AI firewall для LLM: 5 слоёв защиты, которые требует корпоративный CISO

Источник, корпоративная матрица требований к AI firewall (ИИ-файрволу, шлюзу безопасности между пользователями и языковыми моделями), описывает более 500 формализованных пунктов. Ещё год назад заказчик просил «прокси для ChatGPT». Сегодня это запрос на полноценный контрольный контур: от маскирования персональных данных по 152-ФЗ до управления бюджетами на токены и контроля ИИ-агентов (программ, которые сами вызывают инструменты от имени пользователя).

Ниже разберём, из каких слоёв складывается AI firewall и как с каждым работать на практике.

Что понадобится

• Доступ к корпоративному каталогу пользователей (LDAP, Active Directory или аналог) для настройки ролей
• Список моделей, которые используют сотрудники: внешние (OpenAI, Anthropic, DeepSeek, GigaChat, YandexGPT) и локальные (Ollama, vLLM, llama.cpp)
• Понимание, где стоит точка перехвата трафика: API-шлюз, прозрачный прокси, браузерный плагин или агент на рабочей станции
• Реестр категорий данных, подлежащих защите по 152-ФЗ: ИНН, СНИЛС, паспортные данные, полисы, спецкатегории
• Бюджетные лимиты в рублях на организацию, команду и отдельного пользователя
• Время на базовую настройку: от одного до трёх рабочих дней для минимального контура

Пять слоёв AI firewall: пошаговая сборка контура

1. Определите точку контроля. AI firewall встаёт в разрыв трафика между пользователем и моделью. Варианты: API-шлюз, прозрачный прокси, sidecar-контейнер, браузерный плагин, агент на конечной точке. Подключение не должно ломать работу ИИ-ассистентов. Здесь же закрывайте «теневой ИИ» (Shadow AI), ситуацию, когда сотрудники уходят в публичный чат мимо шлюза. Весь ИИ-трафик попадает под тот же режим, что и остальной корпоративный канал.

2. Соберите каталог моделей. Публичное имя, которое видит пользователь, и конкретное развёртывание за ним это разные сущности. За одним именем может жить пул: локальный vLLM, GigaChat, внешний провайдер. Для каждой записи укажите режим, цену входных и выходных токенов, пределы контекста, лимиты запросов в минуту (RPM) и токенов в минуту (TPM). Обязательна метка размещения: «локальная» или «внешняя». Без неё маршрутизатор не имеет права допускать данные к модели.

# Пример записи в каталоге моделей
model_alias: "gpt-4o"
backend: "openai"
deployment: "external"
price_input_per_1k: 0.005
price_output_per_1k: 0.015
context_limit: 128000
rpm_limit: 60
training_on_data: false    # запрет обучения на переданных данных

1. Настройте конвейер безопасности. Это не один классификатор, а пайплайн (последовательность проверок) с чётким порядком шагов. Сначала нормализация и правила, затем небольшие модели-анализаторы, затем модель-судья на спорных оценках. Каждое срабатывание порождает событие аудита. Отдельные требования: поддержка русскоязычной морфологии, распознавание гомоглифов (символов-двойников из других алфавитов, которые маскируют инъекции), разбор офисных форматов, OCR и речи. Косвенные инъекции из файлов, почты, RAG (генерации с опорой на базу знаний) и результатов инструментов проверяются тем же конвейером.

2. Закройте данные по 152-ФЗ. Настройте маскирование: ИНН, СНИЛС, паспорт, полис, спецкатегории. Плейсхолдер (заглушка вместо реальных данных) должен быть устойчивым на протяжении всей сессии, а обратная подстановка работать в потоковом ответе. Маскирование обязано накрывать историю диалога и саммари (краткие пересказы), иначе модель «помнит» сущность, найденную несколько ходов назад. Секреты и корпоративные категории идут тем же механизмом.

3. Разграничьте роли и бюджеты. Иерархия: организация, команда, пользователь. Двухуровневый RBAC (управление доступом на основе ролей). Вход только через корпоративный каталог, без локальных учёток, которые потом никто не отзывает. Каждый запрос принадлежит ровно одной команде, её задаёт ключ. По нему считаются доступные модели, квота и бюджет. Потолок в рублях задаётся на всех трёх уровнях: командный лимит можно детализировать внутрь, индивидуальная квота перекрывает общую. Без этого расследование инцидента упирается в общую кучу токенов, где нельзя понять, чей контур перерасходовал.

Как проверить устойчивость контура?

Через сканер ML Red Teaming заказчик запускает регулярную проверку: текстовые атаки, визуальные вставки и скрытые слои на изображениях, речевые инструкции в аудио, многошаговые сценарии, атаки через результаты инструментов. Набор проб расширяется собственными кейсами, а не только поставкой вендора.

Вердикт опирается на фиксированную методику и модель-судью, чтобы пентест можно было повторить после смены модели, системного промпта (начальной инструкции модели) или корпуса базы знаний. Каждая проба привязана к классу угрозы и сразу даёт вход в политику AI firewall: что блокировать, что маскировать, какой маршрут закрыть. Если находка живёт только в отчёте и не становится правилом шлюза, сканер бесполезен.

Что делать с этим прямо сейчас, по ролям

Автору Дзена и копирайтеру. Если вы работаете с корпоративным заказчиком, который внедряет ИИ, понимание слоёв AI firewall делает вас ценнее: вы можете писать регламенты, инструкции для сотрудников, описания политик. Проверьте, не уходят ли ваши собственные тексты с данными клиентов в публичные чаты ИИ.

Маркетологу. Бюджеты на токены это новая статья расходов, которую нужно планировать так же, как рекламный бюджет. Если в компании нет лимитов по командам, один неконтролируемый агентный контур может выжечь месячный бюджет за ночь.

Предпринимателю в РФ. 152-ФЗ распространяется на любые персональные данные, которые ваши сотрудники отправляют в модели, включая внешние. Из доступных в России моделей: GigaChat и YandexGPT поддерживают локальное развёртывание. Для открытых моделей (опенсорс) подойдут Ollama и vLLM на собственных серверах. Формирование каталога моделей с метками размещения и настройку маскирования ПДн можно начать уже сейчас, до выбора конкретного вендора AI firewall.

Пять слоёв AI firewall это не абстрактная модель, а конкретный чеклист, по которому уже работают крупные заказчики. Начните с каталога моделей и маскирования ПДн, параллельно закройте Shadow AI через точку перехвата, и у вас будет рабочий контур, который можно наращивать, а не переделывать с нуля.