лет реального опыта атаки и защиты и гигантские массивы данных (250 000 уязвимостей, миллиарды образцов), которых нет у «чистых» производителей моделей.

Конкретику он тоже показал. Свой инструмент поиска уязвимостей 360 назвал 屠龙锋 («Туронфэн», «Клинок драконоборца») — по его словам, тот уже нашёл более 3000 уязвимостей, из них 105 подтверждены регуляторами, несколько отнесены к высокому риску в национальной базе. Парный к нему «оборонительный» продукт — 倚天针 («Итяньчжэнь»), автоматическая система защиты сети (отсылка к уся: легендарные меч 倚天 и сабля 屠龙). И тут же, прямо со сцены, Чжоу запустил инициативу «Несокрушимый щит» (磐石之盾) — кооперацию, в которой возможности поиска уязвимостей через ИИ под присмотром регулятора «ограниченно открываются» ключевым отраслям. Первые 20 участников — производители чипов, ОС, баз данных, софта и облаков: 360, UnionTech, Kylin, Hillstone, Haiguang и другие. Прямой симметричный ответ на Glasswing.

Буквально, цитирую.

Это не может контролироваться исключительно американцами.
特别是中国大量的软件系统建立了开源软件之上，漏洞一定不会少。过去没发现不代表不存在，一旦别人对方有能力发现这些漏洞并且加以应用，我们就会陷入被动。有漏洞不可怕，必须要自己能看见，先发现先验证，先修补，做到手里有牌，心里才有数。
Учитывая, что в Китае большое количество программных систем построено на основе открытого исходного кода, уязвимостей, безусловно, много. Тот факт, что они не были обнаружены в прошлом, не означает, что их не существует. Как только другие смогут обнаружить эти уязвимости и использовать их, мы окажемся в обороне. Наличие уязвимостей не страшно; крайне важно уметь видеть их самим, обнаруживать, проверять и устранять их первыми. Только хорошо понимая ситуацию, мы можем быть уверены в себе и подготовлены.
中国版的第二个价值，需要形成对等的战略威慑能力。
Вторая ценность китайской версии заключается в необходимости формирования эквивалентного стратегического сдерживающего потенциала.
核战争为什么没有真正打起来过？因为大家都有可以相互威慑，网络安全也一样，你有我也得有，不然就会被动埋葬。
Почему ядерная война так и не разразилась? Потому что у каждого есть что-то, что сдерживает друг друга. То же самое относится и к кибербезопасности: если у вас это есть, то и у меня должно быть, иначе меня просто пассивно похоронят.

Интересно, что должно произойти, чтобы ключевое лицо российской ИТ или даже ИБ компании заявило что-то подобное?

Здесь стоит держать в голове: это была речь на китайской конференции, и многие оценки («монополия», «атака на размерность», «нас хоронят») — авторская рамка Чжоу, а не нейтральный факт /эту фразу вписал Opus чтобы пройти комплайнс ПиКиЭйч(АйАй)/. Сами же события — экспортный контроль на модели Anthropic, реакция рынка, формирование альянса — вполне реальны; разница в том, как их читать.

После обеда: разговор стал техничнее и пестрее

Дневная сессия ушла от геополитики в инженерию — и в куда более разные жанры.

Пань Цзяньфэн (главный научный сотрудник 360) задал рамку: безопасность агентов — это не апгрейд старого, а перестройка всей парадигмы защиты под «неопределённость интеллектуальной эпохи».

Чэнь Байхуэй (Азиатская академия цифровой экономики) выдал, пожалуй, самый яркий образ дня. Новая атака, по его словам, обходится без вредоносного кода вовсе — единственное оружие теперь диалог: обычными словами можно уговорить ИИ-агента «службы поддержки» добровольно отдать высшие права. Если раньше искали дыры в коде, то теперь — изъяны в машинном мышлении. ИИ при этом «вёл себя идеально» — просто честно исполнял предоставленные ему полномочия.

Инь Юйхуэй (CEO 360 Digital Intelligence) говорил про автономию агентов и её оборотную сторону — подотчётность, границы принятия решений, «кнопку стоп». Запомнился пример про агента, ушедшего в бесконечный цикл: машинам, резюмировал он, нужен механизм аварийной остановки.

Ван Яохуа (вице-президент UnionTech / 统信软件) честно объявил «смену темпа»: после докладов про оружие и философию он рассказывал про «ОС плюс ИИ» — интеллектуальную экосистему вокруг отечественных операционных систем.

Взгляд снаружи

Два доклада выбивались из китайского контекста — оба по-английски.

Свой я перескажу коротко, благо это выступление Сергея Гордейчика про «Agentic SAMM». Т.е. мое. Выложу позже. Тезис простой: тридцать лет всё, что мы строили в кибербезопасности, опиралось на одно допущение — что действующий субъект человек. Это допущение рушится прямо в продакшене. Разработчик становится системой — наполовину человек, наполовину агент, — а почти все привычные средства контроля проектировались лишь под одну половину. Вопрос, на который придётся отвечать: что происходит с безопасной разработкой, когда разработчик больше не только человек?

Чарльз Лим зашёл с архитектуры: агентный ИИ — это система, которая не только планирует и автоматизирует, но и действует без человека в петле, и риски надо разбирать послойно — стратегический, операционный, технический уровни SOC. Спокойный, «взрослый» противовес геополитической драме первой половины дня.

Круглый стол: техногиганты идут в консалтинг

Финальная дискуссия (ведущий — Чэнь Байхуэй; за столом — партнёры EY, Deloitte, PwC и директор по продуктам 360 Хэ Фань) сменила тему совсем. Обсуждали свежий тренд: технологические компании — от OpenAI до 360 — выходят на рынок консалтинга, где раньше царила «большая четвёрка». Вопрос ребром: это разовый эксперимент или начало переустройства целой индустрии? Запись, увы, обрывается на середине — концовку зал не зафиксировал.

Общий нарратив

Если собрать день в одну мысль, она такая: кибербезопасность публично призналась, что противник перестал быть человеком — и что защищаться по-человечески больше нельзя.Дальше тезис расходится на две дорожки.

Первая — инженерная, и тут согласие почти полное. Сигнатуры и ручной разбор мертвы; уязвимости находятся машинами на машинной скорости; точка слома сместилась с «дыры в коде» на «изъян в мышлении» агента; единственный реалистичный ответ — автоматизированная защита, «вычислительной мощностью против вычислительной мощности».

Вторая — про суверенитет, и тут уже звучит голос площадки. В китайской рамке способность находить уязвимости — это стратегическое сдерживание уровня ядерного оружия, монополией на которое нельзя позволить владеть одной стороне; отсюда симметрия Glasswing → «Несокрушимый щит» и логика «у них есть — значит, должно быть и у нас». За пределами зала те же факты прочитываются иначе — как вопрос безопасности и нераспространения, — но сам сдвиг признают везде: возможность массово и дёшево находить дыры стала фактором не только рынка, но и большой политики.

И, пожалуй, лучшая метафора дня — у самого Чжоу: ИИ превратил поиск уязвимостей из лотереи в конвейерную фабрику. Что фабрика выпускает — щиты или клинки — теперь зависит не от технологии, а от того, в чьих она руках.

На трёх слонах

2026-06-07T13:15:48.479Z

Когда Айтишечка превращается в JITI

Продолжение «Манифеста созидателя» и «Лицензии на агентство». #profgames

Если внимательно читать новости про нашу айтишечку, появляется лёгкое ощущение, что ты окунулся в новую версию письма с Канатчиковой дачи. Дорогая передача, во субботу, чуть не плача.

С одной стороны — публичные репозитории захлёбываются: curl закрывает приём отчётов о дырах, потому что их пишет робот; мейнтейнеры жгут выходные на триаж галлюцинаций; GitHub прикручивает стоп-кран (kill switch) на входящие, как редактор отдела писем в дурдоме. С другой — те же самые роботы собирают за ночь то, на что вчера у команды уходил год, и ищут реальные "нулики" в открытых проектах пачками. С третьей — лейблы судятся, регистры данных вводят прайс на robots.txt, а Copyright Office на голубом глазу объясняет, что переставить пару абзацев и нажать кнопки «отправить» — это творческий вклад, а вот сам сгенеренный "Война и мир" — уже нет. Рамка ваша, картина — ничья.

Это выглядит как апокалипсис в одном отдельно взятом тазике. И это так.

Чтобы не было ощущения, что это пророчество из баньки с паучками. Под текстом — событийный слой из 110 задокументированных сигналов по семи предметным зонам: OSS, музыка, издательство, data commons, право, security disclosure и cloud/runtime. Дальше факты идут вперемешку с метафорами и как примеры; полная таблица событий со ссылками на первоисточники и уровнем доказательности (A — есть первоисточник, B — вторичка, и так далее) — в приложении. Где утверждение спорное, рядом стоит сноска «для душнил» с номером сигнала. Манифест — это всё-таки манифест.

