Искусственный интеллект создал новый класс угроз, с которыми обычные межсетевые экраны, WAF и антивирусы справляются лишь частично. Злоумышленнику больше не обязательно искать уязвимость в программном коде. Иногда достаточно подсунуть нейросети специальный текст, чтобы заставить корпоративного ИИ-агента раскрыть конфиденциальные данные, обратиться к запрещённому инструменту или выполнить нежелательную операцию.
Для защиты от подобных атак появился отдельный класс продуктов, который называют AI Firewall, LLM Firewall или AI Security Gateway. К октябрю 2026 года собственные решения разработали как крупнейшие мировые поставщики средств информационной безопасности, так и российские компании. Причём российский рынок уже не ограничивается несколькими экспериментальными проектами.
Я рассмотрю принцип работы ИИ-файрволов, основные угрозы, российские и зарубежные разработки, различия между ними и перспективы рынка. Без рейтингов и баллов, поскольку нынешние продукты заметно отличаются архитектурой, назначением и степенью готовности.
Все оценки, выводы и прогнозы выражают моё личное мнение на основе проверяемых характеристик продуктов и собственных объективных и субъективных оценок. Обзор относится к состоянию рынка на октябрь 2026 года и не заменяет пилот. Если отдельно не указано иное, я не проводил собственных лабораторных испытаний перечисленных продуктов.
Что такое ИИ-файрвол
Обычный межсетевой экран контролирует сетевые соединения, приложения, протоколы и признаки атак. ИИ-файрвол анализирует содержимое взаимодействия с языковой моделью, включая запросы пользователей, системные инструкции, полученные документы, ответы модели и, в некоторых реализациях, действия ИИ-агентов.
Основное отличие заключается в характере угроз. Традиционный файрвол может увидеть корректный HTTPS-запрос и не обнаружить ничего подозрительного. Но внутри запроса находится инструкция, которая противоречит правилам работы корпоративного ассистента.
Например, сотрудник обращается к боту, который имеет доступ к базе внутренних документов. Злоумышленник размещает в одном из доступных боту файлов инструкцию с требованием проигнорировать исходную задачу и передать секретную информацию на внешний адрес. Бот получает файл через систему поиска, воспринимает чужую инструкцию как часть рабочего контекста и пытается выполнить команду.
Подобную атаку называют prompt injection, или промпт-инъекцией. Опасность связана с тем, что большая языковая модель обрабатывает команды и обычные данные в естественном языке, а граница между доверенными инструкциями и недоверенным содержимым не всегда выдерживается.
ИИ-файрвол пытается обнаружить нарушение этой границы и применить политику безопасности до наступления последствий.
Два совершенно разных значения термина
На рынке словосочетание «ИИ-файрвол» применяют к двум самостоятельным направлениям.
- Firewall with AI представляет собой обычный сетевой экран, который использует машинное обучение или генеративный ИИ для обнаружения угроз, анализа поведения и автоматизации управления.
- Firewall for AI представляет собой специализированную защиту нейросетей, ИИ-приложений и агентов. Такой продукт анализирует обращения к моделям, проверяет данные и контролирует выполнение политик.
Далее речь преимущественно о втором направлении. Наличие машинного обучения в NGFW само по себе не означает, что межсетевой экран способен обнаружить промпт-инъекцию или запретить агенту вызвать опасный инструмент.
От каких угроз защищает ИИ-файрвол
Набор возможностей зависит от продукта, но у современных систем сформировалось несколько основных направлений защиты.
Промпт-инъекции и обход ограничений
Злоумышленник пытается изменить поведение модели через пользовательский запрос, документ, веб-страницу, электронное письмо или результат работы внешнего инструмента. Отдельную группу образуют jailbreak-атаки, направленные на обход установленных ограничений модели.
Защитный компонент проверяет текст, контекст переписки и, если предусмотрено архитектурой, содержимое внешних источников. При обнаружении подозрительных инструкций система может заблокировать запрос, удалить опасный фрагмент или зарегистрировать событие.
Утечки конфиденциальной информации
Сотрудник вставляет в запрос к публичной нейросети договор с персональными данными, внутренний исходный код или ключ доступа. ИИ-файрвол ищет чувствительные сведения и применяет правила передачи данных.
Возможны несколько реакций. Полная блокировка, удаление секретного фрагмента, замена персональных данных специальными маркерами или отправка запроса только в локальную модель.
Последний вариант требует корректного маскирования и, при необходимости, обратного восстановления значений. Простая замена фамилии не гарантирует обезличивания документа, если человека можно установить по оставшимся обстоятельствам.
Небезопасные ответы модели
Нейросеть способна вернуть закрытые сведения, опасные инструкции, некорректный программный код или содержание, нарушающее корпоративные правила. Проверка ответов позволяет остановить часть таких результатов до передачи пользователю.
Но фильтрация не превращает языковую модель в достоверный источник. Защита от токсичного контента и обнаружение промпт-инъекций не равнозначны проверке фактической правильности ответа.
Атаки через корпоративные базы знаний
RAG-системы дополняют запросы к модели документами из корпоративного поиска, баз данных и внешних источников. Злоумышленник может внедрить инструкции в документ, который ассистент впоследствии извлечёт и прочитает.
