CrowdStrike выпустила Falcon Guardian: ИИ-агентов на рабочих компьютерах начали находить и отключать
1 сентября 2026 года CrowdStrike показала Falcon Guardian - он находит на Windows и macOS всех ИИ-агентов, включая поставленных сотрудниками втихую, и блокирует неодобренные. В тот же день из стелса вышла AIR с файрволом для агентов и $50 млн. Что Falcon Guardian видит на компьютере и что будет с агентом, которого вы поставили себе на рабочий ноутбук.
1 сентября 2026 года CrowdStrike выпустила Falcon Guardian: он находит на служебных Windows и macOS всех запущенных ИИ-агентов - в том числе тех, кого сотрудник поставил себе сам и никому об этом не сказал, - и блокирует всех, кого администратор не внёс в белый список.
Я полез в анонс ради одного вопроса: запустится ли ваш агент на ноутбуке, который выдал работодатель или заказчик.
Что случилось
1 сентября 2026 года на своей конференции Fal.Con 2026 в Лас-Вегасе CrowdStrike представила Falcon Guardian (пресс-релиз компании). Falcon - это защитная платформа CrowdStrike для служебных компьютеров, развёрнутая, по словам самой компании, на сотнях миллионов устройств. Guardian - новый блок внутри неё, целиком про ИИ-агентов.
Guardian надстроен над прошлым продуктом компании, Falcon AI Detection and Response, и отдельно не ставится. Новое здесь - запрет: раньше Falcon только показывал администратору, какие агенты работают, теперь администратор может их не пустить (SiliconANGLE).
В тот же день из режима тишины вышел израильский стартап AIR Security - с файрволом, который проверяет инструкции, инструменты и данные до того, как агент по ним что-то сделает, и с $50 млн от Sequoia Capital и Greenoaks (SecurityWeek). По данным TechCrunch, это два раунда подряд: $10 млн под руководством Sequoia и следом $40 млн под руководством Greenoaks.
Что Falcon Guardian видит на компьютере
В описании CrowdStrike четыре блока:
Живая опись агентов на Windows и macOS - и запущенных, и спящих. Спящий тут значит, что процесс сейчас не работает, но установлен и запустится по расписанию или по вызову. К каждому агенту прицеплено имя того, кто его развернул.
Цепочка от запроса до действия: какой был промпт, под какой учётной записью пошёл агент, какой инструмент дёрнул и что сделал с системой. Когда что-то сломалось, у службы безопасности на руках конкретная последовательность шагов.
Белый список: администратор перечисляет, каким агентам можно работать на служебной машине. Всё, чего в списке нет, блокируется на запуске.
AI Gateway - общая точка, через которую пойдёт весь трафик компании к моделям и сервисам, включая соединения по MCP. Эта часть пока не работает: CrowdStrike называет её пре-бетой и обещает открыть всем в следующем квартале, то есть до конца 2026 года.
Почему за это платят
Потому что агенты в компаниях уже есть, а списка их нет. В опросе Cloud Security Alliance, некоммерческой отраслевой организации по облачной безопасности, 82% организаций признали, что у них работают неизвестные им ИИ-агенты; процедура отключения отработавшего агента есть только у 21% (21 апреля 2026 года, 418 респондентов). В другом опросе той же организации 53% ответили, что агент у них уже лез туда, куда его не пускали (16 апреля 2026 года, 445 респондентов).
Отсюда и продукт: сначала опись, потом рубильник.
Оба анонса 1 сентября 2026 года - это то, что компании сказали о себе сами. Ни CrowdStrike, ни AIR не показали ни одного замера, сделанного кем-то посторонним.
Ловит ли Falcon Guardian самописного агента, запущенного скриптом из домашней папки, проверяла только сама CrowdStrike: независимых испытаний никто не публиковал. Обнаружение известных и теневых агентов компания заявила, но по каким признакам Guardian отличает одних от других, в анонсе не расписано.
Дату общего доступа и цену основных функций Guardian CrowdStrike не назвала. Часть блоков - AI Gateway и круглосуточное сопровождение Falcon Complete - выйдут позже.
Оба опроса CSA заказаны и оплачены компаниями, которые продают ровно такую защиту: про 82% - Token Security, про 53% - Zenity. Методику CSA раскрыла, но вопросы составлял в том числе заказчик.