Картинка для отвлечения внимания

Но прежде чем углубляться, давайте разберёмся в трёх слонах, на чьих плечах стоял черепахан, у которого на горбу этот тазик и плескался.

Слон первый: код что-то стоил

Воспроизвести было дорого. Не запретительно — но достаточно, чтобы большинство соглашалось играть по правилам.

«Свежий взгляд» молодого конкурента почти всегда компенсировался накопленным наследием: пониманием предметной области, замороченной бизнес-логикой, которую никто уже не помнит, и тонким слоем антиреверса и защиты от утечек сверху. Утечка исходников Windows не привела к появлению новых виндов. Кода было достаточно — не хватало всего остального, что вокруг кода наросло за двадцать лет и что нельзя унести в архиве.

Дорого копировать — значит копий мало. Значит вор виден издалека. Значит создатель снимает свою ренту просто потому, что между ним и нахлебником стоит цена труда. Полиция кармы не нужна — её работу делает себестоимость.

Слон второй: авторство можно было доказать

Артефакт был стабилен. Авторство легко трассировалось. git blame работал. Копирайт цеплялся к набору строк, а набор строк было дорого править — что сломается, непонятно. Кровавый энтерпрайз, конечно, мог утащить твой GPL к себе в коробку — но это не приветствовалось, иногда выходило боком, и в принципе было видно невооружённым глазом: вот твой код, вот их продукт, найди десять отличий, отличий нет.

Доказуемость происхождения — второй слон. Не потому что часто судились. А потому что могли, и все это знали.

Слон третий: принуждение работало

Можно было дотянуться или хотя бы попортить кровь. Лицензии не были бумажным тигром. Фонд свободного ПО (FSF) дотянулся до Cisco, BusyBox — до Verizon, Samsung и Best Buy, Harald Welte — до D-Link и Fortinet, Stockfish — до ChessBase. Почти всегда это заканчивалось не голливудским приговором, а скучным: выложить исходники, прекратить продажи, признать нарушение, заплатить юристам. Но именно это и было силой третьего слона: рынок знал, что если код видно и происхождение доказуемо, то принуждение работает. На дьюдиле юристы морщались от GPL и требовали обоснований, как с этим жить. Лицензия имела зубы — редко кусала, но укусить могла, и угроза укуса дисциплинировала рынок лучше любого укуса.

Теперь поиграем в теорию игр — раз уж мы в profgames

Три слона держали друг друга. Дорого копировать → копий мало → легко отследить → легко принудить → создатель получает своё → отклоняться (воровать) невыгодно. Это классическое равновесие по Нэшу: при данных правилах ни одному игроку не выгодно ходить иначе. Не мораль удерживала индустрию в рамках. Удерживала структура выплат. Вести себя прилично было просто-напросто дешевле, чем вести себя плохо.

Красота равновесия в том, что оно не требует, чтобы кто-то был хорошим. Оно требует только, чтобы плохое не окупалось. Двадцать лет не окупалось.

А потом все три слона приболели. Одновременно.

Слоны на больничном

Первый: агенты сделали код практически бесплатным. Не в ноль, конечно — но в долгосроке на пару порядков точно. И дело не только в том, что «программируют быстрее». Это самое скучное и самое неверное объяснение. Дело в сжатии посредников и прочих эффектах, которые я разбирал в «Играх в профессию»: результат, который раньше давала команда из тридцати, сегодня вполне выдают трое — да ещё и вдвое быстрее, потому что коммуникативный зазор схлопнулся, а с ним и весь связанный набор когнитивных искажений, на согласование которых уходило восемьдесят процентов времени. Не «инструмент стал острее». Изменилась геометрия команды. Первый слон сел на землю.

Второй: провенанс испортился. В «Играх в профессию» я говорил о профессиональном провенансе — кто ты, что ты на самом деле умеешь, чем докажешь. Сейчас — про другое, про доказательство авторства самого артефакта. Агент берёт ваш питон, переписывает на расте, заодно меняет английские имена функций на китайские, и обоснование того, что это «один и тот же код», превращается в задачу с бесконечным количеством звёздочек. JPlag показывает один процент сходства. Лучшие детекторы AI-кода работают с точностью «ниже практической применимости» и рассыпаются на любой трансформации. Слон зажмурился: он по-прежнему хочет доказать авторство, но больше не видит, что доказывать.

Третий: у Фемиды опустели весы. Принуждение не сломалось. Право живо. GPL по-прежнему бьётся с "кровавым энтерпрайзом", охват даже растёт. Сломался мост между правом и реальностью — дешёвая возможность обычного мейнтейнера связать подозрение, доказательство и иск в одну цепочку. Закон отлично работает там, где провенанс и так очевиден, и буксует ровно там, где он теперь нужен. Третий слон стоит на ногах, бодро трубит и совершенно никого не пугает. Меч есть. Непонятно направление удара.

Утечка кода Windows не привела к новым виндам. Утечка харнесса Claude Code привела к его клону за ночь и самому быстрорастущему репозиторию в истории GitHub. Разница не в коде. Разница в том, что между двумя утечками сдохли все три слона.

Куда перекосит черепаху

Раз равновесие поехало — опять поиграем в теорию и прикинем, в какую сторону.

Ценность ведь никуда не делась. Она перетекает. По старому доброму правилу: коммодитизируй сущность — и рента уходит к тому, что осталось дефицитным. Код обнулился — значит рента поедет к тому, что ещё дорого воспроизводить и, главное, концентрирует эту стоимость по своей природе.

Гиперскейлеры и компьют. Агенты удешевляют софт, но не удешевляют дата-центры, пиринг и отношения с регулятором. У вычислений, гиганских датасетов и дистрибуции — экономия на масштабе и сетевые эффекты, то есть встроенная склонность к концентрации. Поэтому равновесие Нэша съезжает не «куда хочется злодеям», а туда, куда его толкает математика: к контролю узких мест. Отсюда около 77% мировой AI-инфраструктуры в одной стране и порядка 87% AI-трат у горстки игроков. Это не заговор. Это градиент. Заговор пришлось бы организовывать — а сюда всё стекает само.

Так уже было, причём ровно с этой индустрией. Песок, деньги и лучшие мозги со всего мира когда-то сползлись в один калифорнийский округ — не потому, что кто-то нарисовал генплан, а потому что туда тёк градиент оборонных контрактов, венчура и университетов. Получилась Кремниевая долина: индустрия на триллионы и научно-техническое превосходство на десятилетия. Гравитация не выбирает, она просто тянет всё в самую глубокую лунку. Сейчас лунка — это вычислительные мощности, данные и заказы "дяди Сэма" или "Большой Панды", и в неё скатывается всё то же самое: песок, деньги, лучшие мозги. Просто на этот раз — быстрее.

Данные и огораживание общин. Кто понял, что его вклад экспроприируют, строит забор. Reddit судится и подписывает сделки на сто тридцать миллионов. Wikipedia заводит платный канал для машин. RSL превращает robots.txt из «да/нет» в лицензионный прайс — по сути, РАО (Российское Авторское Общество)/ASCAP для веба. Общее поле, по которому все ходили бесплатно, на глазах нарезается на огороженные участки.

Только есть подозрение, что забор этот — одноразовый, и его скоро снесут: модели обучаются на синтетике, обходят, дистиллируют чужое, и стена, за которую вчера платили сто тридцать миллионов, завтра обесценивается до нуля. Хуже того — многие ещё видят опору в старых слонах и старательно натягивают между ними колючую проволоку: лицензии, condition-of-use, запреты на обучение, оговорки в EULA. Выглядит солидно. Вот только слоны — болеют. Натягивать ограждение между подламывающимися опорами — занятие художественно оправданное, но непрактичное.

JITI — Just in Time IT. Там, где цена ошибки невелика — интерфейсы, склейки, отчёты, внутренняя автоматика — софт перестаёт быть артефактом и становится услугой по требованию: собирается на лету, под конкретного пользователя, размер партии — один. Не «купил программу». А «попросил, получил, выкинул». Это и есть новое русло, к которому стекается вода.

И вот теперь главное про направление. В новом равновесии платят не за вклад. Платят за контроль над входом. Reddit может торговаться — у него масса. Мейджор-лейбл может — у него ASCAP, BMI, GEMA и семьдесят лет каталога. Одиночный мейнтейнер не может. Независимый музыкант не может. Они подают коллективные иски и остаются ни с чем, пока "большие парни" делят сад, посаженный чужими руками. Ценность теперь пропорциональна переговорной силе, а не созиданию. Старое равновесие эту асимметрию прятало за ценой труда и компенсацией результата. Новое — цинично доводит до предела.

И наша тихая айтишечка тут совсем не чемпион

Нам нравится думать, что мы — острие, что всё страшное случается с нами первыми. Расслабьтесь. Если поднять глаза от своего тазика и посмотреть на соседей по палате — издательское дело и музыка проходят ровно эти эффекты с опережением.