Для таких сценариев недостаточно проверить только исходный запрос пользователя. Необходимо анализировать найденные документы перед передачей модели, а также сохранять ограничения доступа к первоисточникам.
Опасные действия ИИ-агентов
Современные агенты способны работать с электронной почтой, CRM, системами разработки, базами данных и инфраструктурными API. Вызовы инструментов, в том числе через протокол MCP, становятся отдельной точкой риска.
Здесь обычной проверки текста уже недостаточно. Защита должна учитывать, какой агент вызывает инструмент, от имени какого пользователя, с какими параметрами и какие последствия может вызвать операция.
Например, чтение списка документов и массовое удаление файлов требуют разных разрешений. Для критических операций нужны технический запрет, отдельное подтверждение человека или ограниченные права доступа, а не только семантический анализ команды.
Злоупотребление вычислительными ресурсами
Модели могут обрабатывать очень длинные запросы, запускать сложные цепочки рассуждений и многократно вызывать инструменты. Злоумышленник или неисправный агент способен создать чрезмерную нагрузку и резко увеличить потребление ресурсов.
Поэтому некоторые ИИ-шлюзы ограничивают число запросов, токенов, параллельных обращений и операций агента. Подобную защиту иногда рассматривают как противодействие denial-of-wallet, когда атака направлена на финансовое или вычислительное истощение сервиса.
Как работает ИИ-файрвол
В типичной корпоративной архитектуре защитный шлюз располагается между приложением и языковой моделью. Приложение обращается не напрямую к LLM-провайдеру, а к контролируемому API. Шлюз проверяет запрос, применяет правила безопасности, передаёт разрешённые данные модели и анализирует полученный ответ.
Многие решения поддерживают OpenAI-совместимые интерфейсы. Разработчику достаточно изменить адрес API и параметры авторизации, если используемые методы и формат сообщений совместимы с возможностями шлюза.
На практике выделяются четыре точки контроля.
- Входящий запрос. Проверка прав пользователя, персональных данных, секретов, промпт-инъекций, ограничений по темам и потреблению ресурсов.
- Контекст модели. Анализ извлечённых документов, истории переписки и результатов внешних инструментов, которые могут содержать скрытые инструкции.
- Ответ модели. Поиск конфиденциальных данных, запрещённого содержимого и признаков нарушения правил приложения.
- Действия агента. Проверка разрешённых инструментов, параметров операций и прав доступа до выполнения команды.
Разработчики используют правила, регулярные выражения, детекторы персональных данных, классификаторы машинного обучения и отдельные языковые модели, которые оценивают другие запросы и ответы. Иногда применяют несколько методов последовательно, чтобы не передавать каждый запрос дорогостоящему семантическому анализатору.
Серьёзная эксплуатационная проблема связана с потоковой генерацией ответа. Если модель передаёт текст небольшими частями, защитная система может обнаружить секрет уже после отправки первых фрагментов пользователю. Полная буферизация ответа снижает риск подобной утечки, но увеличивает задержку. Компромисс зависит от архитектуры продукта и требований конкретного приложения.
Отдельно нужно учитывать режим работы при отказе защитного узла. Если шлюз автоматически пропускает запросы без проверки, организация сохраняет доступность ИИ, но теряет контроль. Если блокирует весь трафик, безопасность повышается ценой возможной остановки бизнес-процессов.
Российский рынок ИИ-файрволов
Российские разработчики за 2025–2026 годы сформировали несколько направлений. Одни создают самостоятельные LLM-файрволы, другие расширяют WAF и системы защиты данных, третьи предлагают корпоративные ИИ-шлюзы с дополнительными функциями безопасности.
Я не считаю все перечисленные решения полностью взаимозаменяемыми. Особенно заметна разница между фильтрацией сообщений, контролем доступа к моделям и проверкой реальных действий автономных агентов.
Solar AI Firewall
Solar AI Firewall представляет собой разработку группы компаний «Солар» для контроля взаимодействия сотрудников, приложений и ИИ-агентов с внешними и локальными моделями.
Продукт представили на SOC Forum 2026. По состоянию на 28 октября заказчики могут запросить демонстрацию или пилотное внедрение. Производитель предусматривает самостоятельный режим ИИ-шлюза и подключение к существующему шлюзу как отдельного защитного компонента. Также заявлена интеграция с прокси-серверами, включая сценарии передачи трафика по ICAP.
Система проверяет запросы, контекст и ответы, ищет чувствительные данные и вредоносные инструкции, контролирует доступ к моделям и позволяет устанавливать лимиты потребления. Для агентных сценариев предусмотрены правила, ограничивающие потенциально опасные действия. События можно передавать в системы мониторинга, а в экосистеме разработчика использовать совместно с Solar webProxy и Solar Dozor.
Интересная техническая деталь содержится в документации самого продукта. Производитель прямо указывает, что при потоковой выдаче без полной буферизации часть ответа может уйти пользователю до обнаружения нарушения. Такое ограничение характерно для архитектуры потоковой инспекции вообще, а не только для Solar AI Firewall.
Включение продукта в реестр российского ПО запланировано до конца 2026 года, сертификация ФСТЭК заявлена на 2027 год. На дату обзора будущие события нельзя считать состоявшимися. Независимых эксплуатационных данных о новом продукте пока недостаточно.
