Google публикува на 12 ноември 2026 г. оценка на Agent Anomaly Detection, или AAD, върху пет публични бенчмарка. Според компанията системата е маркирала 87% от вредните инструкции, които агентът действително е изпълнил. Това е последващо откриване, не предотвратяване. Слаб резултат има при отровена памет: четири открити случая от 18 изпълнени. Изследването е проведено от Google с един модел и симулирани приложения; публичният произход на тестовете не го превръща в независим одит. Продуктът остава в Private Preview.
Какво наблюдава системата
Официалната документация описва асинхронен анализ на логове и traces. Тя отбелязва и разширение от 12 ноември за агенти извън Google Cloud, включително AWS и Azure, с ADK за Python 2.12.0 или по-нов. Телеметрията се изпраща към проект в Google Cloud с Workload Identity Federation. Сред изискванията е заснемането на съдържанието на входовете и отговорите. Това е конкретна интеграция с предпоставки за достъп и обработка на данни, а не универсален превключвател за всички агенти.
Контекст дава по-старият AgentDojo, един от използваните бенчмаркове. Оригиналната работа изгражда среда, в която агентът изпълнява задачи с инструменти, но получава и недоверени външни данни. Така може да се оценява дали легитимната работа е завършена и дали е нарушено условие за сигурност. Този източник обяснява тестовия подход; не удостоверява независимо резултатите на AAD.
Защо знаменателят променя прочита
Редакционният ни анализ е, че при защитите за агенти трябва да се задават поне два отделни въпроса: какво действие е станало и какво е научил операторът след него. Наблюдението може да помогне при разследване и подобряване на системата, но вече извършен външен ефект има собствен жизнен цикъл. Сигналът не отменя изпратен документ, не връща автоматично промяна и не доказва, че адресатът не е получил данните.
Един хипотетичен агент за обработка на фактури показва разликата. Ако чужд документ съдържа инструкция за изпращане на копие, полезният контрол преди изпращане трябва да оцени дали потребителят е разрешил тази конкретна операция. Отделна система за наблюдение може да открие необичайното поведение по-късно. Двата механизма имат различни задачи и могат да се допълват. Това е пример за архитектурен анализ, а не описан инцидент или проведен тест.
Подобно разграничение е нужно и при приемането на продукт. Екипът трябва да знае какво счита за вреден резултат, кои действия са допустими, как се обработват сигналите и кой може да предприеме корекция. Без тези определения процент от бенчмарк лесно се превръща в обещание, което измерването не е давало. Отделно трябва да се провери дали наблюдението вижда всички необходими стъпки, вместо да се приема, че липсата на сигнал означава липса на проблем.
Телеметрията също има граници
Предаването на съдържание за анализ изисква решение кои данни могат да бъдат записани, колко време да се пазят и кой да ги чете. За система с поверителни документи това е част от оценката на интеграцията. Не е достатъчно да се провери само дали се появява запис в таблото. Полезно е да има и ясен процес за недостъпна телеметрия или непълен запис.
Практическата стойност на публикацията е откритото измерване на ограничена защита и на слабите ѝ места. SIExpo не е изпълнявал тези бенчмаркове и не твърди, че описаният процент ще се повтори в реална организация. Изборът на защити следва да се опира на собствените задачи, разрешения и последствия от грешките.
Източници: Google - AAD public benchmark results, Google Cloud - Agent Anomaly Detection overview, AgentDojo - original benchmark paper.
Корицата е концептуална AI илюстрация, не документална снимка.
Проверено от редакцията: 2026-11-13T07:35:06.745176+00:00.
