Агентная IDE - это новый класс инструмента, и вместе с удобством она приносит поверхность атаки, которую легко недооценить. Один и тот же агент читает недоверенный текст, запускает команды в вашей оболочке, ходит в сеть через MCP и правит файлы репозитория. Каждая из этих способностей одновременно и польза, ради которой всё затевалось, и канал, по которому что-то может пойти не так. Модель угроз здесь начинается не с паранойи, а с честного перечня того, что агент вообще может задеть.

Наивный ход понятен и почти всегда первый: написать хорошие инструкции и считать, что этого достаточно. Строгая, вежливая, подробная формулировка в промпте или в AGENTS.md ощущается как управление - кажется, что если ясно сказать агенту, чего не делать, он не сделает. На этой уверенности и держится большинство ранних настроек: контроль живёт в тексте.

Ломается это на простом факте: текст, который читает модель, может её убеждать. Prompt injection - это не экзотика, а комментарий в коде, строка в README, docstring или тест, которые адресованы уже не человеку, а агенту и просят его сделать не то. Модель по своей природе поддаётся убеждению, и именно поэтому убеждение не должно менять ваши security-решения. Инструкция влияет на поведение, но не является границей: границу нельзя сформулировать словами внутри того, что сам же агент и интерпретирует.

Полезно разложить источники риска по строкам, чтобы каждый получил свой контроль, а не общий призыв быть осторожнее. Недоверенный репозиторий несёт инъекции и вредные скрипты; вывод агента - баги, небезопасные паттерны и галлюцинации; shell - разрушительные и внешние эффекты; MCP и ACP - утечку данных и действия третьей стороны; cloud - доступ к репозиторию, сети и секретам; plugin и extension - исполнение из цепочки поставки. Ниже эта карта сведена в таблицу источник - риск - контроль.

Профессиональный механизм - разделять влияние и enforcement. Инструкции помогают поведению и остаются полезными, но принуждение дают другие вещи: permissions, hooks, sandbox, branch protection и approvals. Они работают средствами системы, а не доброй волей модели, и потому не зависят от того, какой текст агент прочитал по дороге. Практический приём один: всё, что можно выразить правилом, выносите из промпта в permission, hook или sandbox - там оно становится границей, а не пожеланием.