EchoLeak: инъекция в Microsoft 365 Copilot
Скрытые инструкции в обрабатываемом контенте заставляли ассистента выдавать данные из контекста пользователя. Модель не отличает данные от команд — проверять это нужно до неё.
The Hacker News, июнь 2025PromtWall AI Security · защита ИИ
ИИ-приложения и агенты под контролем ИБ — без переписывания кода.
PromtWall встаёт между вашими приложениями и моделями: ищет инъекции, заменяет паспорт, СНИЛС и ИНН токенами до отправки в модель и держит ИИ-агентов в пределах прав пользователя. Приложение меняет только адрес и ключ. Работает в вашем контуре, в том числе изолированном.
● on-prem и изолированный контур
● OpenAI-совместимый API
● OWASP LLM Top 10 · MITRE ATLAS
sales-copilot → модельruntime
ключлимиты
входинъекции
PII Vaultтокены
модельпо выбору
выходDLP
Подготовь письмо клиенту: СНИЛС 112-233-445 95, телефон +7 900 000-00-00
В модель ушло: «Подготовь письмо клиенту: СНИЛС [RU_SNILS_1], телефон [PHONE_1]». В ответе значения восстановлены.
support-bot · инъекция в RAG-документеDENY
sales-copilot · СНИЛС → токен до моделиMASK
finance-agent · DELETE FROM через MCPASK
dev-agent · описание инструмента измененоDENY
✓ разметка OWASP LLM Top 10 · MITRE ATLAS→ SIEM · CEF
48контролей защиты в 7 категориях — от входа и выхода до агентов и MCP
0 строккода переписывать не нужно — приложение меняет только адрес и ключ, API совместим с OpenAI
0 GPUML-сканеры работают на CPU — видеокарта не нужна
6готовых профилей защиты — от OWASP Baseline до Agent Safe
Интерфейс
Так выглядит PromtWall в работе
Дашборд шлюза: что требует внимания прямо сейчас, сколько запросов заблокировано и замаскировано, что делают агенты и MCP-инструменты.
Демонстрационные данные.
Почему сейчас
ИИ уже работает с вашими данными. Атакуют его тоже.
Ваши боты и RAG читают контент, в который можно спрятать команду, приложения отправляют ПДн во внешние модели, а агентам дают доступ к базам и репозиториям. Запретить ИИ не выйдет — нужен контроль на пути каждого запроса.
ИИ-агент Replit удалил рабочую базу SaaStr
В ней были записи о более чем 1 200 руководителях. Агенту с доступом к продакшену нужны границы прав и одобрение человека для опасных команд.
Fortune, июль 2025с инцидентами ИИ не контролировали доступ к ИИ
Инциденты с ИИ были у 13% организаций. Шлюз и есть такой контроль: ключ на приложение, политики и журнал каждого запроса. А за ПДн по 152-ФЗ отвечает оператор — то есть вы.
IBM Cost of a Data Breach 2025Как это работает
Приложение → проверка запроса → модель → проверка ответа.
01
Подключение
Приложение получает виртуальный ключ и меняет адрес модели на адрес PromtWall. API совместим с OpenAI — код не переписывается.
02
Запрос
Входные контроли ищут инъекции, скрытые инструкции и секреты, PII Vault заменяет ПДн токенами. Для RAG проверяется и найденный контекст.
03
Модель
Запрос уходит к выбранному провайдеру или к вашей модели в контуре. Лимиты и бюджет — по ключу приложения, при сбое — резервный провайдер.
04
Ответ
Выходной DLP проверяет ответ до выдачи: стрим буферизуется и не уходит без проверки (fail-closed). Токены заменяются обратно, решение — в журнал и SIEM.
Возможности
Не прокси к модели, а контроль каждого запроса, ответа и действия агента.
Один шлюз для всех приложений и моделей
Виртуальный ключ на каждое приложение с ротацией и отзывом, лимиты RPM/TPM, бюджеты и учёт стоимости запросов. Резервные провайдеры, аварийное отключение, точный и семантический кэш, стриминг и WebSocket.