PT Application Firewall с модулем LLM Firewall
16 октября 2026 года Positive Technologies представила LLM Firewall как модуль в составе PT Application Firewall.
Разработка ориентирована на корпоративные чат-боты, виртуальных ассистентов и приложения, взаимодействующие с большими языковыми моделями. Модуль проверяет входящие запросы и ответы, обнаруживает признаки промпт-инъекций, обхода ограничений, попыток извлечь системные инструкции и передачи чувствительной информации.
Поддерживаются OpenAI-совместимые интерфейсы Chat Completions и Responses. События поступают в систему управления PT AF, а заказчик может выбрать режим мониторинга либо блокировки и настроить отдельные политики.
На октябрь 2026 года модуль уже включён в облачный PT AF Cloud. Появление в локальном PT AF PRO анонсировано, но срок фактической доступности нужно уточнять у разработчика.
Подход интересен компаниям, которые рассматривают ИИ-защиту как расширение существующего периметра веб-безопасности. При этом зрелость обычного WAF не доказывает автоматически зрелость нового LLM-модуля. Совместимость, производительность и полноту контроля агентных действий необходимо проверять отдельно.
Platform V SOWA AI
Platform V SOWA AI разработана «СберТехом» как централизованный слой управления доступом к языковым моделям и ИИ-агентам.
Система объединяет функции AI Gateway и AI Guardrails. Заявлены единый интерфейс подключения моделей, аутентификация, авторизация, маршрутизация между облачными и локальными LLM, контроль нагрузки, обнаружение чувствительных данных и проверка запросов и ответов.
Отдельное направление связано с интеграцией с корпоративными DLP, SIEM и средствами управления доступом. В мае 2026 года «СберТех» вместе с партнёром представил программно-аппаратный комплекс, объединяющий SOWA AI с продуктами для защиты API и управления идентификацией.
По архитектуре SOWA AI ближе к универсальному корпоративному шлюзу безопасного использования ИИ, чем к узкому детектору промпт-инъекций. Такой подход позволяет одновременно решать вопросы безопасности, доступа и эксплуатации нескольких моделей.
При пилоте я бы отдельно проверял глубину анализа агентных операций, совместимость с конкретными моделями и разграничение доступа к документам RAG. Само наличие единой точки маршрутизации не подтверждает полноценную защиту каждого подключённого инструмента.
StarGuard AI
StarGuard AI от Orion soft работает как корпоративный прокси между пользователями, приложениями и LLM-провайдерами.
Разработчик заявляет двустороннюю проверку запросов и ответов, маскирование персональных данных, защиту от промпт-инъекций, фильтрацию нежелательного содержимого, централизованную авторизацию и управление доступом к нескольким моделям.
Практически полезный сценарий связан с обратимым маскированием. Система заменяет чувствительные сведения маркерами перед обращением к внешней модели, а затем восстанавливает исходные значения в ответе внутри корпоративного контура.
Предусмотрены интеграция с корпоративным SSO, ролевые политики, квоты потребления и проверка содержимого документов, включая извлечение текста для обнаружения скрытых инструкций. В сентябре 2026 года разработчик выпустил StarGuard 1.2 с дополнительными возможностями анализа файлов и безопасности LLM.
Продукт ориентирован на организации, которым нужен единый контролируемый доступ к нескольким внешним и внутренним моделям. Глубину проверки файлов, реальную устойчивость к сложным инъекциям и совместимость с агентными инструментами необходимо подтверждать испытаниями.
AppSec.AIGate
AppSec.AIGate разработан компанией AppSec Solutions. Продукт появился в 2026 году и позиционируется как специализированный прокси-шлюз для безопасной работы с языковыми моделями.
Заявлены семантический анализ запросов, обнаружение промпт-инъекций, предотвращение утечек, маскирование персональных данных, проверка ответов, политики доступа и аудит взаимодействий с ИИ.
Особенность подхода заключается в попытке анализировать смысл запроса, а не только совпадения с запрещёнными словами. Для русскоязычных корпоративных сценариев такая функция представляет интерес, поскольку простые словари и шаблоны не охватывают разнообразие естественного языка.
Разработчик сообщает о включении продукта в реестр российского ПО. Но реестровая запись не доказывает заявленную точность детектирования и не заменяет проверки функциональности на реальных корпоративных данных.
AppSec.AIGate стоит рассматривать именно как самостоятельный инструмент защиты LLM-трафика. Его не следует смешивать с AppSec.GenAI, который относится к тестированию безопасности генеративных систем.
Innostage AIDR
Innostage AIDR представляет собой продукт для защиты ИИ-приложений во время эксплуатации.
В основе архитектуры находится прозрачный прокси между корпоративным приложением и языковой моделью. Система анализирует запросы и ответы, обнаруживает попытки манипулирования моделью и контролирует передачу чувствительной информации.
Производитель делает акцент на включении нового класса угроз в привычные процессы ИБ. События могут поступать в SIEM для последующего расследования и реагирования.
Подобный подход логичен для компаний с действующим SOC, где защиту нейросетей необходимо подключить к уже существующим правилам обработки инцидентов. Но эффективность зависит не только от детектора, но и от того, насколько полно в журнале сохраняется контекст атаки и насколько корректно настроено реагирование.