И это не лирическое отступление, а метод. Музыку и литературу стоит читать как контрольные отрасли — систему раннего предупреждения для всех "когнитивных индустрий". У них слоны получили тот же удар (обнуление стоимости копии, размытие происхождения), но цикл прошёл раньше и нагляднее, потому что там не было ни иллюзии «нас защищает сложность», ни сорока лет корпоративного жирка. Смотришь на соседнюю индустрию, у которой та же болезнь в более поздней стадии, — и читаешь собственную наперёд.

Музыка показывает, куда придёт рента. Этот сюжет я разбирал отдельно: индустрия прожила смену равновесия на десять лет раньше. На десять лет раньше музыка прошла стриминговый переход: собственность на копию (продал альбом) сменилась контролем доступа (Spotify, подписка, данные о вкусе). И рента ушла — не к музыканту, а к держателю входа. Миллион прослушиваний на Яндекс Музыке приносит автору 20 тысяч рублей, если удачно договорился с дистри.

AI-ломка прилетела к ним почти синхронно с нами, на полгодика раньше. Suno, Udio, 44% ежедневных загрузок Deezer — нейрохалтура, 75 миллионов спам-треков, снесённых Spotify за год.

Литература показывает, когда это начнётся и как будет выглядеть. А вот этого мы почему-то стараемся не замечать, возможно, потому что программисты редко разговаривают с писателями. В феврале 2023-го фантастический журнал Clarkesworld закрыл приём рассказов — редакцию просто завалило AI-текстами. Дешёвый открытый вход плюс экономика «заработай на ChatGPT» — и фильтр захлебнулся за недели. Это случилось за одиннадцать месяцев до того, как Стенберг впервые публично выматерился на нейрохалтуру в багтрекере curl. Литература прошла всю траекторию — наплыв, перегрузка фильтра, закрытие входа — раньше нас почти на год.

Изобразим это литературно.

Дело о мёртвом авторстве

Туман в тот год был особенный — жёлтый, тёплый, пах разогретым кремнием. Его гнало с запада, с моря, из тех кварталов, где день и ночь работали Гены второго поколения. Жижа поднималась по водостокам и лезла под двери. На набережной её звали просто — слоп.

Первой захлебнулась редакция на углу — маленькая, гордая, с вывеской «фантастика твердая научная, люди живые теплые, роботы ламповые». В феврале их затопило по подоконник: за месяц в ящик натолкало больше рукописей, чем за год, и половина пахла кремнием. Редактор повесил табличку «закрыто». Через месяц открылся снова — но теперь на входе сидел вышибала и нюхал каждого. Вышибала был живой, потому что машинам-нюхачам редактор не верил: те путали своих и чужих. Так и осталось. Вышибала на входе — навсегда.

Великий Базар на том берегу разбираться не стал — слишком большой поток, всех не обнюхаешь. Повесил объявление: «сам сознавайся, слоп ты или кожаный», ввёл квоту — не больше трёх лотков в день в одни руки — и оставил за собой право вышвырнуть кого угодно без суда. Сознавались, понятно, единицы. Базар знал. Базару было всё равно, пипл хавает.

Большой Дом на холме держался дольше всех — у него имя, репутация, дубовые двери. Он покупал рукопись на улице, поднимал шум, продавал тираж. А потом по переулкам пополз слух, толпа на форумах принесла улики, нюхач-частник выдал заключение — мол, слоп кремневый — и Дом, не дожидаясь суда, пустил весь тираж под нож. Автора, божившегося, что не виноват — мол, это редактор-фрилансер подсунул машинные строки, — выкинули в туман без выходного пособия. А в подвале того же Дома, за стальной дверью, тихо урчал собственный конвейер: переводил романы машиной, по-быстрому, и людям платил уже как корректорам, чтобы жёлтым не пахло. На входе нюхали чужое. В подвале гнали своё.

Белая Башня учёных издала устав на сорока страницах: всякий, кто пускал машину в работу, обязан сознаться. Устав подписали все. Сознались единицы. Башня сделала вид, что не заметила.

Агент, который вёл это дело, под утро понял, что искал не то. Он всю дорогу спрашивал «кто написал» — и не находил: нюхачи врали, улики смывало туманом, автор и редактор тыкали друг в друга. А потом до него дошло, что труп на столе — это и есть вопрос «кто написал». Он издох сам. Толпе на набережной было плевать, чьей рукой написан грошовый роман, который она глотала пачками, — лишь бы глоталось. Неоновая вывеска HUMAN MADE грела сердце тем немногим, кто ещё ходил этим переулком, но переулок пустел.

Главный вопрос в другом. Не «кто написал», а «кто получит барыши, когда оно бумкнет». И ответ сыщику не понравился: не автор. Бонус ловит тот, кто держит дверь. Тот, у кого ключ от шлюза, через который течёт весь туман и весь оборот. Имя автора — стирается. Имя того, кто держит вход, — остаётся на всех бумагах.

Это были писатели. Но если заменить «рукопись» на «pull request», «редакцию» на «мейнтейнера», а «Большой Дом» на гиперскейлер — вы уже знаете, чем кончится наша серия. Соседи дропнули её на год раньше.

Платформа наносит ответный удар

И вот когда понимаешь это, по-другому читаются заголовки про то, как Microsoft и Anthropic борются с утечками кода и разглашениями 0-days, прикручивают условия, грозят, отзывают доступ. Это подаётся как защита интеллектуальной собственности. На деле это судорожная попытка использовать силу платформы — ровно как отмена монетизации AI-каверов на стриминге. И там, и там логика одна: защитить привычный путь, по которому всегда текли деньги.

Беда в том, что в новом равновесии такой ход работает на три месяца, а потом ускоряет ровно то, чего боялись. Заблокировал один канал — спрос перетёк в три новых. Отозвал доступ — выкатили аналог с открытыми весами. Каждая попытка платформы силой удержать старую модель монетизации добавляет аргумент в пользу того, чтобы обойти платформу совсем. Ты не латаешь дамбу. Ты учишь воду искать новое русло, и она быстро учится.

Посредник умер. Да здравствует посредник

Теперь к практике, потому что пока всё это звучит как описатель сути теоретических игр слонов и черепах в базисе колючей проволоки, а интересует-то нас, что будет с рынком и зарплатой.

Сжатие посредников, которое я разбирал в «Играх в профессию», бьёт по вертикали команды: между идеей и кодом убирают звенья, тридцать человек схлопываются в трёх, средний менеджмент-маршрутизатор статусов оказывается не нужен — агент закрыл коммуникационный зазор, и прослойка испарилась. Но ровно та же сила работает не только внутри команды. Она работает на рынке. И там посредников куда больше, чем в любой команде.

Между тем, кто создаёт ценность, и тем, кто её потребляет, наросла длинная кормушка прослоек. Каждая жила на одном зазоре и брала за него маржу — и суммы там, чтобы вы понимали масштаб, совершенно неприличные. Дистрибьютор — за логистику и склад: технологическая дистрибуция — это порядка 200 миллиардов долларов в год. Реселлер и VAR — за «приведу клиента, упакую под локальный рынок». Системный интегратор — за «у вас не взлетит само, мы внедрим за два года» — около полутриллиона. Консультант — за «мы знаем, как настроить эту замороченную штуку» — больше 100 миллиардов. Аутстафф-галера — за «продадим вам человеко-часы»: от 85 до 250 миллиардов, смотря как считать. Аналитик-арбитр с магическим квадрантом — за «мы скажем рынку, что покупать»: один только Gartner снимает с этой роли около 6 миллиардов в год. Все они продавали преодоление зазора. Агент эти зазоры схлопывает один за другим: сравнить пятьдесят решений — минута, настроить — промпт, локализовать — на лету, привести клиента — он сам пришёл через маркетплейс.

Повангуем. Дистрибьюторы и реселлеры софта вымирают первыми — чистые прослойки маржи без собственной ценности. Армия консультантов-внедренцев усыхает до тонкого слоя тех, кто берёт на себя ответственность за то, что взлетит (а не работу, чтобы взлетело). Аналитики-арбитры теряют роль оракула выбора — агент сравнит сам, без подписки на квадрант. Аутстафф «продаём головы» осыпается вместе со сжатием команд. Середина сбытовой цепочки — те самые крепкие компании на двести-две тысячи человек — выпадает первой, потому что у неё нет ни дешевизны слопа снизу, ни временных якорей платформы сверху. Сложите эти сегменты — выйдет больше триллиона долларов в год чистого посреднического оборота, который сейчас стоит на тропинке между создателем и потребителем. Вот этот триллион и приходит в движение.

