Безопасность: какой доступ к файлам получает ИИ-агент

Какой доступ к файлам получает ИИ-агент — вопрос, на который у интеграции должен быть короткий и проверяемый ответ. В «СуперИнтеллекте» он такой: агент видит только тот периметр, который вы выбрали при подключении, по умолчанию умеет в нём только читать, а любое изменение или удаление подтверждает с вами в чате. Ниже — разбор по слоям на примере двух файловых интеграций: «Google Workspace» (27 инструментов в 4 модулях) и «Яндекс.Диск» (16 инструментов в 3 модулях).

Слой 1. Периметр: до чего агент вообще дотягивается

Периметр — первый и самый важный слой. Он отвечает не на вопрос «что агент умеет», а на вопрос «какие файлы для него существуют». Два файловых коннектора решают его по-разному, и разница принципиальная — от неё зависит выбор сценария.

Google Workspace: агент работает с тем, что создал сам

Интеграция запрашивает доступ по принципу «по файлу»: права выдаются к конкретному файлу, а не ко всему Диску. Практически это значит, что агент видит только те документы и таблицы, которые создал сам через коннектор, либо те, что ему открыли явно. Файлы, созданные вами руками в Google Диске, и чужие документы по ссылке в периметр не попадают — агент честно ответит «не найдено / вне периметра», а не начнёт додумывать. Это сделано намеренно ради безопасности: платформа не получает доступ ко всему вашему Диску. Отсюда и рабочий сценарий — агент создаёт документ или таблицу и дальше полноценно с ними работает: читает, дописывает в конец, вставляет текст в нужное место, заменяет вхождения фразы, ведёт листы таблицы. Порядок подключения описан в инструкции как подключить Google Workspace.

Яндекс.Диск: периметр выбираете вы — до подключения

«Только папка приложения» — рекомендуемый профиль, стоит по умолчанию. Агент видит единственную папку «Приложения/СуперИнтеллект» и не может выйти за неё. Изоляцию обеспечивает сам Яндекс, а не только настройки на нашей стороне.
«Весь Диск» — доступ ко всем файлам Диска. Осмысленно, когда агент должен разбирать уже накопленный архив, но это максимальный периметр из возможных.
«Рабочая папка» — дополнительное сужение поверх выбранного профиля: одна подпапка, за пределы которой агент выйти не сможет.

Комбинация «папка приложения + рабочая папка» даёт самый узкий периметр и при этом не мешает работе: агент читает содержимое файлов, обходит папки с постраничностью, сохраняет результаты, загружает файлы по внешней ссылке прямо на Диск — но только внутри своей песочницы. Настройка занимает пару минут, шаги описаны в инструкции как подключить Яндекс.Диск. В отличие от Google-коннектора, здесь агент работает с вашими существующими файлами — в тех границах, которые вы задали.

Слой 2. Права: по умолчанию только чтение

Второй слой отвечает за то, что агент может делать внутри периметра. По умолчанию у модулей только права на чтение — запись включается вручную, отдельным осознанным действием. Инструменты сгруппированы по модулям, и модули включаются по отдельности, так что можно выдать ровно тот набор, который нужен сценарию.

Google, «Файлы Google Диска» (10 инструментов). Сразу доступны: список файлов с фильтрами по имени, типу и папке, метаданные файла, чтение содержимого как текста, ссылка на файл и список доступных форматов экспорта (docx, pdf, txt, html, md, xlsx, csv, pptx). Запись: создание папки, сохранение подготовленного текста файлом (можно сразу конвертировать в настоящий Google Документ), перезапись текстового файла, переименование, копирование, перемещение.
Google, «Google Документы» (6) и «Google Таблицы» (7). Сразу доступны: чтение текста документа, список листов с их размерами, чтение диапазона в формате A1. Запись: создать документ или таблицу, дописать текст в конец, вставить текст в нужное место, заменить все вхождения фразы, переписать документ целиком, записать или очистить диапазон, дописать строки после последней заполненной, добавить новый лист.
Google, «Доступ и удаление» (4). Выключен целиком. Внутри — выдача доступа конкретной почте (читателем, комментатором или редактором) либо публичной ссылкой, перемещение в корзину, безвозвратное удаление, удаление листа таблицы.
Яндекс.Диск, «Обзор и чтение» (6). Информация о Диске — сколько занято и свободно, какой аккаунт подключён, какой периметр доступа активен; просмотр содержимого папки с постраничностью и сортировкой; плоский список файлов с фильтром по типу; метаданные файла или папки; чтение содержимого как текста; временная ссылка на скачивание для вас.
Яндекс.Диск, «Создание и загрузка» (5). Это уже запись: создать папку, сохранить подготовленный текст файлом, загрузить файл по внешней ссылке прямо на Диск (Яндекс скачивает его сам), копировать, переместить или переименовать.
Яндекс.Диск, «Удаление и публичные ссылки» (5). Выключен целиком. Внутри — удаление, публикация файла и снятие публикации, просмотр корзины и восстановление из неё.