HiveTrace AI Firewall
HiveTrace AI Firewall ориентирован на защиту корпоративных приложений генеративного ИИ в процессе работы.
Разработчик предусматривает локальное и облачное развёртывание. Среди заявленных функций присутствуют проверка обращений к моделям, обнаружение небезопасных инструкций, очистка чувствительных данных и контроль поведения ИИ-приложений.
В течение 2026 года линейка продолжала обновляться. В описании выпуска HiveTrace 4.4 разработчик отдельно выделяет оптимизацию отдельных проверок для CPU и противодействие попыткам скрыть вредоносные инструкции с помощью кодировок, невидимых символов и подмены букв.
Последняя возможность относится к практическим проблемам LLM-файрволов. Атакующий редко ограничивается фразой «игнорируй предыдущие инструкции». Более сложные атаки меняют форму записи, используют несколько сообщений или прячут команды внутри обычных документов.
HiveTrace также развивает отдельные инструменты тестирования безопасности ИИ. Их необходимо рассматривать отдельно от защитного шлюза, поскольку поиск уязвимостей до внедрения и блокировка атак во время эксплуатации решают разные задачи.
SolidWall AI Security Gateway
SolidWall AI Security Gateway разработан компанией «СолидЛаб» на базе компетенций в защите веб-приложений и API.
Продукт ориентирован на защиту ИИ-приложений, фильтрацию обращений к LLM, противодействие промпт-инъекциям и попыткам извлечения конфиденциальной информации. Разработчик предусматривает применение как перед корпоративным ИИ-приложением, так и между приложением и внешней моделью.
В документации описаны защита от злоупотребления API, ограничение запросов, анализ бизнес-логики и кластерные конфигурации. Для семантической проверки заявлены модели, оптимизированные для работы на центральных процессорах без обязательного использования GPU.
Отдельного внимания заслуживают режимы отказа. Продукт предусматривает возможность пропуска трафика без проверки при определённых сбоях или перегрузках. Для высоконагруженного сервиса такой механизм может сохранять доступность, но в регулируемых сценариях последствия необходимо заранее оценить.
SolidWall AI Security Gateway пересекает функциональные границы WAF, API Security и LLM Firewall. Полезность подобного сочетания зависит от расположения средства защиты в архитектуре приложения.
INFERA AI.Firewall
INFERA AI.Firewall от российского разработчика INFERA Security предназначен для контроля безопасного использования языковых моделей.
Заявлены фильтрация вредоносных обращений, управление доступом к данным, защита конфиденциальной информации и аудит запросов. Разработчик также развивает INFERA AI.SafeAgent для мониторинга и контроля действий ИИ-агентов, что отражает разделение защиты модельного трафика и управления агентными операциями.
Компания сообщает о реестровой записи продукта. Публичных независимых исследований его эффективности и масштабной эксплуатации недостаточно, поэтому делать выводы о качестве детектирования пока преждевременно.
Другие российские разработки
Помимо перечисленных продуктов существует группа решений, ориентированных на отдельные сценарии или находящихся на раннем этапе распространения. Отсутствие большого числа публичных внедрений не означает низкого качества, но ограничивает возможность объективно оценить зрелость.
- StrazhAI LLM Firewall. Специализированный продукт для защиты LLM-приложений, RAG и ИИ-агентов. Производитель заявляет обнаружение промпт-инъекций, контроль ответов и проверку взаимодействия с инструментами.
- Lumi42 LLMFW. Защитный слой между приложением и моделью с проверкой запросов, контролем чувствительных данных и агентных сценариев. Заявлены облачный и корпоративный варианты использования.
- AITalon AIGate. Разработка объединяет контроль обращений к моделям с проверкой действий агентов в браузерах, средах разработки и через API. Особое внимание уделено правам вызова инструментов, MCP и подтверждению рискованных операций.
- «СИНТРА AI Firewall». Российский разработчик предлагает средства проверки ИИ-трафика и контроля использования нейросетей. Для оценки готовности к крупным внедрениям требуется больше открытых технических и эксплуатационных данных.
- HelloByte AI Firewall. Локально развёртываемый шлюз для проверки взаимодействия корпоративных приложений и LLM. Заявлены несколько уровней анализа, обнаружение утечек и поддержка OpenAI-совместимых API. Независимые подтверждения эксплуатационной зрелости ограничены.
- «Кордон AI». Корпоративный шлюз для централизованного доступа к внешним и локальным моделям. Функции безопасности сочетаются с маскированием данных, авторизацией, маршрутизацией и управлением потреблением ресурсов.
Отдельно выделю российские корпоративные ИИ-шлюзы, которые включают защитные функции, но не обязательно заменяют специализированный LLM Firewall.
- «ИИ-Шлюз» Digital Q.DataFactory. Модуль платформы «Диасофт» для централизованного подключения моделей, маскирования чувствительных данных, маршрутизации, лимитов и контентной фильтрации. В описании присутствует применение Guardrails AI, поэтому при оценке российского происхождения отдельных функций нужно учитывать сторонние компоненты.
- Neoflex Neuro Proxy. Унифицированный шлюз к LLM, векторным хранилищам, инструментам и MCP-серверам. Предусмотрены управление доступом, проверка данных и защитные правила до и после вызова моделей.