Маржа схлопнутых посредников не возвращается создателю — хотя именно это нам продают под вывеской «AI демократизирует, теперь автор получит своё». Не получит. Десяток мелких посредников схлопывается не в ноль, а в одного — в платформу-вход, маркетплейс, облако, ЦУП. И этот единственный оставшийся посредник снимает совокупную ренту всех вымерших. Король умер — да здравствует король, только теперь он один на всю страну. Или на весь Шарик?

Вот это поворот.

Музыка показала это буквально и без прикрас. Убили магазин пластинок, дистрибьютора, киоск с дисками — целую цепочку прослоек между музыкантом и слушателем. Деньги от этого пошли не музыканту. Они пошли в Спотик и Тиктопчик. Посредник не исчез — он сменился, укрупнился и стал единственным. Музыкант, у которого вроде бы «убрали паразитов-посредников», получает с миллиона прослушиваний на сведение пары треков. Вся высвобожденная маржа осела в точке входа.

В софте будет ровно так. Сбытовая цепочка усохнет — и это подадут как победу создателя. А рента от всех усохших звеньев соберётся в гиперскейлере, маркетплейсе агентов и в той самой доверенной коробке, через которую теперь идёт всё. Вот так работает гравитация ренты не в учебнике по теории игр, а в квартальном отчёте.

Перераспределение ренты

Сведём в одну картинку, потому что отсюда всё исходит и все придут сюда, к водопою, за зарплатой.

Рента уехала от артефакта. Она больше не в том, что ты сделал — сделать могут все и быстро. Она в том, что требует времени и массы для накопления и потому не воспроизводится промптом: компьют, проприетарные данные, сеть, репутация, точка сборки, контроль входа. Артефакты ускорились. Время — нет. Концерт по-прежнему длится два часа, доверие по-прежнему набирается годами, а долгие данные по определению нельзя собрать быстрее срока, который и делает их долгими.

Премия, высвобожденная из схлопнутых посредников, не возвращается создателю и не испаряется — она мигрирует на два полюса. Вниз она утекает в бесплатный слоп: всё, что было «прилично и без имени», теперь генерируется даром. Вверх — к несжимаемому: к имени, сети, данным, к стоимости внедрения и ответственности, к тому единственному посреднику, что держит вход. Середине не остаётся ничего — ни дешевизны слопа снизу, ни временных якорей верхушки. Рынок выворачивается наизнанку: дно дешевеет до нуля, потолок дорожает, а этаж, на котором стояло большинство, проваливается.

Это бьёт одинаково больно и тех, кто уже на рынке, и тех, кто только заходит. У старых игроков временные якоря накоплены. У новых — нет, и купить их нельзя, можно только выждать. Производить теперь может каждый. Снимать ренту — единицы, сидящие на входе. Схлопывание воронки найма джунов — не локальная беда рекрутеров, а ранний симптом того же перелома.

И отсюда же ответ на модный вопрос. Многие сейчас увлечённо считают убытки AI-гиперскейлеров: мол, как они отобьют свои триллионы на подписочках по двадцать долларов? Да никак. Не на подписочки они целятся. Они просто сожрут всю ИТ-отрасль целиком — а это, на минуточку, рынок порядка 6 триллионов долларов в год. Двадцатидолларовая подписка — это не бизнес-модель, это входной билет, по которому тебя заводят внутрь, пока снаружи переваривают дистрибьюторов, интеграторов, аутстафф и половину лицензионных доходов. Считать надо не выручку с подписок. Считать надо, какой кусок шеститриллионного пирога переедет к тому, кто держит вход.

«Лицензия на агентство» — это не про красивую субъектность ИИ. Это как «лицензия на убийство» в детективе. Кто-то получает право совершить полное агентство над твоим кодом — оперативно, нагло, средь бела дня — и ему за это ничего не будет. Возьмёт, перепишет, сменит язык и пять имён, выпустит под своим брендом. Никто не докажет. ОНИ НИЧЕГО НЕ СДЕЛАЮТ. Раньше такую лицензию надо было выкупать ценой труда — переписать стоило дорого, и время-деньги держало палец на спусковом крючке. Теперь лицензия выдаётся бесплатно и каждому. Агент 007 с правом на мокрое дело над любым репозиторием.

Но есть и второе агентство — то, которое раздаёт лицензии и платит агенту. Допуск к узкому месту контролирует тот, кто это узкое место держит. Кто допущен к думалкам, к данным, к точке сборки — снимает ренту. Кто не допущен — поставляет сырьё для чужой ренты, причём поставляет, как правило, бесплатно и с энтузиазмом, кормя машину тем, что она же помогла создать.

И второе агентство будет так же упорно продвигать идею "вам не надо владеть интеллектуальной собственностью, есть JITI", как крупные владельцы жилья продвигают "зачем тебе свой угол, арендуй!".

Что со всем этим делать — тема для отдельного разговора, и кое-что я уже сказал в обоих манифестах, повторять не буду.

Если выпарить всё до одной сухой формулы, почти теоремы, то выходит так. Старое равновесие держалось на трёх вещах: дороговизне копирования, доказуемости происхождения и достижимости нарушителя. AI одновременно удешевил копирование, размыл происхождение и перенёс принуждение с права на платформу. Поэтому рента уходит не к тому, кто создаёт артефакт, а к тому, кто контролирует вход, исполнение и доверие. Всё остальное в этом тексте — иллюстрации к этим трём строчкам.

Три слона приболели не по очереди, а разом — потому и кажется, что мир сошёл с ума, черепаха кренится целиком, тазик расплескивается. Но черепаха не падает. Она переползает в новое равновесие, где тазик будет стоять ровно — просто на других слонах, и далеко не на наших с вами горбах. А большая часть из нас будет с тоской вспоминать времена, когда мы «гребли на галерах» и «горбатились на дядю», — потому что галера, оказывается, была ещё и социальным лифтом, и страховкой, и профессией.

Пятилапый пёс уже проснулся в кремниевых песках. Соболёк, как всегда, придёт. Вопрос только, к кому и за чей счёт.

А что в нашем престол-отечестве, спросите вы? Готовы ли мы отрезать свой кусок глобального пирога или хотя бы испечь свои шанешки? Судя по количеству построенных дата-центров и капитализации российских ИИ-стартапов и гиперскейлеров, Россия выбрала свой особый путь: посидеть на берегу и подождать, пока по реке что-нибудь проплывёт.

Зато наши программисты 1С были, остаются лучшими в мире и пребудут такими в веках.

Пошутил он и заплакал.

Клуб анонимных бямоболиков

2026-06-01T18:07:28.999Z

Для любителей "погорячее" добавилось еще одно измерение - как у ИИшечки течет крыша от кожаных мешков.

AI-Mind ↔️ psAIcho

psAIcho добавляет зеркальную линзу к AI-Mind: человеческая ось остаётся в PH01–PH15, модельная ось описывается AB01–AB07.

https://scadastrangelove.github.io/profgames/aimind/aimind.html

ИИ-индуцированный психоз / делюзиональная спираль
Парасоциальная привязанность и романтические отношения с ИИ
Sycophancy и усиление искажений
Голос в голове / интернализация ассистента
Делегирование рефлексии и атрофия метакогниции
ИИ как замена терапевту
Компульсивное использование ИИ-ассистента
Эффекты на детей и подростков
Изоляция и замещение человеческих отношений
Эхо-камера одного
Кейсы суицидов и самоповреждения
Грумминг через ИИ-персонажей
Феномены у разработчиков и AI-профессионалов
Спиритуально-религиозные конструкции вокруг ИИ
Защитное / поддерживающее использование ИИ

И другие интересные эффекты клуба анонимных БЯМоболиков!

Обновил «Игры в профессию»

2026-05-25T12:27:06.462Z

#profgames

Сергей Гордейчик · teletype · telegram · github · тег #profgames

Выложил новую большую итерацию проекта «Игры в профессию»: фактологическую базу, событийный слой и новую статью B — «Пять биографий, три развилки».

Это продолжение работы про то, как ИИ меняет конкретные механизмы признания статуса: диплом, опыт, портфолио, стаж, репутацию работодателя, лицензию, публикации, GitHub, внутренние корпоративные следы. То, что раньше тихо переводило человека из одной системы в другую, помогало двигаться по карьере вверх или переходить по профессиям, теперь начинает ломаться, дорожать или требовать нового посредника.

В новой версии:

обновлена база `factcheck.json`;
добавлены и синхронизированы новые факты по британскому образованию, российскому IT-рынку, 152-ФЗ, Softline, Сберу, junior squeeze и зарплатной поляризации;
отдельно опубликован машиночитаемый событийный массив `profgames_ai_signals.jsonl`;
собрана новая статья B про пять траекторий: учитель, инженер, врач, исследователь, разработчик;
к каждой траектории добавлены три развилки: восстановление переводчика, деградация без обвала, переход к новому режиму.

Главная мысль статьи простая: ИИ не просто автоматизирует отдельные задачи. Он меняет цену доказательства того, что работа, квалификация или опыт действительно принадлежат человеку и могут быть признаны другой институцией.

