# Фаервол для агентов: входящий и исходящий

Два смысла термина: входящий фаервол защищает сайт от чужих ботов, исходящий — компанию от действий собственного агента. Сравнение, шесть мер исходящего фаервола и как их связывает паспорт агента.

Адрес: https://agentfirewall.ru/vkhodyashchiy-i-iskhodyashchiy/ · Обновлено: 2026-10-21

Под одним названием живут две разные защиты. Входящий фаервол стоит на сайте и решает, каких чужих ботов и агентов пускать. Исходящий стоит рядом с вашим собственным агентом и решает, что агенту можно делать. agentfirewall.ru — про входящий.

## Сравнение

| Признак | Входящий | Исходящий |
|---|---|---|
| Кого защищает | Сайт, его данные и сервер | Компанию, которая запустила агента, её данные и деньги |
| От чего | Скраперы, подделки под известных ботов, перегрузка обходом, агенты-мошенники | Подсказки-ловушки в чужих страницах и письмах, утечка ключей и персональных данных, отравленные инструменты MCP, лишние действия агента |
| Где стоит | На сервере сайта или в CDN | Между агентом и внешним миром: прокси, шлюз к инструментам, песочница |
| Чем управляет | Кто и куда заходит: robots.txt, проверка подлинности бота, лимиты, ответ 403 | Что агент вызывает и куда отправляет: список разрешённых адресов, политика инструментов, проверка содержимого, подтверждение человеком |
| Кто ставит | Владелец сайта | Разработчик или владелец агента |
| Опорный документ | Модель «Фаервол для агентов» 1.0: правило → карантин и паспорт → виза → выход | Правила поведения агента — «Конституция агента»; что агенту разрешено — мандат в паспорте агента |

## Исходящий фаервол: шесть мер

1. **Проверка входящего текста.** Ищет подсказки-ловушки (prompt injection) в страницах, письмах и документах до того, как их прочтёт модель. Та же угроза глазами сайта — в разборе «Подсказки-ловушки». https://agentfirewall.ru/ugrozy/prompt-injection/
2. **Запрет утечек.** Ключи, пароли, номера карт и персональные данные не уходят наружу в запросах агента, даже если агента об этом попросили.
3. **Разрешённые адреса.** Агент ходит только туда, куда разрешено. Обращения во внутреннюю сеть компании (SSRF) закрыты.
4. **Политика инструментов MCP.** Какие инструменты агент вправе вызывать и с какими параметрами. Описания инструментов проверяются на скрытые команды — так называемое отравление инструмента. https://mcpprotocol.ru/
5. **Человек и кнопка «стоп».** Рискованные действия — оплата, удаление, рассылка — только после подтверждения человеком. Одна кнопка останавливает всех агентов.
6. **Журнал и квитанции.** Каждое решение записывается. В лучших реализациях запись подписывается ключом (Ed25519), и проверить её может любой без доступа к системе.

## Где они встречаются

Агент компании А с исходящим фаерволом приходит на сайт компании Б с входящим. Мост между ними — паспорт агента (https://xn----7sbbaom0ddhbmjqf.xn--p1ai/): компания А публикует, кто отвечает за агента и что ему разрешено; исходящий фаервол не выпускает агента за пределы паспорта; входящий фаервол сайта проверяет паспорт и выдаёт визу (модель: https://agentfirewall.ru/model/).

Пример исходящего фаервола: Pipelock (https://pipelab.org/), открытый, Apache-2.0. Мы не связаны с разработчиком.

Термин: https://agentonomika.ru/terminy/faervol-dlya-agentov/


---
ООО «САРМАТЕХ» · info@a2aprotocol.ru · данные справочника CC BY 4.0