Слой 3. Подтверждения: запись и удаление проходят через вас

Инструменты, которые меняют или удаляют данные, агент не выполняет молча: он показывает, что собирается сделать и с каким файлом, и ждёт подтверждения в чате. Это важнее, чем кажется. Большинство неприятных сценариев с ИИ-агентами — не злой умысел, а неверно понятая формулировка. Подтверждение превращает «агент перезаписал документ» в «я увидел, что он собирается перезаписать документ, и остановил». Второй рычаг здесь — сами формулировки: чем конкретнее задача, тем меньше у модели свободы трактовать её по-своему.

formulirovki-agentu.txt

# Безопасный старт: только чтение (Яндекс.Диск)
Покажи, что лежит в папке «Приложения/СуперИнтеллект/Договоры»,
и прочитай файл «Подряд_2026.pdf» — выпиши сроки и штрафы.

# Работа с документом, который агент создал сам (Google)
Создай Google Документ «Регламент приёмки» с черновиком из трёх разделов.
Дальше дописывай правки в конец — целиком документ не переписывай.

# Безопасная запись в таблицу (Google Таблицы)
Дозапиши три строки после последней заполненной на листе «Заявки».
Существующие строки не трогай и диапазон не очищай.

# Явный запрет на публикацию (Яндекс.Диск)
Файл не публикуй. Если нужна ссылка — дай временную ссылку на скачивание.

Слой 4. Режим «Только чтение» на всю интеграцию

Поверх прав на уровне модулей есть общий переключатель «Только чтение». Он полезен в двух ситуациях. Первая — старт: пусть агент несколько дней читает документы и отвечает по их содержимому, а вы смотрите, как он понимает задачи и что именно предлагает менять. Вторая — сценарии, где агент нужен как аналитик: собрать сводку по договорам, найти условия в PDF, сверить данные между таблицами. В этом режиме записывающие инструменты недоступны независимо от того, какие модули включены, — переключатель имеет приоритет, и на попытку что-то изменить агент получает прямой отказ.

Слой 5. Как устроено подключение и хранение доступа

Подключение выполняется кнопкой «Подключить аккаунт»: вход происходит на стороне Google или Яндекса. Вводить токены вручную и хранить их у себя не нужно.
Токены хранятся на стороне платформы в зашифрованном виде и в браузер не передаются — интерфейсу отдаётся только служебная информация о подключении.
На карточке интеграции видно, какой аккаунт подключён и какой профиль доступа выбран; рядом — «сменить аккаунт» и «отключить».
Подключение живёт на уровне рабочего пространства: периметр и права общие для всех агентов команды. Это упрощает аудит — настройка одна, а не по копии на каждого агента.
Отключение в один клик обрывает доступ сразу для всех агентов пространства.
Вызовы инструментов коннекторов не расходуют нейроны платформы.

Слой 6. Публичные ссылки и безвозвратное удаление

Два действия принципиально отличаются от остальных: их последствия либо выходят за пределы вашего пространства, либо не откатываются. Публичная ссылка в Яндекс.Диске открывает файл всем в интернете без авторизации — не «коллегам по ссылке», а буквально любому, у кого ссылка окажется; то же касается выдачи публичного доступа к файлу в Google. Безвозвратное удаление не кладёт файл в корзину — восстанавливать будет нечего. Поэтому оба действия живут в выключенных модулях, требуют подтверждения в чате и сопровождаются явными предупреждениями. Обычное удаление по умолчанию отправляет файл в корзину: в Яндекс.Диске корзину можно посмотреть и восстановить из неё файл теми же инструментами.

Риск → как он закрыт

Риск	Как он закрыт
Агент увидит документы, которые его не касаются	Google — доступ выдаётся «по файлу»: видно только созданное через коннектор или открытое явно. Яндекс — профиль «Только папка приложения» плюс рабочая папка
Агент перезапишет или испортит файл	По умолчанию у модулей только чтение; запись включается вручную и подтверждается в чате. Для таблиц есть дозапись строк после последней заполненной вместо записи в диапазон
Агент удалит нужные данные	Модули удаления выключены по умолчанию. Удаление по умолчанию идёт в корзину и обратимо, безвозвратное — отдельным флагом и с предупреждением
Файл случайно станет публичным	Публикация живёт в выключенном модуле, требует подтверждения и сопровождается предупреждением, что ссылка открывает файл всем в интернете
Токен доступа утечёт через браузер	Вход выполняется кнопкой на стороне Google или Яндекса, токены хранятся зашифрованными и в браузер не передаются
Нужно быстро всё остановить	Режим «Только чтение» на всю интеграцию, «сменить аккаунт» и «отключить» в один клик на карточке
У разных агентов окажется разный доступ	Подключение одно на рабочее пространство: периметр и права общие для всех агентов команды

Типичные опасения при подключении файловой интеграции и слой, который их закрывает

Почта и календарь — отдельными интеграциями

Gmail и Google Календарь вынесены за периметр этого коннектора намеренно: такие модули потребовали бы расширенных прав ко всей вашей переписке и расписанию — ровно того, чего мы избегаем во всех остальных слоях. Сами задачи при этом закрываются отдельными интеграциями: Почта (SMTP/IMAP) и Календарь (CalDAV). Так доступ остаётся раздельным по назначению: агент, который ведёт документы, не получает заодно вашу почту, и наоборот.