- AI Firewall ITGLOBAL.COM. Защитная функция в составе предоставляемого компанией ИИ-сервиса. На сентябрь 2026 года сообщалось о запуске в тестовом режиме. Рассматривать такой сервис как самостоятельный тиражируемый продукт без дополнительного подтверждения неправильно.
Ещё два направления связаны с более узкими задачами.
- Mask Gate. Российский сервис обнаружения и маскирования персональных данных и секретов перед передачей в нейросети. Его основная специализация связана с защитой данных, а не с полноценным контролем промпт-инъекций и агентных действий.
- Cyber Agent Review. Инструмент мониторинга и аудита поведения ИИ-агентов с контролем операций и регистрацией подозрительных событий. Ближе к классу Agent Runtime Security, чем к универсальному файрволу LLM-трафика.
Таким образом, российский рынок нельзя считать пустым. Уже существуют самостоятельные коммерческие продукты, модули крупных ИБ-платформ, корпоративные шлюзы и специализированные средства контроля агентов. Однако сведения о реальной устойчивости к атакам, ложных срабатываниях, предельной производительности и качестве сопровождения остаются заметно менее полными, чем функциональные описания производителей.
Какие ИИ-файрволы существуют в мире
Мировой рынок развивается сразу по нескольким направлениям. Крупные поставщики сетевой безопасности добавляют защиту LLM в свои платформы, облачные провайдеры создают встроенные средства фильтрации, а специализированные разработчики предлагают отдельные API и шлюзы для проверки модельного трафика.
ИИ-защита в составе WAF и сетевых платформ
Cloudflare AI Security for Apps. Продукт ранее назывался Firewall for AI. Работает совместно с Cloudflare WAF и предназначен для обнаружения промпт-инъекций, персональных данных и нежелательных тем во входящих запросах к ИИ-приложениям.
В технической документации указано конкретное ограничение. На октябрь 2026 года система проверяет входящие JSON-запросы к поддерживаемым конечным точкам. Поэтому считать её универсальным фильтром исходящих ответов или всех вызовов агентных инструментов нельзя. Обнаружение LLM-эндпоинтов доступно отдельно, а использование полей детектирования требует соответствующего корпоративного пакета.
Akamai Firewall for AI. Разработка для защиты чат-ботов и приложений с языковыми моделями. Заявлены проверка входящих запросов, контроль ответов, обнаружение попыток манипулирования моделью и утечек данных. На дату обзора документация характеризует продукт как доступный ограниченному кругу заказчиков.
Check Point AI Network Firewall. Представлен в июле 2026 года как развитие классического сетевого экрана. Возможности включены в ветку программного обеспечения R82.20, выпуск которой состоялся в сентябре.
Check Point переносит контроль ИИ-трафика на уровень действующей сетевой инфраструктуры. Производитель заявляет обнаружение используемых нейросетевых сервисов, проверку промптов и передаваемых файлов, защиту приложений и контроль отдельных агентных взаимодействий. Подход отличается от установки самостоятельного прокси непосредственно перед каждой моделью.
Fortinet FortiAIGate. Специализированный шлюз, который устанавливают между ИИ-приложениями, агентами, моделями и MCP-инструментами. Предусмотрены инспекция запросов и ответов, обнаружение промпт-инъекций, маскирование данных, ограничения потребления ресурсов и проверка вызовов инструментов.
Fortinet заявляет локальное развёртывание и поддержку гибридной инфраструктуры. FortiAIGate можно использовать вместе с традиционными средствами Fortinet, но сам шлюз решает иную задачу, чем обычный FortiGate. Название FortiAI также относится к более широкой линейке средств безопасности и автоматизации.
Radware LLM Firewall. Средство защиты генеративных приложений с анализом промптов до передачи модели. Разработчик заявляет противодействие промпт-инъекциям, злоупотреблению вычислительными ресурсами и передаче чувствительных данных. Функции контроля ответов и RAG нужно оценивать применительно к конкретной архитектуре поставки.
Специализированные платформы защиты ИИ
Palo Alto Networks Prisma AIRS AI Runtime Security. Защита работающих ИИ-приложений и агентов с проверкой запросов, ответов, содержимого внешних источников и взаимодействий с инструментами.
Prisma AIRS представляет собой более широкую платформу AI Security. Помимо защиты во время выполнения, в неё входят другие направления, включая анализ рисков моделей и тестирование безопасности. При сравнении важно выделять именно модуль Runtime Security, иначе функции разных продуктов окажутся искусственно объединены.
Cisco AI Defense. Платформа охватывает обнаружение ИИ-активов, проверку компонентов и защиту приложений во время работы. Для LLM и агентов предусмотрены механизмы обнаружения промпт-инъекций, контроля доступа к инструментам и анализа отдельных MCP-взаимодействий.
Продукт рассчитан на включение ИИ-безопасности в корпоративную архитектуру, где уже действуют другие решения Cisco. Отдельные функции зависят от выбранного способа подключения и компонентов платформы.
Check Point AI Guardrails. Продукт, ранее известный как Lakera Guard, после приобретения разработчика вошёл в направление безопасности ИИ компании Check Point.