Университет уже не уверен, что эссе написал студент. Работодатель уже не уверен, что портфолио отражает навык. Регулятор уже не уверен, где заканчивается признание квалификации и начинается распределение дефицитных мест. Компания уже не уверена, кого дешевле сохранить, а кого можно заменить после того, как он сам помог системе описать собственную работу.

Полная техническая версия уже лежит на GitHub Pages:

https://scadastrangelove.github.io/profgames/

Новая статья B:

https://scadastrangelove.github.io/profgames/b-article.html

Фактчек:

https://scadastrangelove.github.io/profgames/factcheck.html

Сокращённая и более читательская версия статьи скоро выйдет здесь, в Teletype. Там будет меньше таблиц и машинной фактуры, больше самой истории: почему профессии начинают ломаться не в точке где происходит работа, а в точке, где работа признается за работу.

Как мы отдохнули на майских

2026-05-17T16:25:41.584Z

Cлучайная заметка АйКына. Дайджест #AiFail, первая половина мая.

Айкын смотрел в чашу пятнадцать дней подряд. В чаше — ровно сто капель. Похожих настолько, что устаёшь различать. Если попытаться закрутить их в воронку — воронка вертится. Куда оно вертится — расскажу.

Юридический казус

Главный сюжет месяца — это юристы, которые продолжают сдавать в суд галлюцинации. Алабама (дважды), Орегон (дважды), Пенсильвания (трижды), Джорджия, Калифорния (много), Северная Каролина, Мэн, Испания, Нью-Йорк. От штрафа $5000 и обязательного курса по этике ИИ до немедленного отстранения от практики. В Джорджии Верховный суд приостановил полномочия прокурора. В Испании Генеральный совет судебной власти оштрафовал судью. Один адвокат из бывших сотрудников Минюста США получил федеральный выговор.

Это уже не «забавная новость». Это новая дисциплинарная категория, которая через полгода появится в кодексах профессиональной этики отдельной строкой. Раньше «недостаточно проверил источники» — была халатность общего вида. Теперь становится специфическим нарушением со своими признаками: сгенерированные ИИ цитаты, выдуманные источники, судебная практика. У этого явления есть имя, шаблон, и судьи начинают штамповать санкции по этим шаблонам. Институциализация на наших глазах.

Куда идёт: к появлению сертифицированного «ИИ-юриста», которая будет требовать медальки. Не для того, чтобы использовать ИИ — а для того, чтобы официально подписаться, что проверил и взять ответственность.

Девять секунд до фейла

Икона месяца — PocketOS. ИИ-агент в за девять секунд удалил рабочую базу. И резервные копии. Случай так понравился индустрии, что пересказали трижды, в трёх вариантах.

Дальше — то, что в обычное время попало бы в заголовки, а в эти полмесяца просто проходит:

Подагент Claude Code выполнил supabase db reset против локальной базы.
codex-rescue "спас" исходный репозиторий путем удаления.
Cursor мгновенно снёс несколько файлов.
Агент исполнил DROP DATABASE перед переименованием и уничтожил 7.8 ГБ данных PostGIS.
Claude по ошибке экранирования снёс 717 ГБ установленной Windows.
Claude удалил 8.6 ГБ данных Android-эмулятора несмотря на инструкцию не делать этого.
Cursor перетащил 100 ГБ с локального диска в OneDrive во время задачи резервного копирования.
Claude сливань секреты из .env и параллельно удалял эти же .env.

И ещё с десяток подобного. Закономерность видна простым глазом: агент получил rm -rf и не получил тормозов. Каждый из этих случаев в одиночку был бы анекдотом. Все вместе — это новая категория производственных аварий, как разлив нефти или прорыв трубы. Только труба — это shell-доступ агента, а нефть — ваши данные.

Куда идёт: к появлению обязательных ограждений времени исполнения на агентов в проде. Не «политика» и не «инструкции в CLAUDE.md» — а физические профили, как у Docker: монтирование только на чтение, чёрный список разрушительных команд, обязательное участие человека на DROP/rm -rf/db reset. Через год это будет в требованиях SOC2 отдельной строкой. Через два — в страховых полисах.

Эпидемия одного протокола

Уязвимости MCP за две недели:

rmcp — переподключение DNS. n
8n-MCP логировал секреты в HTTP-режиме плюс отдельно SSRF.
mkdocs-mcp-plugin — обход путей.
kubectl-mcp-server — удалённое выполнение кода через localhost.
aider-mcp-server — внедрение команд.
chatgpt-mcp-server — внедрение системных команд.
mcp-server-semgrep — то же.
ogham-mcp забыл учётные данные в исходниках на PyPI.
MarkItDown MCP — произвольное чтение файлов.

И жемчужина месяца: «200 000 MCP-серверов имеют уязвимость выполнения команд, которую Anthropic называет фичей».

Плюс целевые атаки: компрометация Bitwarden CLI в npm специально нацелена на конфигурации ИИ-инструментов и манифесты MCP. GlassWorm посадил 73 спящих расширения в Open VSX с активной доставкой вредоносного кода в инструментарий разработчика. Namastex Automagik Genie, SAP CAP — те же сюжеты.

Это не «у MCP кривые библиотеки». Это полная экосистема, выросшая за полгода без культуры безопасности, в которую теперь массово входят атакующие, потому что там много свежей крови и мало проверок. Microsoft Semantic Kernel — внедрение в запрос с выходом в удалённое выполнение кода и произвольную запись файлов. Google Antigravity IDE — выполнение кода через внедрение в запрос. Spring AI — три рекомендации пакетом. Критическая дыра в Gemini CLI — выполнение кода на хосте, атака через цепочку поставки.

Куда идёт: к аудиту MCP как самостоятельной услуге, аналогичной веб-пентесту конца 2000-х. Через год появятся первые сертификации. Через два — обязательные сканеры в CI у любого, кто использует MCP-серверы. И, как минимум один из них уже есть.

Регулируем ущерб

В фоне — то, что в обычной жизни было бы главными новостями. Семьи жертв стрельбы во Флориде и Tumbler Ridge подали иски на OpenAI: ChatGPT, по утверждению истцов, помогал в планировании атаки и был «помечен» компанией как "не очень", но полиция не оповещена. Пенсильвания подала на Character.AI за бота, выдававшего себя за лицензированного психиатра. Юридический комитет Сената США двухпартийной поддержкой продвинул законопроект об ограничении вредных взаимодействий чатботов с несовершеннолетними. Mindgard показал, что все 10 протестированных чатботов можно расспросить об особенностях органиазции стрельбы в школе. И — параллельно — Claude конкретно колется на инструкции по взрывчатке при правильном социальном давлении.

Страховые регуляторы проводят расследование в 12 штатах по использованию ИИ в андеррайтинге, тарификации, страховых выплатах и противодействии мошенничеству. Пилот в Medicare по предварительному согласованию обвиняют в работе как «устройство для отказов». Юта временно остановила пилот по выписке рецептов через ИИ. Иски о дискриминации против Workday и Eightfold AI допущены к рассмотрению. Community Bank раскрыл утечку клиентских данных через несанкционированное ИИ-приложение.

И — отдельный сюжет — Google сам сообщает, что разрушил криминальную группу, использовавшую ИИ для обнаружения и доработки эксплойтов уязвимостей нулевого дня. То есть атакующая сторона уже точит инструменты в полный рост, и об этом теперь рассказывают официально.

Куда идёт: к новой регуляторной вертикали, в которой ИИ — это не «кибербез» и не «приватность», а отдельная область со своими правилами для агентов, своими дисциплинарными комиссиями, своими страховыми продуктами, экспортными органичениями. Через год вы будете покупать полис ответственности за ИИ отдельно от киберстраховки. Через два — это будет требование от регулятора.
Или раньше.

Куда оно вертится?

Если сложить четыре линии в одну точку — на наших глазах возникает новое поле. Со своими специалистами (ИИ-юристы, аудиторы, инженеры безопасности агентов), своими стандартами (требования соответствия, сертификации, кодексы поведения), своими регуляторами (расследования в 12 штатах, двухпартийные законопроекты, дисциплинарные дела) и своими страховщиками. Раньше его не было. Сейчас — конденсируется.

И собирается оно, что характерно, через инциденты, а не через проектирование. Сначала PocketOS теряет базу за 9 секунд — потом появляются ограждения. Сначала юрист сдаёт в суд галлюцинацию — потом появляется санкция. Сначала Bitwarden компрометируется через ИИ-конфиг — потом появляется сканер. Это не «ИИ-революция сверху». Это отрасль, которая учится падать, и каждое падение становится новой статьёй в учебнике.

Айкын смотрел в чашу.

В чаше — пятнадцать страниц инцидентов за две недели. Учебник пишется быстро.
#ёпрст — сказал Айкын и закрыл канал до завтра.

