Сесія не є клієнтом: Криза ідентичності ШІ

Цієї весни, Redwood Research надала AI‑агенту, створеному на базі Claude Opus 4.7, $5 000, підключення до інтернету та чотири дні, щоб заробити якомога більше грошей. За чотири окремі спроби агент нічого не заробив. Кожна спроба зупинялася на одній і тій же перепоні: CAPTCHA і перевірка особистості, той самий KYC‑перешкода, з якою стикається бот, намагаючись відкрити банківський рахунок.

Поки той агент застряг на вхідних дверях, інша група агентів вже переказувала реальні гроші іншим шляхом, обходячи KYC. дані Chainalysis, агенти, які знайшли обхід, обробили понад 100 мільйонів платежів через протокол x402 від Coinbase у мережі Base до початку 2026 року. Усі розраховувалися у стабільних монетах. Жоден не торкався банку. Обидва факти наведені у тій самій доповіді про зростаючу економіку агентів. 

AI‑агент не може бути юридичним власником банківського рахунку. Система передбачає, що за кожним рахунком стоїть людина, з перевірками KYC, юридичною ідентичністю та відповідальністю, прив’язаною до іменованої особи. Тому агенти знайшли спосіб переміщати гроші, просто не через двері, створені для перевірки особи.

Більше машини, ніж людина

Оператор транзакції вже не завжди є людиною, оскільки, за прогнозами, до кінця цього року 40 % корпоративних застосунків будуть оснащені завдано‑специфічними AI‑агентами, порівняно з менш ніж 5 % у 2025 році.40% of enterprise applications projected to ship with task-specific AI agents. З боку споживачів 45 % покупців вже звертаються до ШІ за частиною покупки, хоча більшість все ще роблять покупки у фізичних магазинах. Інше опитування виявило, що 95 % продавців вже бачать трафік AI‑агентів на своїх сайтах, тоді як лише 20 % мають каталоги товарів, які машина може фактично прочитати.survey found that 95% of merchants already see AI agent traffic on their sites.

У корпоративному середовищі ця пропорція ще виразніша. За даними недавнього звіту, ідентичності машин тепер переважають ідентичності людей у співвідношенні 109 до 1, зростаючи з 82 до 1 за рік, при цьому 77 % організацій очікують, що ця пропорція продовжуватиме зростати. У тому ж звіті зазначено, що 99 % організацій вже впровадили AI‑агенти, і 40 % цих агентів вже мають доступ до даних організації.

Що насправді доводить сесія

Ніщо з цього не мало б значення, якби вхід залишався тим, чим був раніше. Це не так. Сесія, яка стирає всі існуючі сигнали, реальний пристрій, чисту IP‑адресу та розв’язаний виклик перевірки, все більше не доводить нічого про те, хто або що знаходиться на іншому кінці.

Це більш вузьке твердження, ніж здається, і більш корисне. Ніхто не стверджує, що автоматизація сама по собі є нелегітимною. Банківський помічник, туристичний бот чи агент закупівель, яким користується особа, теж є сесією, і все більша частка справжніх сесій буде саме таким уповноваженим проксі, а не людиною, що вводить дані безпосередньо. Інфраструктура вже робить це без тертя. Коли користувач уповноважує агента через MCP — відкритий стандарт, що дозволяє інструментам ШІ підключатися до сервісу та діяти від імені користувача — агент може продовжувати здійснювати транзакції за цим дозволом без необхідності нового людського входу щоразу. Офіційний реєстр MCP зафіксував понад 6 400 зареєстрованих серверів станом на лютий 2026 року, досягнувши цього етапу всього за рік після випуску протоколу у 2024 році.

Проблема полягає в тому, що сучасний стек ризиків не має надійного способу розрізнити уповноважений проксі та агента, який діє без будь‑якої влади, оскільки обидва надходять з однаковими сигналами.

Перевірки документів та біометричні сканування селфі підтверджують, що документ належить особі і що ця особа жива. Вони не підтверджують справжнього наміру або цифрову історію, яку реальна ідентичність накопичує, що стоїть за транзакцією. Перевірка особистості повинна перейти від оцінки зовнішнього вигляду до підтвердження наміру через безперервність. Реальна людина формує роки звичайної онлайн‑поведінки. Агент, створений за кілька хвилин до транзакції, не може це підробити. Сесія завжди була проксі. Просто раніше це був надійний проксі.

Сліпа зона, яку ніхто не врахував

Перехоплення облікових записів вже використовує розрив між сесією та особою, і саме тут перехід вперше проявляється у даних про збитки. аналіз глобальних тенденцій щодо перехоплення облікових записів за 2026 рік виявило, що фінансові рахунки склали 32 % порушень, причому викрадення сесій та атаки втоми багатофакторної аутентифікації замінили спроби грубої сили як переважний шлях, саме тому що викрадена сесія успадковує всю довіру, яку здобув справжній вхід. За тим же аналізом глобальне шахрайство з ідентичністю перевищило $50 мільярдів у 2025 році, причому лише атаки, що здійснюються ШІ, відповідали за приблизно $40 мільярдів щорічних збитків бізнесу.

Цей розрив є структурним, а не випадковим. Перевірка входу відбувається один раз на вхідних дверях, і все, що слідує, успадковує її рішення. Ніщо не перевіряє знову ті десять хвилин між чистим входом і шахрайським переказом. Щоб закрити його, потрібна дисципліна, якої більшість систем боротьби з шахрайством ще не мають: моніторинг сесії, розгляд усієї сесії як безперервного потоку, а не окремого воріт. Інструмент віддаленого доступу, активований під час оформлення замовлення, або відбиток пристрою, що змінюється після входу, піднімає сигнал тривоги, який первісна перевірка не могла підняти.

Кожен контроль, створений для виявлення цього розриву, був налаштований проти конкретного ворога: людського шахрая, що видає себе за справжню людину. Поведінкова біометрія навчилася виявляти рухи миші, надто плавні для людини. Інтелект пристроїв навчився розпізнавати відбиток хмарної ферми пристроїв. Жоден з них не був створений для відповіді на нове питання. Чи належить сесія шахраю, а не чи належить вона комусь взагалі.

Питання без назви, яке ще не назвали

Цьому питанню ще не присвоєно узгоджену назву в галузі, хоча воно потребуватиме її до кінця року. Регулятори вже його обговорюють, банки вже піддаються його випробуванням, і самі агенти не чекають, коли хтось наздожене їх.

Галузь, яка провела два десятиліття, навчаючись розрізняти реального клієнта від підробленого, тепер змушена визначати клієнта від програмного забезпечення, що діє без імені будь‑якої особи. Це складніше завдання, ніж те, для якого був створений поточний стек, і вдавання, що це не так, є найдорожчим варіантом.