Лабораторный тест с использованием n8n, DeepSeek и HubSpot показал, что ограничение прав модели не гарантирует безопасность всей системы. Хотя у модели отсутствовали учетные данные для записи, оркестратор n8n сохранял полномочия на выполнение операций, что позволяло системе изменять данные в CRM.
В ходе эксперимента с синтетическими сделками LAB-042 и LAB-043 модель сформировала предложение для изменения LAB-043 вместо запрошенной LAB-042. Система выполнила PATCH-запрос, изменив неверный объект. Это подтверждает, что полномочия модели и всей системы — разные понятия.
Для решения проблемы была внедрена детерминированная граница между предложением модели и исполнением запроса. Новый узел проверял параметры перед вызовом API. В этой конфигурации система заблокировала попытку изменения неверной сделки, предотвратив несанкционированную запись.
Результаты показывают, что статус read-only для ИИ-агента нельзя определять только по правам самой модели. Руководителям проектов следует проверять, где физически находятся полномочия на запись и работают ли контролирующие механизмы непосредственно на границе выполнения внешних действий.
