AI firewall и AI Security Gateway: что это и как работает

AI firewall проверяет содержимое обмена с языковой моделью по заданным политикам. Он может быть отдельным шлюзом, встроенным компонентом приложения или вызываться через API. Нужно проверить, какие потоки действительно проходят через него и где применяется блокировка.

В этой статье AI firewall означает защиту LLM-приложения. Термин также используют для сетевых продуктов, применяющих ИИ внутри своих механизмов; это другой смысл. Здесь важен контроль запросов, контекста и ответов модели, а не перечень технологий внутри сетевого экрана.

Архитектуру и критерии разбираем ниже. Каталог AI Security помогает выбрать тип решения, а сравнение возможностей — проверить основания и ограничения конкретных продуктов.

Рассматривайте перечисленное как точки проверки архитектуры, а не обязательный набор функций каждого продукта.

1. До обращения к модели. Проверка пользовательского запроса и передаваемого контекста. Если фильтр видит только текст пользователя, документы и результаты поиска могут остаться вне проверки.
2. После ответа модели. Проверка ответа до передачи пользователю или другому компоненту. Для потокового вывода выясните, какие данные успевают уйти до окончательного решения.
3. Перед вызовом инструмента. Отдельная проверка инструмента, параметров, прав пользователя и допустимости действия. Она не следует автоматически из наличия фильтра промптов.
4. При обработке нарушения. Блокировка, изменение ответа, журналирование или иной результат должны быть явно описаны. Режим наблюдения не равен предотвращению.

Тестирование атаками до выпуска и защита работающего приложения решают разные задачи. Сопоставляйте решения внутри подходящего сценария, не объединяя red teaming и шлюз одним показателем.

Основания: OWASP LLM01:2025 — прямые и косвенные инъекции, LLM02:2025 — раскрытие чувствительной информации и LLM06:2025 — избыточные полномочия и автономность. Это рекомендации к архитектуре, не подтверждение функций вендоров.

Зафиксируйте модель, версию защиты, настройки, язык и набор запросов. Сравнивайте одинаковые условия и сохраняйте исходный результат без защитного компонента.

• Пропуски атак: сколько проверенных опасных сценариев достигли запрещённого результата, из общего числа атакующих сценариев.
• Ложные блокировки: сколько допустимых рабочих запросов отклонено, из общего числа допустимых запросов.
• Задержка: добавленное время ответа и время до первого токена при той же нагрузке; для потокового режима — что было передано до блокировки.
• Отказ: результат при недоступности защиты и сохранность журналов; согласуйте допустимое поведение заранее.

Не сводите эти показатели в один «процент защиты». Набор тестов, знаменатели и условия определяют смысл результата. Открыть проверки пилота в сравнении →

Три термина в индустрии используются с заметным перехлёстом — их путают даже сами вендоры, называя один и тот же продукт то firewall, то gateway в разных материалах. Единой закреплённой стандартом границы между ними нет, но по тому, как продукты описывают на практике, просматривается рабочее разграничение.

Практический вывод: если внутри команды спор идёт о названии, а не о функциях, — не тратьте на него время. При выборе продукта важнее не то, как вендор называет категорию, а что именно проверено (см. раздел «Что детектирует» ниже) и на каком этапе — на входе, на выходе или на обоих.

Код OWASP описывает риск, а не сертификат качества продукта. Таблица ниже — ориентир для вопросов и пилота; эффективность механизмов не измерена этой статьёй.

Функциональность AI firewall почти всегда описывается вендорами не абстрактно, а через конкретные пункты OWASP Top 10 for LLM Applications 2025 — это удобный общий язык для сравнения продуктов между собой.

↔ таблицу можно прокрутить вбок

* Джейлбрейк не выделен в OWASP Top 10 2025 отдельным пунктом и технически покрывается LLM01:2025, хотя по цели атаки (обход alignment модели, а не системного промпта приложения) индустрия рассматривает его как самостоятельное явление — подробнее на странице разбора.

1. Покрытие потоков. Какие запросы, ответы, документы и вызовы инструментов проверяются? Какие обходные пути остаются?
2. Формат интеграции. Поддерживаемые API, локальные и облачные модели, потоковый вывод, вложения, SDK и место установки компонента.
3. Данные. Где обрабатываются и сохраняются запросы, кому доступны журналы, как задаются сроки хранения и маскирование.
4. Действия и отказ. Что происходит при срабатывании, таймауте, ошибке детектора и недоступности шлюза?
5. Эксплуатация. Версии правил, обновление, откат, журнал событий, интеграция с SIEM и разбор ложных блокировок.
6. Подтверждения. Документация конкретной версии и результаты пилота на одинаковом наборе проверок. Реестровый статус и условия закупки проверяются отдельно.

Выберите кандидатов в сравнении AI Security, затем используйте проверки качества на пилоте. Одна демонстрация или упоминание в СМИ не подтверждает все возможности поставки.

Российские AI Firewall и смежные продукты собраны в каталоге AI Security. Там разделены назначение и границы решений: защита работающего приложения, проверка моделей и red teaming.

Для сравнения конкретных поставок перейдите к таблице возможностей и версиям и источникам. Здесь не дублируем быстро меняющийся перечень функций: название AI Gateway или наличие записи в реестре не доказывает контроль RAG, MCP либо действий агента.