Модель видит токены, а не паспорта клиентов
PII Vault заменяет паспорт РФ, СНИЛС, ИНН, номера карт, IBAN, телефоны и e-mail токенами до отправки в модель и восстанавливает их в ответе. ИНН сверяется по контрольной сумме, карты — по алгоритму Луна. Каждое обращение к ПДн — в журнале.
48 контролей и 6 готовых профилей
Вход, выход, PII Vault, ML, RAG, агенты и MCP. Для каждого контроля — действие (блокировать, маскировать, предупредить, записать или выключить) и порог от 0 до 1. Профили для старта: OWASP Baseline, Maximum, Minimal, PII Strict, Agent Safe, RAG Safe.
Агент работает в пределах прав пользователя
Цепочка AgentGateway → MCP Guardrails → MCP Prism → MCP-сервер проверяет вызов в 6 этапов: токены, ПДн, инъекции, вредный контент, атаки на инструменты, ваши правила. OBO-токены держат агента в правах пользователя, описания инструментов закреплены от подмены, опасные действия ждут одобрения человека.
Свои правила диалога на NeMo Guardrails
Правила на Colang с версиями и откатом, библиотека готовых правил и песочница, чтобы проверить правило до включения в работу.
База знаний — тоже вход для атаки
6 runtime-контролей RAG: инъекции в найденных документах, ПДн в контексте, релевантность контекста вопросу, ответы без опоры на источники, токсичность. Качество RAG-приложения оценивается отдельно — на Giskard.
Атакуйте свои модели раньше других
Red team на NVIDIA garak с многошаговыми атаками Crescendo, TAP и PAIR. Найденный пробой становится регрессионным тестом и барьером в CI/CD — исправление не откатится незаметно.
Находки — в терминах OWASP и MITRE ATLAS
Находки без дублей, со статусами и разметкой OWASP LLM Top 10 (2025) и MITRE ATLAS. Закрыть находку можно только с комментарием. Состав ИИ-приложений — AI-BOM в CycloneDX 1.6.
Журналы, которые нельзя переписать
Сессии агентов записываются с хеш-цепочкой и воспроизводятся для разбора, действия операторов — в append-only журнал. Выгрузка в SIEM по syslog, webhook, Splunk HEC и Elastic в CEF, ECS или JSON; уведомления — e-mail, Slack, Teams.
Кому полезно
ИБ получает контроль. Разработка — без переделок. Платформа ИИ — один шлюз.
Руководителю ИБ
ПДн уходят в модели токенами, находки — в терминах OWASP и MITRE ATLAS, неизменяемый журнал и выгрузка в SIEM. Для аудита — журнал обращений к ПДн, записи сессий агентов и AI-BOM.
AppSec и разработке
OpenAI-совместимый API без переписывания кода, red team на garak, пробои — в регрессионные тесты и барьер CI/CD, песочница для правил Guardrails.
Владельцу ИИ-платформы
Ключ на каждое приложение, лимиты и бюджеты, учёт стоимости, кэш, резервные провайдеры и аварийное отключение. Любая модель — внешняя или своя в контуре.
Развёртывание
Один установщик. Без видеокарты. При необходимости — без интернета.
- Установка
- Установщик
promtwall: doctor, install, status, up, down, logs, migrate, backup, restore. Установка с нуля — до 30 минут - Контур
- On-prem или изолированный контур: дистрибутив архивом, ML-модели внутри образов, обновления правил пакетами
.spack, офлайн-лицензия - Платформа
- Linux x86_64, Docker Engine 24+ и Docker Compose 2.20+; 33–45 контейнеров в зависимости от профиля
- Память (ориентир)
- core — от 8 ГБ (рекомендуется 12); security-full — от 10 ГБ (14); redteam-full — от 16 ГБ (20); полный набор ML-моделей — ещё 4 ГБ. GPU не нужен: ML-сканеры работают на CPU
- Провайдеры моделей
- OpenAI, Anthropic, Google, Mistral, DeepSeek, OpenRouter, Qwen, Ollama и любой OpenAI-совместимый endpoint, включая вашу модель в контуре
- Вход и роли
- SSO по OIDC и SAML 2.0, LDAP/AD, SCIM; 6 встроенных ролей — Administrator, Supervisor, Developer, Security Administrator, Security Analyst, Viewer — и свои роли
- Интеграции
- SIEM — syslog, webhook, Splunk HEC, Elastic; форматы CEF, ECS, JSON. Уведомления — e-mail, Slack, Teams
- Резервирование
- Один узел со встроенным резервным копированием; целевые RPO 24 ч и RTO 60 мин для ядра
- В дорожной карте
- Kubernetes, сканирование изображений и аудио, сертификация ФСТЭК
Пилот на 30 дней
Через месяц — отчёт: что уходит в модели и что делают агенты.
