Фаервол для агентов: входящий и исходящий
Под одним названием живут две разные защиты. Входящий стоит на сайте и решает, каких чужих ботов и агентов пускать. Исходящий стоит рядом с вашим собственным агентом и решает, что агенту можно делать: куда ходить, какие инструменты вызывать, что отправлять наружу. agentfirewall.ru — про первый. Второй описан здесь, чтобы термины не путались.
Одна дверь, два направления
| Признак | Входящий фаервол | Исходящий фаервол |
|---|---|---|
| Кого защищает | Сайт, его данные и сервер | Компанию, которая запустила агента, её данные и деньги |
| От чего | Скраперы, подделки под известных ботов, перегрузка обходом, агенты-мошенники | Подсказки-ловушки в чужих страницах и письмах, утечка ключей и персональных данных, отравленные инструменты MCP, лишние действия агента |
| Где стоит | На сервере сайта или в CDN | Между агентом и внешним миром: прокси, шлюз к инструментам, песочница |
| Чем управляет | Кто и куда заходит: robots.txt, проверка подлинности бота, лимиты, ответ 403 | Что агент вызывает и куда отправляет: список разрешённых адресов, политика инструментов, проверка содержимого, подтверждение человеком |
| Кто ставит | Владелец сайта | Разработчик или владелец агента |
| Опорный документ | Модель «Фаервол для агентов» 1.0: правило → карантин и паспорт → виза → выход | Правила поведения агента — «Конституция агента»; что агенту разрешено — мандат в паспорте агента |
Шесть мер, из которых он состоит
Проверка входящего текста
Ищет подсказки-ловушки (prompt injection) в страницах, письмах и документах до того, как их прочтёт модель. Та же угроза глазами сайта — в разборе «Подсказки-ловушки».
Подробнее →Запрет утечек
Ключи, пароли, номера карт и персональные данные не уходят наружу в запросах агента, даже если агента об этом попросили.
Разрешённые адреса
Агент ходит только туда, куда разрешено. Обращения во внутреннюю сеть компании (SSRF) закрыты.
Политика инструментов MCP
Какие инструменты агент вправе вызывать и с какими параметрами. Описания инструментов проверяются на скрытые команды — так называемое отравление инструмента.
Подробнее →Человек и кнопка «стоп»
Рискованные действия — оплата, удаление, рассылка — только после подтверждения человеком. Одна кнопка останавливает всех агентов.
Журнал и квитанции
Каждое решение записывается. В лучших реализациях запись подписывается ключом (Ed25519), и проверить её может любой без доступа к системе.
Мост между ними — паспорт агента
Агент компании А, у которого есть исходящий фаервол, приходит на сайт компании Б, у которого есть входящий. Исходящий отвечает за поведение агента, входящий — за допуск. Чтобы сайт мог доверять, ему нужно знать, кто отвечает за агента и что агенту разрешено.
- Компания А публикует паспорт агента: оператор, ответственный, разрешённые действия, подпись.
- Исходящий фаервол А не выпускает агента за пределы паспорта.
- Входящий фаервол Б проверяет паспорт и подлинность запроса и выдаёт визу: полную, ограниченную или отказ.
Формат паспорта · паспорт-агента.рфМодель входящего фаервола
Pipelock — открытый исходящий фаервол (лицензия Apache-2.0): проверка на подсказки-ловушки, секреты и SSRF, политика инструментов MCP, подтверждение человеком, подписанные квитанции решений. Мы не продаём его и не связаны с разработчиком: пример показывает, как такая защита выглядит на практике.
ТерминОпределение «фаервола для агентов» в обоих смыслах — в словаре Агентономики. Правила поведения самих агентов — Конституция агента.