A2A (Agent2Agent) — открытый протокол, по которому ИИ-агенты находят друг друга и передают друг другу задачи. Google представила его в апреле 2025 года, а в июне передала Linux Foundation. Среди основателей проекта — AWS, Cisco, Microsoft, Salesforce, SAP и ServiceNow.
MCP подключает агента к инструментам, а A2A соединяет агентов между собой.
Короткий ответ
Когда ИИ-агенты передают друг другу задачи, появляются пять рисков: обход прав через соседний агент, атака по цепочке, потеря следа, незаметный рост расходов и утечка данных за контур. Их закрывают до подключения: утверждают, кто кому передает задачи, проверяют поручения от агентов как запросы пользователей, ведут общий журнал, ограничивают длину цепочки и знают, на каких моделях работает каждый агент.
Зачем бизнесу A2A
A2A дает сквозные процессы без ручных передач. Агент приема заявок разбирает письмо клиента и передает задачу агенту проверки контрагента, тот — агенту выставления счета. Каждый агент делает свою часть, и люди не пересылают задачи по чатам.
Технически связать агентов несложно. Труднее заранее понять, что пойдет не так, когда задача пройдет через три-четыре агента подряд.
Пять рисков A2A
Обход прав через соседа
У агента продаж нет доступа к платежам, но он может попросить агента бухгалтерии оформить возврат. Операция пройдет, хотя ее никто не согласовывал, и потом будет непонятно, кто за нее отвечает. В безопасности это называют проблемой «запутанного заместителя» (confused deputy): исполнитель с правами действует по просьбе того, у кого этих прав нет.
Заранее описывают, кто кому и какие задачи может передавать. Принимающий агент проверяет отправителя и выполняет только то, что этому отправителю разрешено.
Атака по цепочке
Вот как это происходит:
Письмо со скрытой командой
Агент приема заявок читает входящее письмо. В тексте спрятана команда выгрузить переписку с клиентом и отправить ее на внешний адрес.
Команда становится поручением
Агент принимает команду за часть задачи и передает ее агенту документооборота как обычное поручение.
Утечка под видом штатной работы
Агент документооборота доверяет коллеге и отправляет данные наружу. В журналах это выглядит как обычная работа.
Остановить атаку можно на каждом шаге. На первом — найти команду в письме. На втором — проверить поручение от агента так же строго, как запрос пользователя. На третьем — запретить отправку наружу без подтверждения человеком.
Потеря следа
Задача прошла через пять агентов и закончилась ошибкой. Без общего журнала не выяснить, кто ее начал и на каком шаге случился сбой. Если каждую передачу записывать с общим идентификатором задачи, цепочку можно восстановить целиком.
Незаметный рост расходов
Каждый агент в цепочке тратит токены, а задача может ходить между агентами по кругу. В счете по отдельным запросам такое зацикливание не видно. Длину цепочки ограничивают, а стоимость считают для всей задачи.
Утечка данных за контур
Ваш агент работает на модели внутри компании, а агент, которому он передал задачу, — на модели в облаке поставщика, в том числе зарубежного. Персональные данные и коммерческая тайна уходят туда, где компания их не контролирует, и это риск нарушения 152-ФЗ.
Для каждого агента нужно знать, какая модель за ним стоит и где она обрабатывает данные. Агенту передают только то, что нужно для его подзадачи.
С чего начать
Карта агентов
Составьте список агентов: на каких моделях они работают и кто кому может передавать задачи.
Опасные операции
Закройте отправку данных наружу и платежи подтверждением человека.
Журнал и лимиты
Включите журнал с общим идентификатором задачи и лимиты на длину цепочки до того, как агентов станет больше трех.
Что берет на себя AI Firewall
Задача, которая проходит через несколько агентов, проходит и через несколько моделей. Правила проще соблюдать, когда доступ к моделям собран в одной точке. В AIaaS российские и зарубежные модели доступны через единый API.
Наш AI Firewall поддерживает разрешения на инструменты, проверку параметров вызовов и подтверждение конкретных действий человеком. Длину последовательности вызовов в одном диалоге тоже можно ограничить. Для MCP он проверяет ключи доступа, назначение инструментов и доверие к их описаниям. Для подключенных сценариев делегирования предусмотрены подписанные цепочки полномочий и сужение прав при передаче задачи. Охват защиты зависит от способа подключения и настроенных правил.
Каждый выпуск AI Firewall проходит автоматические проверки, в том числе отдельные наборы для агентов: реестр, серверы MCP, цепочки агентов, обращения к внутренним ресурсам и подтверждение человеком. Обращение агента проверяется целиком, вместе с результатами инструментов, которые агент приносит с собой. На каждом следующем шаге проверяется только новое.
6 500+
автоматических проверок в каждом выпуске
≈2 с
на проверку 30 результатов инструментов в обращении агента
FAQ
Что такое A2A?
A2A (Agent2Agent) — открытый протокол, по которому ИИ-агенты находят друг друга и передают друг другу задачи. Его представила Google в апреле 2025 года, сейчас проект развивается в Linux Foundation.
Чем A2A отличается от MCP?
MCP подключает агента к инструментам и данным: почте, CRM, базам. A2A соединяет агентов между собой, чтобы один мог передать задачу другому.
Кто отвечает за действие, которое агент выполнил по просьбе другого агента?
Это решают до подключения: у каждого агента должен быть владелец процесса, а правила, кто кому и какие задачи передает, утверждают заранее. Тогда по журналу видно, какое правило разрешило операцию.
Предыдущая статья