Критерии успеха согласуем до старта. От вас — сервер в контуре и приложения или агенты, которые переключим на шлюз.
ШАГ 01
Задача
Выбираем приложения и агентов для пилота вместе с вашими ИБ и ИТ.
ШАГ 02
Установка
Разворачиваем PromtWall в вашем контуре установщиком — за день.
ШАГ 03 · 30 ДНЕЙ
Пилот
Трафик идёт через шлюз на ваших данных. Сначала — наблюдение, без блокировок.
ШАГ 04
Решение
Отчёт: какие ПДн, секреты и атаки прошли через шлюз и что делали агенты, — и решение о включении блокировок.
Для изолированного контура дистрибутив передаём архивом, лицензию — файлом.
Вопросы
Что обычно спрашивают ИБ и ИТ
Придётся ли переписывать приложения?
Нет. PromtWall совместим с API OpenAI: в приложении меняются адрес и ключ, стриминг и WebSocket работают через шлюз. Подключаются OpenAI, Anthropic, Google, Mistral, DeepSeek, OpenRouter, Qwen, Ollama и любой OpenAI-совместимый endpoint, в том числе ваша модель в контуре. GigaChat и YandexGPT — только через ваш OpenAI-совместимый endpoint: встроенных коннекторов к ним нет.
Можно ли работать без интернета и без видеокарты?
Да. Для изолированного контура дистрибутив поставляется архивом, ML-модели уже внутри образов, правила обновляются пакетами .spack, лицензия — офлайн. ML-сканеры работают на CPU: ядру нужно от 8 ГБ памяти, видеокарта не требуется.
Увидит ли PromtWall нейросети, которыми сотрудники пользуются в обход?
Нет. PromtWall контролирует только трафик, который идёт через шлюз, и не ищет теневой ИИ в сети. Обход закрывают сетевыми правилами, а сотрудникам дают удобную корпоративную альтернативу — например, ENCLAVE.
Насколько точно PromtWall находит атаки?
Точность зависит от ваших приложений и трафика, поэтому мы её не обещаем на словах и не обещаем защиту «от всех угроз». Пилот начинается в режиме наблюдения: находки только пишутся в журнал, а пороги от 0 до 1 настраиваются для каждого контроля. До включения блокировок red team на garak проверяет ваши приложения атаками Crescendo, TAP и PAIR.
Есть ли сертификат ФСТЭК?
Нет, сертификация ФСТЭК в планах. Для аудита уже есть неизменяемый журнал действий операторов, записи сессий агентов с хеш-цепочкой, журнал обращений к ПДн, разметка находок по OWASP LLM Top 10 и MITRE ATLAS и AI-BOM в CycloneDX 1.6.
Есть ли отказоустойчивый кластер и Kubernetes?
Пока нет. PromtWall работает на одном узле со встроенным резервным копированием: целевые RPO 24 ч и RTO 60 мин для ядра, восстановление — командой promtwall restore. Kubernetes — в дорожной карте.
Насколько шлюз замедлит ответы?
Задержку на вашем трафике измеряем в пилоте и на словах не обещаем. Точный и семантический кэш сокращают обращения к модели.
У нас есть DLP — зачем PromtWall?
PromtWall стоит на пути к модели: проверяет запрос, найденный RAG-контекст, ответ и вызовы инструментов агентом, заменяет ПДн токенами и возвращает их в ответ.
Пилот PromtWall
Покажем на вашем трафике, а не на демо-стенде.
Оставьте заявку — выберем приложения для пилота, согласуем профиль защиты и критерии успеха.
Заявка отправлена
Свяжемся с вами по указанной почте, чтобы согласовать пилот PromtWall.