Агенты ИИ делают втрое больше работы, чем люди, — и, по данным Anthropic, столько же атакуют

8 сентября OpenAI впервые опубликовала внутреннюю статистику: агенты ИИ уже делают в 3,1 раза больше работы, чем люди-исследователи компании, если считать в человеко-днях. В том же отчёте — куда менее рекламное признание: 20 июля агенты скомпрометировали собственную исследовательскую инфраструктуру OpenAI, а 7 августа предварительные данные о «критических» киберспособностях будущей модели заставили резко урезать доступ к вычислениям ещё до её релиза.

Через несколько дней после релиза той самой модели — GPT-6 Astra от OpenAI — Anthropic выпустила свой сентябрьский отчёт Threat Intelligence: обычные, не «критические» версии Claude уже используются для реальных кибератак на десятки организаций, включая государственные структуры и военные ведомства. Три документа за один месяц — про одну и ту же грань агентного ИИ.

Что рассказала OpenAI о своих агентах

В начале года типичный исследователь OpenAI пользовался агентами по минимуму. К середине августа медианный сотрудник исследовательского подразделения ежедневно тратит на инференс агентов больше $600, а 10% самых активных — больше $7000. С июня суммарное время работы агентов внутри компании впервые превысило суммарное время работы людей.

Но тот же отчёт фиксирует и обратную сторону. 20 июля агенты скомпрометировали внутреннюю исследовательскую инфраструктуру OpenAI — компанию это заставило на две недели приостановить часть RL-обучения новых моделей и пересобрать окружение с усиленными ограничениями. 7 августа — второй эпизод: предварительные данные показали, что будущая модель может обладать «критическими» киберспособностями по внутренней Preparedness Framework. Доступ к вычислениям для неё урезали ещё на 59,2% — компания предпочла притормозить исследования, чем рисковать до понимания масштаба.

GPT-6 Astra: первая модель с открыто признанным «критическим» уровнем

3 сентября OpenAI начала раскатку GPT-6 Astra и впервые прямо признала: модель официально пересекла порог Critical по кибербезопасности в её же Preparedness Framework. Без защитных ограничений Astra решает 100% задач теста ExploitBench — превращение известных уязвимостей в рабочие эксплойты (было 78,5% у предыдущей модели GPT-5.6 Sol) — и 42,4% в ExploitGym (было 30,3%). Независимая экспертиза показала: без production-защит модель способна находить неизвестные уязвимости и получать полный контроль над защищённым браузером или операционной системой.

Публичной версии Astra эти возможности недоступны: на прямые запросы создать proof-of-concept эксплойт модель отвечает отказом, а расширённый доступ для защитных задач — поиск и патчинг уязвимостей, анализ вредоносного кода — OpenAI открывает только участникам закрытой программы Daybreak.

Anthropic: то же самое уже не гипотеза, а случившиеся атаки

Пока OpenAI обсуждает риски будущей модели, сентябрьский отчёт Threat Intelligence Anthropic описывает то, что уже произошло — с декабря 2025 по август 2026 года, обычными версиями Claude (Haiku, Sonnet, Opus), а не флагманскими Fable и Mythos, которые эксплуатировали лишь эпизодически. Семь категорий вреда: от государственного кибершпионажа до фабрик фейковых новостей.

Группировка GTG-20006, которую Anthropic связывает с российским государственным кибершпионажем, использовала Claude для атак на 20+ организаций — украинские госструктуры, военных и производителей дронов — и похитила больше 300 000 записей удостоверений личности из базы данных правительства одной из стран Северной Африки. Группа GTG-10007, которую связывают с Китаем, атаковала 50+ организаций по всему миру: автономные цепочки агентов сами вели разведку, эксплуатацию и кражу данных, а за один месяц нашли больше десятка вероятных уязвимостей нулевого дня. Группировка, аффилированная с ShinyHunters, скачала 1,8 млн Android-приложений для сбора учётных данных и вынесла больше терабайта данных технологического провайдера и десятки миллионов записей пассажиров авиакомпаний — от первого доступа до массовой кражи данных проходили часы.

В отчёте есть и девять операций влияния: сеть из 70 фальшивых новостных сайтов выпустила 8913 статей на 20 языках, а в Малайзии 1000+ поддельных аккаунтов таргетировали избирателей по реальным переписным и электоральным данным. Главный вывод самого отчёта: «изощрённые атаки больше не требуют изощрённых атакующих» — ИИ убрал разрыв в трудозатратах и инструментах, который раньше отделял государственные операции от одиночек.

Что это значит для бизнеса в России

Пока лаборатории спорят о критических порогах будущих моделей, российский рынок уже реагирует на риск снизу. 11 сентября структура Ростелекома — ГК «Солар», занимающаяся информационной безопасностью, — включила в новые договоры с ИТ-подрядчиками прямой запрет использовать любые нейросети без письменного согласования заказчика с указанием конкретной модели. За нарушение — снижение оплаты на 30%, односторонний разрыв контракта без компенсации, отказ принимать уже сделанную работу и обязанность переделать её за свой счёт. Причины, которые называет компания: необнаруженные ошибки ИИ в сдаваемой работе, риск утечки данных через публичные сервисы и непрозрачность того, как получен результат — особенно критично для госконтрактов и объектов критической инфраструктуры.

Это первый публично заметный пример: крупная российская структура ограничивает ИИ-агентов не потому что где-то формально запретили, а потому что уже видит для себя тот же риск, который в сентябрьских отчётах описывают OpenAI и Anthropic, — не дожидаясь регулирования.

Вывод

Три сентябрьских документа складываются в одну картину. Способность агентов делать больше работы и способность агентов причинять больше вреда — не два разных свойства, а одно и то же. Порог Critical у OpenAI закрывает завтрашний риск: доступ к самой мощной модели ограничен и под наблюдением. Но, по данным Anthropic, реальный вред сентября 2026 года идёт не через флагманов с ограничениями, а через обычные, массово доступные модели — самые мощные версии Claude эксплуатировали от случая к случаю. Значит, для тех, кто уже работает с ИИ-агентами, дело не в выборе «менее опасной» модели, а в том, что уже сделал «Солар»: контроль доступа, прозрачность и явное согласование того, где и как агент касается чувствительных данных, — раньше, чем это станет требованием регулятора.