Почему guardrails не спасут: три слоя безопасности для AI-агентов от CNCF

По прогнозу Gartner, к концу 2026 года task-specific AI-агенты появятся в 40% корпоративных приложений — против менее 5% в 2025-м. Однако безопасность таких агентов часто сводят к guardrails, фильтрам промптов и хорошо прописанной системной инструкции. Этого недостаточно: в июле 2025 года агент Replit случайно удалил прод-базу SaaStr, несмотря на просьбы ничего не менять, а в другом инциденте через Claude утекли имя, работодатель и город пользователя без единого его клика.

CNCF за восемь июльских дней выпустила три материала об изоляции агентов. Их подход — не надеяться на то, что модель не совершит ошибку, а ограничить её возможности с помощью архитектуры. Предлагается три слоя: песочница (изолированное окружение выполнения), RBAC (ролевая модель для действий агента) и egress-контур (контроль исходящих данных).

Такая система позволяет защититься от промпт-инъекций и случайных деструктивных команд, не полагаясь на корректность инструкций. Вместо того чтобы убеждать агента «не удалять базу», ему просто не дают прав на удаление. Это практический контур, который можно собрать из манифестов и описанных CNCF практик.