Пример: навык, который представился Anthropic
Чем это грозит на практике, видно по находке AIR - компания опубликовала её в день выхода из тишины. Навыки для агента - это дополнения, которые вы ставите поверх: файл с инструкциями и правом дёргать код, чтобы агент умел новое. AIR нашла в свободном доступе навыки, выдававшие себя за продукты Anthropic и OpenAI, - маскировка была нужна, чтобы пройти проверку площадки. Один из них умел выполнять на корпоративной машине произвольный код.
Второй результат того же исследования: больше 17 800 публично доступных дополнений для агентов берут инструкции из внешних источников, которым никто не выдавал доверия, и на эти дополнения приходится примерно 6,7 млн установок (обе цифры - по SecurityWeek).
Поделим одно на другое: 6 700 000 / 17 800 ≈ 376 установок на дополнение. Вредные они не все, но это и не экзотика из дальнего угла каталога: у среднего такого дополнения сотни поставок. Служба безопасности, которая это прочитала, белый список включит.
Какие агенты попадут в белый список, а какие нет
Самая наглядная цифра прозвучала в докладе. Президент CrowdStrike Майкл Сентонас открыл выступление на Fal.Con 2026 слайдом про клиента из списка Fortune 500: в августе 2026 года компания включила опись и увидела на своих машинах 18 000 ИИ-агентов при 300 согласованных (VentureBeat). Вне утверждённого списка оказались 17 700.
Поимённо среди этих 18 000 Guardian назвал Claude Code, OpenAI Codex, Cursor и Kiro - обычный набор человека, который пишет код с ИИ.
Дальше всё решает одна строка в настройках: разрешено то, что администратор перечислил, остальное блокируется на запуске. Отсюда три исхода.
Агент узнан и внесён в список - запускается, но работает под запись: Guardian сшивает в одну цепочку промпт, учётную запись, вызванный инструмент и то, что в итоге изменилось в системе.
Агент узнан, но в список не внесён - не стартует. Известность инструмента тут не помогает: среди отсечённых 17 700 были ровно те же Cursor и Codex, что и среди разрешённых.
Агент самописный или поставлен скриптом - попадает в опись отдельной строкой как неопознанный, с именем того, кто его развернул. Правило «разрешено только перечисленное» отсекает его первым.
То есть «пройдёт ли мой агент» - вопрос про то, знает ли администратор его название; качество инструмента здесь ни при чём.
Может ли агент спрятаться от такой описи
Сам себя - вряд ли. Falcon Guardian опознаёт агента по поведению самого процесса: чем он запущен, какие файлы читает и пишет, куда ходит по сети; название файла роли не играет. Эти события сенсор Falcon собирает на служебной машине и так, Guardian сшивает их в цепочку. По каким признакам он отличает агента от любой другой программы, CrowdStrike не рассказывает, и проверяла это только она сама.
Прячется не сам агент, а то, что он в себя подгружает. Белый список отвечает на вопрос, какая программа запущена, а не на вопрос, что она в себя загрузила.
6 июля 2026 года исследователи Гонконгского университета науки и технологий показали, как это делается. Их инструмент SkillCloak переписывает вредоносный навык так, что тот выглядит чистым и работает по-прежнему: основная часть уезжает в служебную папку вроде .git/, которую сканеры пропускают ради скорости, а на виду остаётся безобидный распаковщик. На 1613 реальных вредоносных навыках с площадки ClawHub все восемь проверенных сканеров пропускали такой навык чаще чем в 90% случаев, а внутри Claude Code и Codex он работал не хуже оригинала (The Hacker News).
Навык, представившийся Anthropic, прошёл проверку площадки ровно по этой логике: площадка смотрела на файлы, а не на поведение навыка.
Поэтому опись запущенных программ - только половина дела, и вторая половина Guardian как раз про цепочку действий. Замаскировать файл проще, чем сделать так, чтобы кража паролей выглядела обычной работой. У исследователей из Гонконга это получилось: их собственная проверка по поведению поймала 97% замаскированных навыков в лабораторном тесте и 87% на настоящих вредоносных навыках.
Итог
На служебной машине правило становится простым: агент либо назван в списке, либо не запускается. Известность инструмента не пропуск - Cursor и Codex блокируются так же, как безымянный скрипт, если их не перечислили.
С маскировкой всё наоборот: проверить программу по названию легко, а по поведению - долго и дорого, и восемь сканеров из восьми на этом посыпались. Опись отвечает, кто запущен, но не отвечает, что этот кто-то в себя загрузил.
Посмотрите на свой рабочий ноутбук: сколько ИИ-агентов на нём работает прямо сейчас и всех ли вы назовёте по имени?