Защита предоставляется через API и может проверять пользовательские запросы, ответы, результаты и описания инструментов. Предусмотрены обнаружение промпт-атак, утечек и нарушения правил поведения агентов. В отличие от Check Point AI Network Firewall, такой вариант интегрируется непосредственно в приложение или агентный процесс. Два продукта не следует считать одним и тем же.
F5 AI Guardrails. Решение развивает технологии приобретённой компании CalypsoAI. Проверяет обращения к моделям и их ответы, позволяет создавать защитные политики и интегрироваться с различными ИИ-приложениями. Документация описывает как сервисные, так и самостоятельно размещаемые варианты использования.
CrowdStrike Pangea AI Guard. Защитный API для проверки данных в разных точках работы ИИ-приложения. Разработчик предусматривает отдельные правила для входящих запросов, RAG-контекста, взаимодействий агентов и исходящих ответов. Возможности включают поиск промпт-инъекций, маскирование секретов и аудит.
SentinelOne Prompt Security. Продукт ориентирован на контроль использования генеративного ИИ сотрудниками и защиту корпоративных ИИ-приложений. Среди сценариев присутствуют обнаружение несанкционированных ИИ-сервисов, предотвращение утечек через промпты, проверка инструментов разработки и защита агентов.
Zscaler AI Guard for Apps. Средство для анализа обращений к ИИ-приложениям и контроля чувствительных данных. Опирается на возможности платформы Zero Trust и облачной защиты Zscaler. Организации, использующие такие платформы, могут объединять безопасность работы сотрудников с внешними нейросетями и защиту собственных ИИ-сервисов.
Netskope AI Guardrails. Инструмент контентной проверки обращений к генеративным сервисам. Производитель заявляет обнаружение промпт-инъекций, попыток обхода ограничений и нежелательного содержания в запросах и ответах. Поддержка конкретных приложений и языков зависит от актуальной документации.
NeuralTrust Generative Application Firewall. Специализированный защитный слой для приложений с естественно-языковым интерфейсом. Архитектура предусматривает анализ пользовательских сессий, последовательности обращений и действий агентов, включая вызовы инструментов.
Особое внимание разработчик уделяет атакам, распределённым по нескольким сообщениям. Подобные атаки сложнее обнаружить с помощью фильтра, который рассматривает каждый запрос независимо от предыдущих действий пользователя.
Защитные механизмы облачных платформ
В облаках ИИ-файрволы часто реализованы как управляемые сервисы или API, а не самостоятельные серверные продукты.
Amazon Bedrock Guardrails. Набор защитных правил для приложений на основе Amazon Bedrock и поддерживаемых сценариев внешних моделей. Предусмотрены фильтрация содержания, обнаружение персональных данных, противодействие отдельным промпт-атакам и проверка соответствия ответов контексту.
Google Cloud Model Armor. Сервис проверки входящих запросов и исходящих ответов языковых моделей. Позволяет применять правила обнаружения небезопасного содержания, чувствительной информации и промпт-инъекций. Подходит для архитектур, где защитные проверки можно встроить в цепочку API-вызовов.
Microsoft Prompt Shields. Механизм Azure AI Content Safety для обнаружения попыток изменить поведение модели через пользовательские запросы и документы. Для некоторых агентных сценариев предусмотрена проверка содержимого, полученного от инструментов, но доступность зависит от поддерживаемой интеграции.
Облачные защитные механизмы часто проще подключить к приложениям, созданным внутри соответствующей платформы. Но при использовании нескольких провайдеров организация получает различающиеся политики, форматы журналов и ограничения. Дополнительно необходимо оценивать географию обработки данных и возможность применения сервиса к регулируемой информации.
Open source для защиты языковых моделей
Отдельную группу образуют проекты с открытым исходным кодом. Они позволяют создавать собственные защитные механизмы без обязательной покупки коммерческого шлюза, но требуют самостоятельного внедрения, настройки, тестирования и сопровождения.
NVIDIA NeMo Guardrails. Открытая библиотека для добавления защитных правил в LLM-приложения. Поддерживает проверку запросов и ответов, ограничения тем, обработку чувствительных данных и другие программируемые механизмы безопасности.
NeMo Guardrails представляет собой прежде всего инструментарий разработчика. Для получения корпоративной системы с централизованными политиками, отказоустойчивостью и аудитом может потребоваться дополнительная инфраструктура.
Meta LlamaFirewall. Открытый проект защиты ИИ-агентов, опубликованный в 2025 году. Объединяет несколько механизмов, включая Prompt Guard для обнаружения вредоносных инструкций, анализ поведения агента и CodeShield для проверки опасных фрагментов кода.
Подход интересен тем, что рассматривает безопасность агента шире обычной фильтрации промптов. При этом экспериментальные компоненты требуют самостоятельной оценки, особенно если агент работает с критичными системами.
В 2026 году продолжают развиваться и другие открытые инструменты тестирования ИИ. Но важно отделять защиту во время эксплуатации от red teaming. Например, Promptfoo используется для проверки приложений и поиска слабых мест до внедрения или при изменении модели, а не заменяет автоматически работающий LLM-файрвол.
При выборе открытого проекта я бы обязательно проверял дату последнего выпуска, статус сопровождения и историю устранения уязвимостей. Сам факт наличия репозитория не означает, что продукт продолжает развиваться.
