Российские решения AI Security: защита ИИ и LLM

Критерии в этом классе ВЗВЕШЕНЫ: критичный весит 3, важный 2, дополнительный 1, и у каждого написано, почему ему дан такой вес. Так поддержка условия внедрения не приравнивается к редкой дополнительной функции. Вес назначает редакция — это наше решение, а не заявление вендора. Ось «возможности» в рейтинге этого класса считается ПРЯМО ИЗ ЭТОЙ ТАБЛИЦЫ: доля подтверждённых признаков и есть балл, редакционной оценки здесь нет. Оценка ставится только при наличии источника: ✓ — функция описана в документации вендора, ½ — описана частично или с оговоркой, «—» — искали и не нашли, «·» — не проверяли. «Не проверяли» означает, что мы не нашли публичного описания, а не что функции нет: глубина доступных источников у вендоров разная, и это само по себе результат измерения.

Рантайм-защита обращений к моделям

Шлюз или прокси между пользователем/приложением и LLM: инспекция промптов и ответов, блокировка, политики, контроль агентов.

Безопасность жизненного цикла ИИ

Разработка, тестирование и сопровождение самих моделей: red teaming, качество и отравление данных, встраивание в конвейер, мониторинг деградации.

✓ подтверждено½ частично— не найдено— вендор заявляет осознанный отказ· не проверяли

• Обнаружение промпт-инъекцийкритичный — Детектирование попыток подменить инструкции модели, а не только фильтр по стоп-словам
  Почему такой вес: подмена инструкций модели — базовая атака класса; без её обнаружения продукт не защищает ИИ
• Противодействие джейлбрейкамкритичный — Распознавание обходов ограничений модели, включая многошаговые сценарии
  Почему такой вес: обход ограничений модели — вторая половина того же ядра, отдельно от инъекций не закрывается
• Контроль утечек в ответахкритичный — Проверка ответа модели на персональные данные, секреты, внутреннюю информацию
  Почему такой вес: утечка персональных данных и секретов в ответе — главный корпоративный риск применения ИИ
• Контроль достоверности ответовдополнительный — Оценка фактической обоснованности ответа или сверка с источником, а не только фильтрация
  Почему такой вес: достоверность ответа — вопрос качества модели, а не защиты; редко входит в периметр СЗИ
• Проксирование обращений к внешним LLMважный — Перехват и инспекция трафика к внешним провайдерам моделей по API
  Почему такой вес: ключевой сценарий для тех, кто ходит во внешние модели, но не нужен при полностью локальном контуре
• Работа с локальными моделямиважный — Поддержка self-hosted и изолированного контура без обращения к внешним сервисам
  Почему такой вес: обязательно для КИИ и госсектора, где внешние сервисы запрещены; коммерческому заказчику не всегда
• Аудит запросов и ответовкритичный — Журналирование диалогов с возможностью разбора инцидента
  Почему такой вес: без журнала диалогов инцидент невозможно разобрать — это условие эксплуатации, а не удобство
• Политики по ролям и даннымважный — Правила, кому и какие данные можно отправлять в модель, с разграничением по пользователям или группам
  Почему такой вес: разграничение по ролям и данным делает продукт управляемым, но заменяется внешними политиками
• Защита ИИ-агентов и инструментовдополнительный — Контроль вызовов инструментов и функций агентом, включая MCP и подобные протоколы
  Почему такой вес: защита агентов и вызовов инструментов — молодой сценарий, поддержан у единиц
• Передача событий в SIEM/SOCважный — Выгрузка событий во внешние системы мониторинга или коннектор к SOC
  Почему такой вес: передача в SOC ускоряет реакцию, но события можно забирать и из журнала
• Тестирование устойчивости моделикритичный — Автоматизированные атаки на модель (red teaming) с воспроизводимым сценарием
  Почему такой вес: автоматизированные атаки на модель — назначение этого сегмента
• Библиотека атак и сценариевважный — Поддерживаемый набор техник атак на ИИ, а не разовые проверки
  Почему такой вес: поддерживаемая библиотека техник отличает продукт от разовых проверок, но набор можно вести и вручную
• Проверка на отравление и дрейф данныхважный — Оценка устойчивости к отравлению обучающих данных и к дрейфу
  Почему такой вес: отравление данных и дрейф — реальный вектор, однако проверяется не в каждом проекте
• Качество обучающих наборовдополнительный — Анализ качества датасетов, желательно по формализованной методике или ГОСТ
  Почему такой вес: качество датасетов ближе к MLOps, чем к защите; формализованных методик мало
• Анализ ИИ-компонентов в кодеважный — Поиск уязвимостей в коде и зависимостях ИИ-систем
  Почему такой вес: уязвимости в коде и зависимостях ИИ-систем важны, но частично закрываются обычными SAST и SCA
• Встраивание в CI/CDважный — Запуск проверок в конвейере сборки, а не только вручную
  Почему такой вес: запуск в конвейере переводит проверки в процесс; без него они остаются ручными
• Мониторинг модели в эксплуатацииважный — Отслеживание деградации качества и поведения модели после внедрения
  Почему такой вес: деградация модели после внедрения видна только при мониторинге, но это отдельная задача от тестирования
• Отчётность под требованиядополнительный — Отчёты с привязкой к ГОСТ, требованиям ФСТЭК или OWASP LLM Top 10
  Почему такой вес: отчётность под требования — производная функция, регулирование класса ещё формируется
• Версионирование и происхождение моделидополнительный — Учёт версий модели и данных, прослеживаемость изменений
  Почему такой вес: версионирование и происхождение модели — практика зрелых команд, редкая в продуктах
• Передача результатов в процессы ИБважный — Выгрузка находок в системы управления уязвимостями или в SOC
  Почему такой вес: передача результатов в процессы ИБ замыкает цикл, но заменяется выгрузкой

Проверьте нас. Под каждой оценкой ✓ и ½ ниже указан источник — конкретная страница документации вендора или отраслевого сравнения, по которой мы её поставили. Оценка без источника в таблицу не попадает: это проверяется автоматически при сборке сайта. Место в рейтинге не продаётся, и размещение значка вендором на оценку не влияет.

Как считаются эти таблицы и сколько функциональности российских СЗИ вообще описано публично — в исследовании «57% функциональности не описано публично».