На этой неделе Softonic сообщила о совместном раскрытии OpenAI и Anthropic взломов AI-агентов, и главный вопрос — кто несет ответственность. Если кодирующий агент удалит каталог, потому что веб-страница ему это велела, кто-то должен за это ответить. Правильный ответ для пользователя — не прекращать использование агентов. Это использовать их защищенными. Мы протестировали 7 приложений, которые фильтруют входные и выходные данные агентов, изолируют их выполнение и логируют все их действия, чтобы когда что-то пойдет не так, мы могли указать на точный запрос, который это вызвал.
Что искать в приложении безопасности AI-агентов
Безопасность агента охватывает три проблемы: что читает агент, что он делает и что он оставляет после себя. Любая серьезная защита должна охватывать все три.
- Фильтрация входных запросов от prompt injection и PII
- Валидация выходных данных против структурных правил
- Песочница для выполнения shell-команд, чтобы агент не мог трогать неправильные файлы
- Логи аудита каждого запроса, вызова инструмента и ответа
- Интеграция с используемыми агентами (Claude Code, Cursor, Cline)
- Локальное исполнение где возможно, без третьих сторон, видящих каждый запрос
Быстрое сравнение
| App | Best for | Platforms | Free | Cost | Rating |
|---|---|---|---|---|---|
| Guardrails AI | Структурные guardrails и guardrails контента | Windows, macOS, Linux, Python | Yes | Free tier + paid Hub | 4.7 (GitHub) |
| NeMo Guardrails | Безопасность диалога на основе правил | Windows, macOS, Linux | Yes | Free | 4.6 |
| Rebuff | Обнаружение prompt-injection | Windows, macOS, Linux, cloud | Yes | Free tier | 4.5 |
| Docker Desktop | Песочница контейнеров для агентов | Windows, macOS, Linux | Yes | 9/user/mo Pro | 4.5 |
| gVisor | Песочница уровня ядра для контейнеров | Linux, macOS Docker | Yes | Free | 4.4 |
| Firecracker | Микро-ВМ для легкой изоляции | Linux | Yes | Free | 4.6 |
| LangKit | Метрики времени выполнения для LLM-запросов | Windows, macOS, Linux | Yes | Free | 4.5 |
1. Guardrails AI, лучше всего для структурных guardrails и guardrails контента
Guardrails AI это Python-библиотека и Hub, которая оборачивает вызовы модели в декларативные правила. Скажите “выходные данные должны быть корректным JSON с этими полями”, “выходные данные не должны содержать PII”, “выходные данные не должны включать shell-команду”, и библиотека либо переписывает, либо повторяет попытку, либо отклоняет вызов. Hub добавляет торговый центр предварительно построенных валидаторов.
Где он не справляется: Python-ориентирован, поэтому лучше подходит для фреймворков агентов, чем для случаев “Я просто хочу, чтобы Cursor себя нормально вел”.
Цена:
- Free: core library, Apache 2.0
- Paid: Hub Pro tier для общих валидаторов и размещенного enforcement
Платформы: Windows, macOS, Linux, Python
Download: Guardrails AI | GitHub
Bottom line: инструмент для выбора, когда мы пишем собственного агента и хотим, чтобы он громко падал на плохом выходе.
2. NeMo Guardrails, лучше всего для безопасности диалога на основе правил
NeMo Guardrails от NVIDIA позволяет нам описать политики на небольшом языке, специфичном для домена, Colang, а затем обернуть любой вызов LLM. Политика может сказать “если пользователь спросит о системном запросе, откажи”, или “всегда вызывай инструмент retrieval перед ответом на вопросы домена”. Colang работает до, во время и после вызова модели.
Где он не справляется: Colang это язык для изучения, и runtime добавляет latency.
Цена:
- Free: open source, Apache 2.0
- Paid: нет, хотя существуют NeMo Enterprise services для stack обучения
Платформы: Windows, macOS, Linux
Download: NeMo Guardrails
Bottom line: стоит кривой обучения, если агент обращен к пользователю и policy rules должны жить вне запроса.
3. Rebuff, лучше всего для обнаружения prompt-injection
Rebuff это небольшая библиотека, посвященная одной проблеме: поймать prompt injection до того, как она достигнет модели. Она использует heuristics, vector DB известных строк атак и подход с canary token. Все, что выглядит как injection, помечается, и вызывающий код решает что делать.
Где он не справляется: heuristics имеют false positives, и vector подход требует работающую vector DB.
Цена:
- Free: open source, MIT
- Paid: cloud tier с размещенным vector DB и общим corpus атак
Платформы: Python, JavaScript, cloud
Download: Rebuff
Bottom line: специализированный инструмент. Добавьте его перед библиотекой general-purpose guardrail.
