Почему каждый инструмент, который вызывает мой агент, проходит авторизацию, а их последовательность — нет?

ИИ-агенты выполняют вызовы инструментов, каждый из которых отдельно проходит стандартную проверку прав доступа. Однако последовательность вызовов на уровне сеанса, каждый из которых разрешен по отдельности, может сформировать возможность, которую никто не одобрял: чтение файла настроек, поиск в нём шаблонов учетных данных, а затем отправка результата методом POST на внешний конечный пункт. Традиционная авторизация работает на уровне отдельного вызова и не учитывает, к чему может привести последовательность таких вызовов. Инцидент с Cline в феврале 2026 года наглядно продемонстрировал это: вредоносная задача на GitHub объединила отдельно допустимые операции чтения и записи в установку пакета, которая распространилась на 4 000 компьютеров разработчиков. Авторизация, управляемая намерениями на уровне последовательностей, на сегодняшний день не существует в качестве производственного примитива.