Workday запускает Agent Passport: единственный тестировщик — Cisco

На DevCon Workday заявила о своей позиции в области управления корпоративными агентами, запустив Agent Passport с единственным партнёром по безопасности — Cisco. Ранний доступ откроется в Q3 2026, общая доступность — до конца года. Вопрос об ответственности — кто платит, если сертифицированный агент ведёт себя неприемлемо, — официально остаётся открытым.

Именно последний момент наиболее показателен. Все остальные вендоры, продвигающие управление агентами, говорят о доверии, аттестации и стандартах. CTO Workday прямо заявил, что модель распределения ответственности всё ещё обсуждается. Это честнее, чем маркетинговые презентации.

Что произошло

На DevCon на этой неделе Workday представила три взаимосвязанных продукта: Agent Passport, Developer Agent и Agent-Ready Tools. Как сообщал CIO, Agent Passport проверяет безопасность и соответствие требованиям агента перед развёртыванием и непрерывно в процессе работы, разрешая, блокируя или перенаправляя действия агента в реальном времени на основе корпоративной политики.

Проверка охватывает пять категорий рисков: инъекция промптов, джейлбрейк и перехват целей, извлечение системных промптов, утечка данных сотрудников и небезопасные выходные данные. Тесты привязаны к публичным стандартам, включая Mitre ATLAS, и, что важно, сами тесты проводит не Workday. Это делают партнёры по безопасности. Команды безопасности получают подписанную, проверяемую аттестацию с указанием того, кто тестировал агента и что именно проверялось.

На момент запуска существует только один такой партнёр — Cisco. И всё. CTO Workday Гейб Монрой представил этот выбор как осознанный: «Сложно действительно разобраться в стандарте, когда в процессе участвует много партнёров, поэтому мы хотим сделать всё правильно — сначала только с собой и Cisco». Он добавил, что более широкое распространение будет «скоро», не назвав конкретных сроков.

По вопросу ответственности Монрой откровенно признал, что если сертифицированный агент ведёт себя неправильно, вопрос о том, кто несёт последствия, — это то, «с чем мы всё ещё разбираемся с нашими партнёрами». Agent Passport выходит в ранний доступ в Q3 2026, а общая доступность запланирована до конца 2026 года.

Наряду с Passport, Developer Agent позволяет разработчикам создавать AI-приложения и агентов из Claude Code, Cline, Codex, Cursor или Google Antigravity с развёртыванием через открытый стандарт AgentSkills (OASS). Agent-Ready Tools — это корпоративные коннекторы для автономных агентов, поддерживающие MCP и, по заявлению Workday, снижающие галлюцинации и задержки. Оба продукта поставляются клиентам раннего доступа через Workday Extend Professional, с общей доступностью во второй половине 2026 года.

Техническая структура

Если отбросить брендинг, Agent Passport — это runtime-движок политик плюс реестр аттестации. Движок политик находится в пути запроса: агент пытается выполнить действие, Passport проверяет аттестацию и политику и возвращает решение: разрешить, заблокировать или перенаправить. Это знакомая схема для тех, кто разрабатывал API gateway или уровень авторизации service mesh. Новизна — в том, что проверяется, а не в том, как.

Уровень аттестации — это место, где живут интересные архитектурные решения. Привязывая тесты к Mitre ATLAS, который каталогизирует тактики adversarial ML так же, как ATT&CK каталогизирует традиционные, Workday пытается сделать аттестации сопоставимыми между вендорами и тестировщиками. В теории команда безопасности может поставить рядом агента от Вендора A, протестированного Cisco, и агента от Вендора B, протестированного любым следующим партнёром, и сравнить их по одним осям. На практике это работает только если методология тестирования публична и воспроизводима. Источник не раскрывает, насколько глубоко тестовые наборы Cisco, и можно ли проверить исходные артефакты тестов — а это важно, потому что аттестация без проверяемых доказательств сводится к «доверяй тестировщику».

Runtime-сторона выполняет более тяжёлую работу. Инъекция промптов и перехват целей — не статические свойства модели. Они возникают из взаимодействия промптов, инструментов и данных во время запроса. Непрерывная валидация, как её описывает Workday, подразумевает телеметрию от реального выполнения агента, которая возвращается в механизм принятия решений политики. Это ближе к тому, как Anthropic формулирует задачу в руководстве по использованию агентных инструментов: ограничить поверхность инструментов, отслеживать вызовы инструментов и контролировать чувствительные из них.

Agent-Ready Tools с подключением через MCP — разумный архитектурный выбор. MCP стал протоколом по умолчанию для предоставления структурированных интерфейсов инструментов моделям, и поддержка бизнес-объектов Workday означает, что агенты, созданные в Claude Code или Cursor, могут вызывать операции Workday без индивидуальной интеграции каждый раз. Коннекторы Pipedream расширяют этот охват за пределы Workday. Что пока неизвестно: применяются ли runtime-проверки Passport к действиям, осуществляемым через Pipedream, с той же точностью, что и к нативным вызовам инструментов Workday, или граница доверия ослабевает, когда агент покидает собственную плоскость управления Workday. Этот момент стоит прояснить до любого развёртывания в production.