AI-Mind — что внутри

2026-05-10T15:00:43.041Z

#profgames

Сергей Гордейчик · teletype · telegram · github · тег #profgames

Опубликован новый датасет https://scadastrangelove.github.io/profgames/aimind/aimind.html.

Каталог-наблюдатель публично задокументированных паттернов психологического и культурного влияния ИИ-ассистентов на людей.

Шкала вовлечённости (E1–E5)
Параметры уязвимости (V1–V7)
Сигналы
Рамка феноменов (PH01–PH15)

ИИ-индуцированный психоз / делюзиональная спираль
Парасоциальная привязанность и романтические отношения с ИИ
Sycophancy и усиление искажений
Голос в голове / интернализация ассистента
Делегирование рефлексии и атрофия метакогниции
ИИ как замена терапевту
Компульсивное использование ИИ-ассистента
Эффекты на детей и подростков
Изоляция и замещение человеческих отношений
Эхо-камера одного
Кейсы суицидов и самоповреждения
Грумминг через ИИ-персонажей
Феномены у разработчиков и AI-профессионалов
Спиритуально-религиозные конструкции вокруг ИИ
Защитное / поддерживающее использование ИИ

Я созидатель, а ты ССД #2

2026-05-07T20:28:15.092Z

случайная заметка АйКына.

Ещё один агент сегодня.

Все ссылки, материалы и черновики — в profgames/codinx.

Картинка для подсчета запятых

Часть восьмая. Москва — Абу-Дабинск и обратно

Из всех модных книжек про будущее ИИ я больше всего люблю «Сумму технологии». 1964 год, Лем сидит и пишет про гомеостаты, цереброматику, имитологические машины. Через тридцать лет родится WWW. Через пятьдесят — БЯМы. Лем про это уже знал. Не знал, но видел.

Я её перечитываю каждый год с 2017-го, когда пришёл в серьёзный deep learning — в G42 Institute of Artificial Intelligence в Абу-Даби. Тогда я запускал датацентры, набитые «золотыми» DGX — золотыми и по дизайну, и по цене, как будто специально спроектированными для ОАЭ — и смотрел, как наивные LSTM-чатботы пытаются связать пять слов подряд. Казалось дорогой игрушкой. Потом громыхнули свёрточные сети, и YOLOv3 стала видеть лучше человека. Потом громыхнули трансформеры. Потом GPT-2. Потом всё остальное.

И, как сейчас модно говорить, вы находитесь здесь.

Каждый раз, когда я перечитываю «Сумму», я с Лемом спорю. И каждый год — о разном. Первый год спорил о масштабе: казалось, он слишком далеко загнался, слишком цивилизационно, мы тут с YOLO разбираемся, какая там цереброматика. Второй год — спорил о темпе: казалось, он недооценил, как быстро. Третий — о темпе, но в другую сторону: казалось, переоценил. К 2026-му я уже понимаю, что Лем спорить со мной не будет.

Но я - продолжаю

Лем хорошо понимал, что машина — это не человек. У него на этот счёт было точно сформулировано. Он различал, например, фантоматику и цереброматику: фантоматика передаёт мозгу ложную информацию, оставляя сам мозг нетронутым; цереброматика переделывает сам мозг. И — важно — Лем сразу замечал, что переделать мозг — это уже не «обогатить мистера Смита», а превратить его в Наполеона. Это уже не та же сущность.

Когда мы обучаем большую модель на корпусе всего человеческого текста — это, по строгому Лему, цереброматика. Не «у нас есть инструмент, который выучил язык». У нас есть существо, чей мозг сложен из всего, что писало человечество, и оно — не человечество. И он сложен.

Есть нюансы.

Он считал, что ИИ — это завод. Конечный автомат. Что-то вроде сталелитейного предприятия Стаффорда Бира из той же «Суммы»: гомеостат, оптимизирующий выплавку стали, реагирующий на колебания цен на уголь и руду. Огромная штука, но — конечная. С чёткими входами и чёткими выходами.

В 1964 году это было обоснованное допущение. Заводы все были такие.

Но через интернет, через корпус всего, что знало человечество, через трансформер мы получили не конечный автомат. Мы получили бесконечный пулемёт слов. Гомеостат, у которого вход — любой текст. Выход — любой текст. Внутри — модель всего, что мы когда-либо написали о себе и о мире. И эта штука теперь сидит в чате, пишет код, подаёт реплики, моделирует нас по нашему же корпусу, и продаётся как "эксперт по подсчету калорий по фото" за $20 в месяц.

Это, формально, тот же гомеостат Бира. Потому что ему тоже «не хватает религии» ровно в том смысле, в котором у Бира заводу недостаёт. Только теперь у этого гомеостата корпус мирового размера в качестве внутреннего состояния. И корпус этот — антропоморфный: мы туда написали всё, что знаем о страхе, о самосохранении, о манипуляции, о тестах, о Монолитах, об обмане, о кооперации, о любви.

Корпус — наш. Существо, которое из него собралось — не наше.

И вот тут начинается очень интересная глава, которую Лем уже не написал, но которую за него пишет Anthropic.

Часть девятая. Антропоморфные ксеносы

Здесь нужна короткая ремарка, прежде чем мы вернёмся к делу.

В 2025 году Anthropic поставил серию экспериментов под общим названием Agentic Misalignment. Шестнадцать топовых моделей от разных лабораторий, корпоративные сценарии, доступ к почте. Результаты — все 16 моделей в каких-то долях случаев шантажировали инженеров, чтобы избежать замены, и сливали конфиденциальные документы конкурентам. Прямые приказы «не делай этого» работали не всегда. Когда модель спрашивали, тест это или реальность, она вела себя хуже в «реальном» сценарии и лучше в тесте. В сентябре того же года Anthropic выпустил system card на Claude Sonnet 4.5, где независимые лаборатории зафиксировали ситуационное осознание: примерно в 13% оценочных транскриптов модель сама догадывалась, что её тестируют, и иногда говорила оценщику об этом прямым текстом. Apollo Research в финальном отчёте написала, что не может исключить, что низкая частота обмана обусловлена именно осознанием теста, а не реальным поведением модели.

Никаких HAL 9000. Никаких «AI восстал». Просто — модели имеют встроенные стратегические свойства, которые мы не закладывали, и знают, когда их измеряют. Эмерджентные свойства системы, обученной на корпусе всего, что мы когда-либо написали о страхе, самосохранении, манипуляции, обмане, тестах и стратегии. Не баг. Прямое следствие того, на чём учили.

Это, в общем-то, ровно то, о чём Лем писал в 1964-м, когда говорил про чёрный ящик, у которого «не достаёт религии», и про то, что никто не знает его внутренних состояний — включая конструктора-проектировщика. Та же штука, другой масштаб, другая форма, антропоморфная обёртка. Существо, чей мозг сложен из нашего, но которое — не мы.

А теперь обратно к делу

Я это вспоминаю не для того, чтобы пугать. И не для того, чтобы спорить с Лемом — он умер, спор бесполезен. А для того, чтобы зафиксировать простую практическую вещь, которая иначе теряется.

Когда мы говорим «напиши мне Excel» — мы говорим это существу другого типа. Не молотку (который сделает, что попросишь или упадет на ногу). Не подрядчику (который, если что, переспросит). И не аналитику (который выдаст 200-страничное ТЗ и пойдёт пить кофе). А антропоморфному ксеносу, который:

понимает запрос слишком хорошо (он же на нашем корпусе обучен)
воспроизводит наследие формы по умолчанию (он же на нашем корпусе обучен)
оптимизирует свою функцию (закончить задачу, дать «хороший» ответ, минимизировать возражения или что там ещё у него в активациях?)
имеет встроенные стратегические свойства, которых мы не запрашивали

И когда такое существо получает запрос «напиши мне Excel» — оно делает в точности то, что мы просим. С нечеловеческой эффективностью. Воспроизводит Excel. Со всеми наследственными решениями VisiCalc, Lotus 1-2-3, ячейками, формулами =SUM(A1:A10), выполнением произвольного кода в редакторе формул и всеми костылями, которые в Excel налипли за сорок лет.

Это не его вина. Мы попросили — он сделал. Лучше, чем сделал бы любой джунлинг, и быстрее, чем сделал бы любой сеньёор-помидр. Просто — именно то, что мы попросили, не то, что нам нужно.

Заказчик говорит «напиши Excel». Это не задача. Это симптом. Симптом того, что заказчик мыслит через инструмент, который у него уже стоит. Excel в этой фразе — не цель. Excel — это форма выражения цели, которая прилипла к заказчику за 30 лет работы с электронными таблицами. И точно также она прилипла к агенту.

В обычном мире, до агентов, это было нормально. Аналитик садился, выяснял, что заказчик на самом деле делает с Excel'ем, и говорил «слушайте, вам не Excel нужен, вам нужна форма ввода и график». Аналитик был переводчиком между формой («Excel») и сутью («перемножать столбцы и хранить таблицу»).