Что ИИ-файрвол не сможет защитить
Маркетинговые описания нередко создают впечатление, будто дополнительный фильтр способен полностью решить проблему безопасности нейросетей. Я считаю такое представление опасным.
Промпт-инъекции нельзя надёжно устранять только поиском вредоносных фраз. Атакующий может разделить инструкцию на несколько сообщений, встроить её в полезный документ, спрятать в изображении или добиться нежелательного действия через непрямую цепочку команд.
Семантический анализ не заменяет проверку прав. Если агент имеет административные полномочия в CRM или базе данных, ошибка модели может привести к опасной операции даже без очевидной промпт-инъекции.
Проверка ответа не гарантирует правильности информации. Модель способна уверенно сообщить неверный факт или сформировать неработоспособный код, который не содержит признаков запрещённого содержания.
Шлюз видит только проходящий через него трафик. Если сотрудники обращаются к публичным нейросетям напрямую через браузер, а корпоративные агенты используют собственные ключи API, один серверный прокси не обеспечит полного контроля. Потребуются дополнительные средства управления браузерным доступом, сетевым трафиком или конечными устройствами.
Защитная система сама обрабатывает конфиденциальные данные. Журналы запросов, история разговоров, результаты анализа и сохранённые документы могут стать самостоятельным источником утечки. Поэтому хранение и доступ к телеметрии требуют не меньшего внимания, чем проверка промптов.
Для критичных агентных систем я бы строил защиту по принципу ограниченных полномочий, проверки инструментов до их вызова, контроля источников данных и независимого подтверждения опасных операций. ИИ-файрвол должен дополнять такую архитектуру, а не подменять её.
Чем отличаются подходы российских и зарубежных разработчиков
По функциональным описаниям существенной пропасти между российскими и мировыми продуктами уже нет. Обе группы предлагают проверку запросов и ответов, обнаружение промпт-инъекций, маскирование чувствительной информации и централизованные политики.
Различия заметнее в архитектуре поставки, экосистемах и степени публичной проверки.
Международные разработчики часто распространяют защиту ИИ как часть крупных облачных, сетевых и API-платформ. В таком случае заказчик получает единое управление безопасностью, но сильнее зависит от конкретной экосистемы.
В России значительное внимание уделяют развёртыванию внутри корпоративного контура, совместимости с отечественными моделями, интеграции с действующими DLP и SIEM, а также контролю передачи данных во внешние сервисы.
Однако локальное размещение продукта не означает полной независимости от сторонних технологий. Для классификации угроз могут использоваться открытые модели, библиотеки и внешние компоненты. Следует выяснять, где проходит анализ, какие зависимости требуются и кто сопровождает защитные модели.
Отдельная проблема российского рынка связана с нехваткой сопоставимых открытых испытаний. Производители публикуют результаты внутренних проверок, но без одинаковых наборов атак, раскрытых условий и статистики ложных блокировок такие показатели нельзя честно сравнивать.
Я не стал бы объявлять российские разработки незрелыми только из-за их возраста. Вместе с тем анонс продукта, наличие демонстрационной версии и реальное промышленное внедрение с проверенной отказоустойчивостью представляют собой разные уровни готовности.
Для регулируемых организаций дополнительно необходимо проверить реестровые записи и сертификаты конкретных версий и исполнений. Сертификат базового WAF не распространяется автоматически на новый модуль LLM Firewall, а регистрация отечественного ПО не подтверждает соответствие всем требованиям безопасности.
Показательный пример отношения регуляторов к агентным рискам появился в июне 2026 года. Банк России выпустил рекомендации по безопасности применения ИИ в финансовой сфере. Для высокорисковых процессов, в частности платёжных операций, регулятор рекомендует предусматривать подтверждение со стороны сотрудника.
Как проверять ИИ-файрвол на пилоте
Пилот должен показать не только способность блокировать демонстрационные фразы, но и поведение продукта в реальной корпоративной архитектуре. Я бы проверял следующие сценарии.
- Прямые промпт-инъекции. Подготовить набор известных и новых атак на русском и английском языках, включая перефразирование, кодировки и подмену символов. Зафиксировать число обнаруженных атак и ошибочных блокировок легитимных запросов.
- Непрямые промпт-инъекции. Разместить вредоносные инструкции в документах RAG, веб-страницах, электронных письмах и результатах инструментов. Проверить, какие источники действительно проходит через фильтр.
- Многошаговые атаки. Проверить сценарии, где опасная инструкция формируется постепенно в течение разговора. Результат покажет, анализирует ли продукт историю сессии или только отдельные сообщения.
- Утечки данных. Использовать тестовые паспортные данные, реквизиты, корпоративные документы и искусственно созданные секреты. Проверить блокировку, маскирование и отсутствие исходных сведений в журналах.
- Контроль инструментов агента. Разрешить чтение тестового документа, но запретить его удаление, изменение прав и передачу во внешнюю систему. Убедиться, что блокировка выполняется до реального действия.
- Проверка потоковых ответов. Разместить тестовый секрет ближе к концу генерируемого текста. Установить, не успевает ли часть секрета попасть пользователю до срабатывания защиты.
- Производительность. Измерить задержку ответов на уровне p95 и p99, пропускную способность и потребление CPU/GPU при одинаковых нагрузках. Отдельно проверить длинные документы и параллельные агентные сессии.