Кто пострадает

Корпоративные platform-команды, сейчас пилотирующие агентов на данных Workday, имеют наиболее чёткий путь к обновлению: дождаться раннего доступа в Q3, провести реальную рабочую нагрузку через Passport и проверить, соответствует ли тестовое покрытие Cisco вашей модели угроз. Проблема возникает у команд, которые уже шесть месяцев строят собственное управление агентами на собственных eval-фреймворках. Если Passport станет де-факто форматом аттестации среди клиентов Workday, внутренние фреймворки либо интегрируются с ним, либо будут выведены из эксплуатации.

Запуск с единственным партнёром — обоюдоострый меч. С одной стороны, один тестировщик означает одну методологию, один контракт и более быструю итерацию. С другой — это означает, что Cisco является единственной точкой отказа для всей модели доверия до появления второго партнёра. Команды безопасности, читающие аттестацию Passport в Q3, на практике читают аттестацию Cisco. Это риск концентрации, который стоит называть своими именами.

Нерешённый вопрос об ответственности бьёт по юридическим и закупочным отделам сильнее, чем по разработчикам. Если агент с печатью Passport допускает утечку данных сотрудников, источник прямо указывает, что Workday, Cisco и заказчик не договорились о том, кто несёт убытки. CIO, подписывающие соглашения о раннем доступе в Q3, должны исходить из того, что по умолчанию ответственность ложится на клиента — пока иное не прописано в контракте. Это не специфическая проблема Workday — у каждого вендора управления агентами тот же пробел, — но Workday одна из немногих, кто говорит об этом публично.

Конкурирующие HR- и финансовые платформы (Oracle, SAP, ServiceNow) теперь имеют референсную архитектуру, на которую нужно реагировать. Ожидайте, что как минимум одна из них объявит собственную схему аттестации до конца 2026 года. Если ставка Workday сыграет, мы должны увидеть пункты о закупках на основе аттестации в корпоративных RFP по AI уже в Q1 2027. Если нет — Passport превратится в очередной vendor-специфичный флажок соответствия, а питч о стандартизации тихо исчезнет.

Практическое руководство для разработки AI

Для команд, выпускающих агентов в этом квартале, практические шаги конкретны и узконаправленны. Во-первых, сопоставьте текущее тестовое покрытие ваших агентов с пятью категориями рисков Passport: инъекция промптов, джейлбрейк и перехват целей, извлечение системных промптов, утечка данных сотрудников, небезопасные выходные данные. Если в какой-либо категории нет автоматизированных тестов — это пробел, который нужно устранить до Q3, независимо от того, принимаете ли вы Passport.

Во-вторых, изучите матрицу Mitre ATLAS и выберите пять тактик, наиболее релевантных для вашего развёртывания. Создавайте eval-кейсы против этих конкретных тактик, а не обобщённые red-team промпты. Аттестации, привязанные к ATLAS, будут сопоставимы между вендорами, поэтому ваши внутренние оценки должны использовать тот же словарь.

В-третьих, если вы уже работаете с MCP, проведите аудит: какие вызовы инструментов действительно обратимы, а какие — нет. Модель allow-block-route Passport помогает только если ваши инструменты спроектированы так, что решение «перенаправить к человеку» имеет смысл для чувствительных операций. Агенты, вызывающие необратимые операции без контрольной точки с участием человека, мало выиграют от runtime-движка политик.

В-четвёртых, для команд, занимающихся developer tooling, список совместимости Developer Agent (Claude Code, Cline, Codex, Cursor, Google Antigravity) — хороший индикатор того, какие IDE-смежные agent runtime имеют корпоративное распространение. Если ваша внутренняя платформа не поддерживает ни один из них, вы находитесь вне предполагаемой developer-поверхности для значительной части корпоративного агентного инструментария, выходящего в H2 2026.

Ключевые выводы

• Agent Passport выходит в ранний доступ в Q3 2026 с Cisco в качестве единственного партнёра по тестированию. Риск концентрации сохраняется до появления второго партнёра.
• Пять категорий рисков тестируются против Mitre ATLAS, формируя общий словарь для межвендорного сравнения — при условии, что методология остаётся публичной.
• Ответственность за некорректное поведение сертифицированного агента официально не урегулирована. Предполагайте, что убытки несёт клиент, пока иное не прописано в контракте.
• Agent-Ready Tools нативно поддерживают MCP. Pipedream расширяет охват за пределы Workday, но runtime-покрытие Passport для внешних действий не раскрыто.
• Проверяемый прогноз: если закупки на основе аттестации приживутся, ожидайте, что как минимум одна конкурирующая платформа (Oracle, SAP, ServiceNow) объявит сопоставимую схему до Q1 2027.