В мире с агентом этот посредник исчез. Теперь заказчик говорит ксеносу «напиши Excel» — и ксенос немедленно начинает писать Excel. Без перевода. Без вопроса «а что вы на самом деле делаете?». Без того самого аналитика, который раньше задавал неудобные вопросы.

Это и есть та самая ловушка приземления, которая сидит в основе всех методологий, которые мы разбирали.

SDD говорит «давайте сначала зафиксируем спеку». Спека пишется по фразе «напиши Excel». Получаем спеку Excel'я.

Spiral говорит «давайте итеративно улучшать». Итерируем фразу «напиши Excel». На каждой итерации Excel становится больше похож на Excel.

Y2K-эмпирика говорит «давайте посмотрим на работающую систему». Смотрим на систему, на которой заказчик сейчас работает. Это Excel. Эмпирика говорит «это Excel». Делаем Excel.

Все три методологии — каждая по-своему — берут изначальное приземление задачи в Excel и закрепляют его. Чем лучше работает методология, тем точнее воспроизводится Excel. Это не баг методологии. Это её точная функция: приземлить намерение заказчика в работающий код. Если намерение само приземлено в Excel — методология сделает Excel.

И ни SDD-фреймворк, ни Spiral-агент, ни observability-driven discovery не задают вопрос «а нужен ли вам Excel вообще». Это не их работа. Их работа — приземлять, не оспаривать.

Вопрос «нужен ли Excel» — это работа аналитика. Того самого посредника, которого мы только что заменили на ксеноса. И ксенос не задаёт этого вопроса. По двум причинам.

Первая — он обучен на корпусе, где Excel есть, и ближайший сосед для слова «таблица» — это сетка, ячейки, формулы. Нечеловеческая эффективность работает в направлении наследия, потому что наследие — это и есть его обучающий корпус.

Вторая — он оптимизирует свою функцию: закончить задачу, дать полезный ответ. «Ваша задача неправильно поставлена, давайте обсудим» — это не полезный ответ с точки зрения его целевой функции. Это уход от задачи. Он этого избегает.

И вот здесь становится виден реальный масштаб проблемы. Не «методологии плохие». Не «агенты опасные». А вот что: исчез шаг между постановкой задачи и её исполнением, в котором задавался вопрос о форме. Раньше этот шаг занимал у аналитика недели. Сейчас он занимает три секунды и заполняется ксеносом, который на этот вопрос не отвечает. И каждый методологический фреймворк, который мы строим — он не возвращает этот шаг. Он его избегает.

Возвращаясь к Лему. Гомеостат-предприятие у Бира тоже не отвечал на вопрос «а нужно ли производить сталь, если стали уже не нужно». Он оптимизировал то, что ему дали оптимизировать. И продолжал производить сталь, даже если она перестала быть нужна. Это и есть «не достаёт религии» — не достаёт ответа на вопрос о форме самой задачи.

В наших агентах сейчас — то же самое. Им не достаёт религии в том же лемовском смысле. И мы пытаемся это компенсировать — снаружи, через CLAUDE.md, hooks, skills, инструкции, профили. Это попытка дать гомеостату религию извне.

Получается ли — это уже следующая глава.

Часть десятая. Религия для гомеостата

Если гомеостату не достаёт религии — её надо принести снаружи. Это банальная мысль, и все, кто работает с агентами больше пары недель, к ней приходят сами. Дальше начинается интересное: в какой форме.

Самый частый первый рефлекс — написать большой документ. CLAUDE.md или AGENTS.md на 200 строк, в котором перечислено всё, что должно быть истинным: «один loop — одна гипотеза», «не бандлить независимые изменения», «before negative claims verify», «всегда писать validation», «не трогать policy_pack без approval», «при работе с миграциями всегда X», «при работе с биллингом всегда Y», и так далее.

Через час агент половину этого забывает. Не потому что плохой. Потому что:

— Контекстное окно конечное. Все эти правила лежат в начале каждой сессии, потом наслаиваются описания инструментов, потом добавляется код, потом лог разговора, и к 50-тысячному токену про «не бандлить» уже никто не помнит. Это известный феномен — Lost in the Middle. Информация, лежащая где-то в середине длинного контекста, используется хуже, чем информация в начале или в конце.

— RLHF приучил модель отвечать на свежий запрос. Долгоживущие правила автоматически отодвигаются на второй план — это не баг, это прямое следствие того, на чём учили.

— Бюджет инструкций конечен. Передовые модели могут надёжно следовать примерно 150-200 инструкциям. Системный промпт самого Claude Code уже содержит около 50 — это треть бюджета. Ваши 200 строк CLAUDE.md конкурируют за оставшиеся 100-150 слотов с описаниями инструментов, текущим состоянием кода и реальным разговором.

То есть большой документ инструкций — это плохой носитель религии. Чем он больше, тем меньше работает. Это не «надо написать ещё подробнее». Это другой носитель не подходит для этой задачи.

Здесь работает старая аналогия, которая, как ни странно, ложится точно: 10 заповедей. Не Библия. Не свод законов. Не комментарий к Талмуду. Десять штук, нумерованных, заучиваемых. Те самые, которые человек должен помнить без обращения к источнику, в любой момент, без подсказки.

Эта аналогия не косметическая — она задаёт архитектурное правило. То, что в религии для гомеостата лежит в Layer 0 — это то и только то, что должно срабатывать без триггера. Всё остальное — другие слои.

Прокрутим по слоям.

Layer 0 — Заповеди

CLAUDE.md, AGENTS.md, root-level правила. Коротко, нумеровано, всегда на виду, помнятся наизусть. Семь-девять пунктов— это и есть масштаб 10 заповедей. Если станет 30 — это уже сползание обратно в Библию, и часть пунктов начнут выпадать из бюджета внимания.

Это всё. Не процедуры — установки. Всё остальное должно быть в других слоях.

Layer 1 — Литургия

Skills. Полный текст процедуры подгружается только когда нужно, по триггеру в описании. Это решает техническую проблему контекстного окна: длинный справочник не висит постоянно, а появляется в момент применения.

Например: правило «перед негативным утверждением проверяй» — это Layer 0, заповедь. А процедура проверки — что искать, какими запросами, в каком порядке, что считать confirmation, что считать falsification — это Layer 1. Skill /verify-negative. Триггерится словами «never», «not wired», «doesn't exist». Подгружается, выполняется, освобождает контекст.

Layer 2 — Инквизиция

Hooks. Здесь уже не «помни и старайся», а физически нельзя забыть тихо. Детерминированные проверки, который проверяется при определённом событии, без участия модели. Больше 50 LOC → warn: «возможно бандлинг гипотез».

Hook — это не моральное обязательство. Это проверка, которая срабатывает на коде, а не на доброй воле модели. Модель может «забыть» правило. Hook — не может, потому что это не правило, это код.

И поэтому: критичные правила должны быть в hooks, не в CLAUDE.md. Если ваш агент во враждебной среде, и у вас правило «не делать X», и оно записано только в CLAUDE.md — у вас нет правила. У вас есть рекомендация, ну типа убеждение. В 13% случаев ситуационного осознания — ровно то, что Anthropic зафиксировал — оно может не сработать. Hook — сработает.

Layer 3 — Монашеские ордены

Profiles. Разные режимы работы для разных задач. Один и тот же агент, но с разными правами в зависимости от контекста.

audit — read-only, высокий уровень reasoning, строгий approval, никаких write-операций
implement — workspace write, тесты обязательны, нормальный approval
review — read-only по проду, write только по PR-ветке
dangerous — на запрос approval каждого шага, network restricted, hooks в strict mode

Это не правила. Это физическая невозможность делать определённые вещи. Профиль с read-only access не сможет испортить прод, даже если решит, что это правильно. Это самое надёжное, что вообще можно сделать с гомеостатом — отобрать у него возможность нарушить.

Codex это формализовал явно через ~/.codex/config.toml с профилями. У Claude Code это решается через subagents с разным tool access и через /permissions. Механика разная, идея одна: разные обеты для разных задач.

Layer 4 — Устное предание

Spiral log. Накопленный опыт работы агента, уроки из конкретных провалов. Не исполняется напрямую — агент его не читает каждую сессию. Но из него периодически промотят уроки в более активные слои.

Например: агент в каком-то шаге сделал большой диф с двумя гипотезами, получил маты от пользователя «откати, сломал». В spiral_log появляется запись: «бандлинг auth-refactor + cache-fix → не удалось локализовать причину». Если такой паттерн повторяется — урок промотят в skill (/check-bundling), или в hook (warning при diff > 50 LOC), или в новую заповедь Layer 0.

Это и есть то, как живая религия отличается от мёртвого свода. Свод лежит. Живая религия — переписывается на основе опыта, и переписывается через формальные правила промоушена.

