Современный AI-агент уже не просто предлагает код. Он читает файлы, запускает команды, обращается к базам данных и вызывает MCP-инструменты — причём с правами пользователя, под которым работает.
Одна ошибка, вредоносный MCP-сервер или prompt injection — и агент может попытаться прочитать
.env, забрать SSH-ключ, выполнить rm -rf или отправить данные во внешнюю систему.Airlock контролирует не рассуждения модели, а реальные действия агента.
Каждый вызов проходит через политику безопасности и получает один из трёх вердиктов:
✅ разрешить;
⚠️ запросить подтверждение;
⛔️ заблокировать.
Что умеет Airlock:
— перехватывает вызовы stdio-MCP независимо от используемого агента;
— контролирует нативные инструменты Claude Code через хуки;
— сканирует скиллы и конфигурации до установки;
— обнаруживает изменение набора MCP-инструментов после проверки;
— блокирует обращения к секретам и опасные команды;
— помогает сформировать политику минимальных привилегий на основе реального поведения;
— ведёт связанный хешами журнал действий, в котором видно вмешательство в историю.
Можно начать с режима
yolo: Airlock ничего не блокирует, а только наблюдает. Затем команда airlock policy propose предложит правила на основании того, что агенты действительно делали.Но важно понимать границы. Airlock не устраняет саму prompt injection — он блокирует действие, которое она пытается заставить выполнить. Нативные file/shell-инструменты Cursor, Windsurf, Cline и Codex пока не перехватываются. MCP поверх HTTP/SSE также пока не поддерживается. Для полноценной защиты всё равно нужны изоляция, минимальные права и контроль сетевого доступа.
Для меня это показательный сдвиг: безопасность агентов постепенно переходит от фильтрации текста к контролю исполняемых действий. Именно такой слой потребуется компаниям, которые хотят допустить AI-агентов к реальным корпоративным системам.
Статья:
https://securitylab.pro/blog/airlock-runtime-firewall-dlya-ai-agentov/
Прямая ссылка на GitHub:
https://github.com/cyberbobas/airlock
https://t.me/horizon_singularity
#AI #AIAgents #MCP #CyberSecurity #PromptInjection #OpenSource