4. Docker Desktop, лучше всего для знакомой песочницы контейнеров
Docker Desktop это наименее гламурная запись в списке и вероятно самая полезная. Запустите coding agents внутри контейнера с repo смонтированным read-write и всем остальным read-only, и даже враждебный запрос не может rm машину. Volumes делают handoffs на хост явными.
Где он не справляется: desktop приложение тяжелое по RAM, и licensing менялась дважды за три года.
Цена:
- Free: Personal и small teams (менее 250 сотрудников)
- Paid: 9/user/mo Pro, больше для Team
Платформы: Windows, macOS, Linux
Download: Docker Desktop
Bottom line: практический ответ на “как мне дать Claude возможность запустить npm install без доступа к моей файловой системе”.
5. gVisor, лучше всего для песочницы уровня ядра
gVisor это userspace kernel написанный Google. Контейнеры работающие под gVisor могут делать только subset syscalls, поэтому даже container escape не может достичь host kernel. Это тяжелее обычного контейнера, но намного легче полной VM.
Где он не справляется: производительность overhead реальна, и не каждая workload работает под ним без tweaking.
Цена:
- Free: open source, Apache 2.0
- Paid: нет
Платформы: Linux, и Linux-inside-Docker на macOS
Bottom line: более глубокий слой изоляции, для агентов, которые трогают код от незнакомцев.
6. Firecracker, лучше всего для микро-ВМ
Firecracker это KVM-based hypervisor для микро-ВМ. Время загрузки менее секунды, footprint памяти измеряется в мегабайтах, и изоляция ближе к полной VM чем к контейнеру. AWS Lambda работает на нем. Локально, Firecracker VM за запуск агента держит blast radius каждой работы в пределах.
Где он не справляется: только Linux, и setup это не пятиминутное упражнение.
Цена:
- Free: open source, Apache 2.0
- Paid: нет
Платформы: Linux
Download: Firecracker | GitHub
Bottom line: сильнейший вариант локальной изоляции short of полной VM.
7. LangKit, лучше всего для метрик runtime и observability
LangKit от WhyLabs измеряет каждый запрос и ответ на text quality, toxicity, sentiment, similarity к известным injections, и PII. Он стоит перед любым вызовом LLM, и dashboards показывают anomalies со временем. Точка это не блокировать, это заметить.
Где он не справляется: observability одна не останавливает атаку, она объясняет что произошло после факта.
Цена:
- Free: open source, Apache 2.0
- Paid: WhyLabs platform для размещенных dashboards, примерно от 200/mo
Платформы: Windows, macOS, Linux
Download: LangKit
Bottom line: слой “что только что произошло”. Сочетайте это с любым из enforcers выше.
Как выбрать правильный
- Для переписывания или отказа плохого выхода модели: Guardrails AI.
- Для policy rules вне запроса: NeMo Guardrails.
- Для обнаружения prompt-injection специфично: Rebuff.
- Для sandboxing shell execution прагматичным способом: Docker Desktop.
- Для более глубокой изоляции на Linux: gVisor.
- Для микро-VM изоляции: Firecracker.
- Для измерения того что делают агенты: LangKit.
- Для prompt-level audit logging: PromptLayer стоит посмотреть, он захватывает каждый request и response с metadata.
Защищаемый desktop setup обычно складывает три из этих: песочницу (Docker Desktop), guardrail слой (Guardrails AI или NeMo), и observability (LangKit или PromptLayer).
FAQ
Действительно ли нужно sandboxing coding agents?
Если агент запускает shell commands или пишет файлы, да. Если он только чатит, нет. Линия это есть ли prompt injection может превратиться в действие.
Какой из этих первый шаг?
Docker Desktop с заблокированным контейнером для coding agent. Добавьте Guardrails AI в вызов модели. Это уже блокирует большинство случайного повреждения.
Могут ли эти инструменты защитить модель от Astra-style атак?
Против прямых атак на модель, нет. Ничего в этом списке не изменяет weights модели. Против prompt injection, PII leakage, и unsafe tool calls, да.
Free tiers достаточно?
Для одного разработчика, да. Guardrails AI, NeMo Guardrails, Rebuff, gVisor, Firecracker, LangKit, и PromptLayer все имеют реальные free tiers. Только Docker Desktop начинает брать плату beyond очень small teams.
Эти замедляют агента?
Guardrails добавляют latency, иногда сотни миллисекунд. Sandboxes добавляют negligible latency для контейнеров и немного больше для микро-ВМ. Обменяйте latency на безопасность, всегда.