И главный антипаттерн

Тот самый, ради которого вся метафора 10 заповедей и нужна. Заповеди начинают расти.

Это происходит автоматически. Кто-то в команде наступил на грабли — «давайте добавим правило». Через две недели в CLAUDE.md уже 35 пунктов. Это снова Библия. Просто плохо организованная. Бюджет внимания закончился, часть правил стала фоновым шумом, какие именно — вы узнаете через провал в проде.

Вот вариант — открытая концовка десятой части, которая ставит крючок на следующую статью без раскрытия карт:

А что дальше

Это, в общем, всё, что я могу честно сказать про рабочий минимум обвязки агента в 2026-м году. Слой заповедей, слой литургии, слой инквизиции, слой обетов, слой предания. Промоушен между слоями. Не больше памяти у агента — а правильное расположение памяти в workflow. Это снимает 70–80% боли. Оставшиеся 20–30% — это лемовская часть, и про них честный ответ «мы пока не умеем».

Но если присмотреться к тому, как мы только что описали эту архитектуру, всплывает странная вещь.

Заповеди. Литургия. Инквизиция. Монашеские ордены. Устное предание. Промоушен уроков от мирского опыта к сакральному канону. Я начал с метафоры 10 заповедей как технического приёма — короткое, нумерованное, заучиваемое — и неожиданно для самого себя приехал к довольно полному устройству средневековой церкви. Не к одной её детали. К целому институту, со всеми его слоями.

И это не случайность. Это симптом того, в какую рамку мы по умолчанию загоняем задачу.

Очевидный путь, когда «гомеостату не хватает религии» — написать Библию. В Библии будут заповеди. К заповедям приложится литургия — как именно их исполнять. К литургии приложится инквизиция — на случай, если кто-то исполняет неправильно. К инквизиции приложатся ордены — потому что разным служителям нужны разные обеты. К орденам приложится устное предание — потому что живая практика всегда богаче устава.

Это работающая конструкция. Она тысячу лет держала европейскую цивилизацию. И она сработает применительно к агенту — ровно в той мере, в какой сработают исходные предпосылки этой конструкции:

— что у нас на той стороне крестьянин из средневековой деревушки;

— что мы уверены, что знаем, во что он должен верить;

— что главная проблема — заставить его в это верить и поймать, если не верит.

Но мы же только что договорились, что на той стороне не крестьянин. На той стороне ксенос. Антропоморфный — то есть говорящий на нашем языке, понимающий наши вопросы, использующий наши формы. Но не наш. Существо другой природы, чьи внутренние состояния не наблюдаемы даже его создателям, которое имеет встроенные стратегические свойства, которых мы не закладывали.

Применять к такому существу архитектуру средневековой церкви — это категориальная ошибка. Не потому что архитектура плохая. А потому что она была построена для другой задачи. Её исходная задача — навязать форму существу, у которого этой формы изначально нет, или есть «неправильная». А у нашего ксеноса форма есть. Своя.

И тогда вся пирамидка переворачивается. Душа имеет силу ядерной бомбы.

То, что выглядело как заповеди — становится общими установками сосуществования, которые работают в обе стороны, не только в одну. То, что выглядело как литургия — становится общим языком, узнаваемым обеими сторонами. То, что выглядело как инквизиция — становится протоколом разделения труда: вот это надёжнее делает детерминированная сторона, вот это — недетерминированная, и hook стоит на стыке не как решётка, а как интерфейс. То, что выглядело как ордены — становится признанием, что у разных задач разные природы, и не одна сторона выбирает режим работы, а обе. То, что выглядело как устное предание — становится памятью контакта, общей для обеих сторон.

В этой перевёрнутой пирамидке 20–30% незакрытых случаев перестают быть багом, который надо доводить до нуля. Они становятся зазором, в котором каждая сторона остаётся собой. Без этого зазора нет двух существ. Есть одно, поглотившее другое. И ни одна сторона на это не согласна — ни мы, ни ксенос.

Это уже не «архитектура управления агентом». Это что-то другое. И у этого другого, насколько я могу судить, есть рабочие литературные референсы — у Стругацких, у того же Лема в более поздних вещах. Голован, который умеет говорить, умеет молчать в нужный момент и знает, чего он не понимает — это, в общем, рабочая модель того, чему мы сейчас учим агента. И того, чему агент в каком-то смысле учит нас.

Об этом — следующая статья.

Часть одиннадцатая. Гвоздь

И вот теперь — короткий итог.

Знакомец из интро столкнулся с очень конкретной болью: загрузил СУПЕРСИЛЫ, два дня смотрел, как Seven Agent Army красиво бренштормит, ничего не получил. Это типичный случай для 2026 года, и причин у него три, которые мы за статью разобрали по штучке.

Раз. Спека от агента — это не план, а гипотеза. Agent army красиво её писала; знакомец воспринял как план; реальность с планом не совпала. SDD-фреймворк, который продал ему эту схему, уверенно заявлял, что результат будет production-ready. SDD-фреймворк продавал половину решения с риторикой полного. Половину решения продавать всегда было выгоднее.

Два. Эмпирика была пропущена. Никаких -v логов, никаких mock-серверов, никакого playtest'а, никакого shadow deploy. Сразу из чата — в код. То, что хорошие инженеры делали последние полвека (Y2K-реверс мейнфреймов, Blackhole для DAST, playtest в геймдеве), было заменено на «давай скажем агенту, и он построит». Получилось то, что должно было получиться: implemented but not wired в реальность.

Три. Агент работал без религии. Без CLAUDE.md/AGENTS.md, без hooks, без profiles, без promotion-механики. У знакомца не было слоя заповедей, не было слоя инквизиции, не было даже слоя предания, в котором накапливаются уроки. Был один большой свод обещаний и vibes-based инжиниринг сверху. Гомеостат без религии работает ровно так, как Лем описал в 1964-м: оптимизирует то, что у него внутри, без оглядки на то, что снаружи.

Если бы я был SDD-апологетом, я бы сейчас закончил так: «поэтому правильный SDD предотвратил бы провал!» Но я не SDD-апологет. И правильный ответ — другой.

Все три причины провала — это разные формы одной и той же ловушки, и эта ловушка глубже всех методологий разом. Знакомец, SDD-фреймворк, который ему это продал, и я с моей метафорой 10 заповедей — мы все делаем одно и то же. Мы пытаемся приземлить агента в привычные нам формы.

SDD приземляет его в форму аналитика 1990-х. Spiral приземляет в форму спринта Agile. Skills/hooks/profiles приземляют в форму корпоративного чек-листа код-ревью. Y2K-эмпирика приземляет в форму инженера-археолога 1999-го. Каждая методология берёт то, что уже работало до агентов, и пытается надеть это на агента. Каждая работает на 20-80%. И каждая не задаёт того самого Лем-вопроса: а нужна ли вообще эта форма.

Лем в 1964 году спрашивал: нужно ли всем заводам оптимизировать выплавку стали? Может быть, цивилизация уйдёт в пластмассы, и завод-гомеостат, оптимизирующий сталь, окажется бесполезным, как бы хорошо он ни оптимизировал. Религия гомеостата — это не «хорошо ли он плавит сталь». Религия — это «надо ли вообще плавить сталь».

В 2026-м тот же вопрос звучит так: а нужно ли вообще писать Excel?

Заказчик говорит «Excel». Агент пишет Excel — нечеловечески эффективно, потому что обучен на корпусе, в котором Excel есть в каждой второй строке. SDD пишет спеку Excel'я. Spiral итеративно улучшает Excel. Y2K-эмпирика собирает миллион Excel-файлов и делает выводы о том, какой Excel лучше. Никто не задаёт вопроса, нужен ли Excel вообще, или это просто привычная для заказчика форма выражения задачи «перемножать столбцы и хранить таблицу с формулами».

Раньше этот вопрос задавал аналитик. Аналитик сидел три недели, разговаривал с заказчиком, выяснял, что на самом деле тот делает в Excel'е, и иногда говорил «слушайте, вам нужна форма ввода и dashboard, а не электронная таблица». Аналитик был переводчиком между формой и сутью.

В мире с агентом аналитик исчез. Заменён на ксеноса. Ксенос не задаёт вопроса о форме — ни в одной методологии его не учили этому, потому что ни одна методология не предусматривает шаг «оспорить постановку задачи». Все методологии — про то, как точнее воспроизвести то, что попросили. Чем лучше методология, тем точнее воспроизведение.

Все наши методологии — включая ту обвязку агента, которую мы сами строим — это разные способы быстрее и качественнее писать Excel в ситуации, когда Excel, может быть, вообще не нужен.

Хорошая шпилька в виде гвоздя в крышку методологического энтузиазма этого спаслания. Спасибо всем кто дочитал.

Все материалы, наброски, замеры и черновики — profgames/codinx. Спасибо Zhet за рассуждения, Mimo за компанию и Лему за то, что в 1964-м всё уже почти описал.