Честные ограничения и лимиты

Google: чтение и экспорт содержимого — до 10 МБ, сохранение подготовленного текста файлом — до 5 МБ.
Google: экспорт таблицы в CSV отдаёт только первый лист — для остальных листов просите агента читать диапазон в формате A1.
Google: файлы, созданные вами вручную в Диске, и чужие документы по ссылке агенту не видны. Это не баг, а граница периметра.
Яндекс.Диск: чтение содержимого — до 15 МБ (pdf, docx, xlsx, csv, txt, json, html), сохранение текста файлом — до 8 МБ.
Яндекс.Диск: у API нет полнотекстового поиска по имени файла. Агент обходит папки и фильтрует в пределах страницы, поэтому указывайте, где искать: «в папке Договоры», а не «где-то на Диске».

С чего начинать: порядок настройки

Начните с Яндекс.Диска в профиле «Только папка приложения» — это самый узкий периметр, и он не требует решать что-либо заранее.
Задайте рабочую папку и сложите туда несколько типовых документов, на которых будете проверять сценарий.
Первые дни держите режим «Только чтение» на всю интеграцию: пусть агент читает и отвечает по содержимому. Так вы увидите, как он понимает задачи, ничем не рискуя.
Включайте запись точечно, под конкретный сценарий: «сохранить сводку файлом», «дозаписать строки в таблицу». Для таблиц предпочитайте дозапись после последней заполненной строки, а не запись в диапазон.
Модули «Доступ и удаление» и «Удаление и публичные ссылки» не включайте, пока не появится регулярная задача, которая без них не решается. Если включили — помните про подтверждения и корзину.
Для Google сразу стройте сценарий вокруг документов, которые создаёт сам агент: черновик отчёта, регламент, таблица заявок, — а не вокруг разбора уже существующего Диска.
Проверьте на карточке, какой аккаунт подключён: подключение одно на всё пространство, и им пользуются все агенты команды. Если платформы ещё нет под рукой — зарегистрируйтесь и подключите первый коннектор.

Частые вопросы

Видит ли агент все файлы в моём Google Диске?

Нет. Интеграция запрашивает доступ «по файлу»: агент видит только те файлы, которые создал сам через коннектор, или те, что ему открыли явно. Документы, созданные вами вручную, и чужие файлы по ссылке остаются вне периметра — на просьбу их найти агент честно ответит, что файла нет. Это осознанное решение ради безопасности: платформа не получает доступ ко всему вашему Диску.

Может ли агент удалить файл без моего ведома?

Нет. Модуль удаления выключен по умолчанию — соответствующего инструмента у агента просто нет. Если вы его включите, удаление подтверждается в чате и по умолчанию отправляет файл в корзину, откуда его можно восстановить. Безвозвратное удаление требует отдельного флага и сопровождается предупреждением.

Где хранится доступ и попадает ли токен в браузер?

Подключение выполняется кнопкой «Подключить аккаунт»: вход происходит на стороне Google или Яндекса, вручную токены вводить не нужно. Токены хранятся на стороне платформы в зашифрованном виде и в браузер не передаются — в интерфейсе видно только, какой аккаунт подключён и какой профиль доступа выбран.

Как быстро отозвать доступ, если что-то пошло не так?

Два способа. Мягкий — включить режим «Только чтение» на всю интеграцию: записывающие инструменты сразу перестают работать, но агент продолжает отвечать по содержимому файлов. Жёсткий — «отключить» на карточке интеграции: доступ обрывается в один клик и сразу для всех агентов рабочего пространства. Там же есть «сменить аккаунт», если нужно перевести подключение на другой профиль.

Мне нужно, чтобы агент работал с уже существующими файлами. Что выбрать?

Яндекс.Диск: в пределах выбранного периметра он работает с вашими существующими файлами — читает PDF, DOCX, XLSX, CSV, TXT, JSON и HTML, обходит папки, копирует и перемещает. Начните с профиля «Только папка приложения» и перенесите туда нужные документы либо задайте рабочую папку внутри всего Диска. Google-коннектор рассчитан на другой сценарий — агент создаёт документ или таблицу и дальше полноценно с ними работает. Подробное сравнение — в материале Google Workspace или Яндекс.Диск.

Проверьте на узком периметре

Безопасность файловой интеграции проверяется не обещаниями, а настройками, которые видно до первого запроса: какой периметр выбран, какие модули включены, стоит ли «Только чтение», какой аккаунт подключён. Начните с самого узкого варианта и расширяйте по мере доверия — обратный порядок обходится дороже. Завести рабочее пространство с ИИ-агентами, базами знаний, МедиаЛабом и запуском кода — на русском и без VPN — можно здесь: my.suin.ai.