Inline-шлюз между сотрудниками, приложениями и LLM. Проверяем prompt и ответы, применяем политику и передаём разрешённый трафик в IAM.Router для выбора допустимого контура.
Связка закрывает путь запроса целиком: от обнаружения класса данных и применения политики до выбора разрешённого периметра и сохранения объяснимого решения.
Выбрать одну команду или приложение и зафиксировать источники, модели, классы данных и обходные пути.
Проверить prompt и ответ, применить allow, mask, block или escalate по согласованной политике.
Направить разрешённый запрос в local, on-prem или внешний контур по правилу, провайдеру и стоимости.
Сохранить вердикт, применённую политику и маршрут, чтобы расследовать инцидент и подтвердить контроль.
Корпоративные политики говорят «нельзя», команды находят обходные пути. Вместо запрета — наблюдение, политика и доказательная база.
ChatGPT, Claude, Gemini, Copilot — открыты с рабочих ноутбуков, в браузере и через расширения. SSO нет, политики не применяются, логов не существует.
PDF, веб-страница или e-mail вшивает инструкции в контекст агента. Без inline-проверки на injection / jailbreak инструмент исполняет команды атакующего.
Токены, ключи, выгрузки CRM, фрагменты исходного кода с проприетарной логикой попадают во внешний контур. DLP не различает структуру prompt и не понимает chat-контекст.
Где запрос? Какая модель? Какой вердикт? Кто видел чувствительные данные? Без append-only журнала вы не отвечаете аудиту и не реконструируете инцидент.
Без отдельных интеграций. На каждом prompt и каждом ответе — guardrails, политика, журнал.
Запрещённые темы, токсичность, нелегальный контент. Whitelist / blacklist / семантические правила. Применяется на ingress и egress.
Каскад из правил и BERT-классификатора + LLM-арбитр в спорных случаях. Распознаём indirect injection из вложений, MCP-источников и веб-контекста.
Allow / mask / route(on-prem) / block — на уровне группы, тенанта, инструмента. Версионирование и review-flow. Default deny — fail-closed.
Инвентаризация инструментов: что используется в реальности, кем, как часто. Sanctioned / restricted / blocked. Реестр live, без анкетирования сотрудников.
Секреты, токены, PII, фрагменты исходного кода с маркерами проприетарности. Маскирование с сохранением структуры (FPE) для последующего обоснования вывода.
Append-only журнал: request_id, text_sha256, вердикт, политика, эскалация. Без raw prompt в хранении — реконструкция и доказательство.
Шлюз стоит между приложением и моделью. На входе и выходе работает каскад: правила → классификатор → арбитр. Решение объяснимо, метаданные едут вместе с запросом, журнал пишется до того, как ответ дойдёт до пользователя.
Tier 0 — детерминированные правила, regex, sha256-словари. Tier 1 — BERT-классификатор: injection / PII / категория. Tier 2 — LLM-арбитр для пограничных случаев и контекстуальной оценки.
Каждое решение содержит decided_by, rule_id, confidence, escalation_path. Аудит реконструирует, почему prompt был замаскирован и кем.
Нет рискованных классов и нарушений. Полный аудит, метаданные в заголовках.
PII, секреты, токены заменяются плейсхолдерами с сохранением структуры. Reversible — для авторизованных ролей.
Чувствительный prompt автоматически уезжает на on-prem модель (через IAM.Router).
Запрос не доходит до модели. Пользователь получает человекочитаемую причину. Default deny при отка