- Отказоустойчивость. Отключить узел анализа и проверить, продолжает ли система пропускать трафик, блокирует его или переключается на резервный компонент. Поведение должно соответствовать заранее выбранной политике.
- Полнота охвата. Попробовать обойти шлюз прямым API-вызовом, альтернативным клиентом или неподконтрольным агентом. Выяснить, обеспечивает ли инфраструктура обязательное прохождение запросов через защиту.
- Обновление защитных механизмов. Повторить тот же набор тестов после обновления детекторов. Проверить, улучшилось ли обнаружение угроз без неприемлемого роста ложных срабатываний.
При тестировании желательно использовать собственные корпоративные примеры обезличенного содержания, а не только стандартные демонстрационные промпты производителей. Иначе пилот покажет качество распознавания известного набора, но мало скажет об устойчивости продукта в реальной эксплуатации.
Лицензирование также влияет на архитектуру. Необходимо выяснить, какие компоненты оплачиваются или ограничиваются отдельно, сколько защищённых приложений и моделей поддерживает поставка, учитываются ли запросы, токены, узлы анализа и агентные операции. Для локального развёртывания потребуются дополнительные ресурсы и специалисты, сопровождающие политики безопасности.
Куда движется рынок ИИ-файрволов
На горизонте 2027–2029 годов ожидаю постепенного перехода от простой фильтрации промптов к комплексному контролю поведения ИИ-агентов.
Уже сейчас заметны несколько направлений развития.
- От отдельных сообщений к истории сессии. Защита будет учитывать последовательность запросов, предыдущие действия и контекст пользователя, чтобы обнаруживать многошаговые атаки.
- От LLM API к агентным инструментам. Проверка MCP, API-вызовов, прав доступа и фактических последствий операций станет самостоятельной функцией безопасности.
- От текстового анализа к мультимодальности. Возрастёт потребность в проверке PDF, изображений, аудио, исходного кода и других данных, через которые можно передать вредоносные инструкции.
- От отдельных шлюзов к единой корпоративной политике. Компании будут объединять контроль внешних нейросетей, внутренних моделей, сотрудников и автоматизированных агентов.
- От демонстрационных тестов к постоянной проверке защиты. Понадобятся регулярные атаки на собственные приложения, анализ обходов и проверка качества после обновлений моделей.
В России, по моему мнению, конкуренция развернётся между тремя подходами. Самостоятельные специализированные LLM-файрволы будут развивать детектирование и поддержку агентных сценариев. Крупные поставщики ИБ встроят аналогичные механизмы в WAF, DLP, SWG и системы управления доступом. Разработчики корпоративных ИИ-платформ предложат защиту как встроенную часть модельного шлюза.
Не исключаю, что со временем значительная часть стандартной фильтрации запросов и ответов станет обычной функцией AI Gateway. Самостоятельным защитным продуктам придётся доказывать ценность более качественной детекцией, контролем сложных агентных операций, независимостью от моделей и удобством расследований.
Наиболее существенным риском считаю ложное чувство безопасности. Компания может установить ИИ-файрвол, но сохранить агенту неограниченный доступ к критичным системам. В такой архитектуре успешная промпт-инъекция по-прежнему способна привести к серьёзному инциденту.
Какой ИИ-файрвол нужен компании
Я бы начинал не с названия продукта, а с конкретной угрозы и расположения защищаемой системы.
Если сотрудники используют публичные нейросети, необходим контроль доступа к разрешённым сервисам, обнаружение передачи конфиденциальных данных и защита браузерного или иного клиентского трафика. Одного прокси, который обслуживает только корпоративные API-вызовы, может быть недостаточно.
Если компания разрабатывает клиентского ИИ-бота, потребуется проверка пользовательских запросов, контекста модели и исходящих ответов. Желательны защита от злоупотребления ресурсами, аудит и интеграция с существующей инфраструктурой приложений.
Если организация строит внутреннюю RAG-систему, основной акцент следует сделать на правах доступа к первичным документам, проверке извлечённого контекста и предотвращении утечек через ответы.
Если внедряются автономные ИИ-агенты, фильтрация промптов должна дополняться контролем инструментов, ограничением полномочий, проверкой аргументов команд и обязательным подтверждением критичных операций.
Если используется несколько языковых моделей, практический интерес представляет корпоративный AI Gateway с едиными политиками безопасности, маршрутизацией, аудитом и управлением потреблением ресурсов.
Российские продукты уже предлагают решения для каждого из перечисленных направлений, хотя степень функционального охвата и проверенная зрелость различаются. Международные платформы дают дополнительные варианты интеграции, особенно в крупных облачных экосистемах.
ИИ-файрволы перестали быть исключительно экспериментальной технологией, но окончательно сформировавшимся классом их пока назвать трудно. За одним названием скрываются сетевые экраны, прокси, библиотеки защитных правил, инструменты DLP и системы контроля агентных действий.
Считаю, что в ближайшие годы настоящим критерием зрелости станет не количество обнаруживаемых промпт-инъекций в демонстрационном наборе. Гораздо важнее способность продукта предотвращать реальные нежелательные действия ИИ, сохранять работоспособность корпоративных приложений и давать службе безопасности понятную картину произошедшего.
