Корпоративная сеть меняется не только по составу трафика, но и по тому, кто в ней действует. Всё чаще это не сотрудник, а программный агент: он аутентифицируется, выбирает модель, находит инструменты, вызывает API, читает данные, меняет системы и передаёт работу дальше — без человека на каждом шаге. Вице-президент по продуктам Cisco Security Антон Чувакин разбирает в блоге компании, что это означает для фаервола и почему сеть остаётся точкой, где намерения ИИ-агента превращаются в наблюдаемые действия.
Одна команда — сотни машинных соединений
Пример из статьи: просьба «почини сломанную сборку». Агент для написания кода может обратиться к репозиторию, проконсультироваться с моделью, найти MCP-сервер, скачать зависимости, изменить код и запустить тесты. Для пользователя это одна задача, для сети — множество отдельных соединений, а для службы безопасности — цепочка действий, выполненных по делегированным полномочиям.
Отсюда главный сдвиг: единицей риска становится не сессия, а задача. Классические вопросы фаервола — кто общается, через какое приложение, куда и разрешать ли соединение — остаются нужными, но перестают отвечать на главное. Валидный агент с валидным токеном и одобренным адресом назначения всё равно может выйти за рамки роли: его способен перенаправить вредоносный контент, скомпрометированный инструмент или слишком широкая инструкция.
Два соединения между одними и теми же системами на уровнях 3 и 4 выглядят одинаково, а последствия несут разные. Прочитать репозиторий — не то же самое, что переписать его. Запросить производственную базу — не то же самое, что выгрузить её содержимое. Поэтому политика должна сместиться с вопроса «может ли этот субъект подключиться?» к вопросу «действует ли он в рамках своей роли и делегированных полномочий?». Ответ требует контекста шире IP-адресов и портов: сам агент, его идентичность и владелец, выполняемая задача, используемые модель и инструменты, а также поведение после подключения. Ни один сетевой поток такого контекста не даёт — его нужно собирать из систем идентичности, приложений, конечных устройств и сети.
Трафик ИИ уходит внутрь периметра
Соблазнительно свести безопасность корпоративного ИИ к контролю доступа сотрудников к публичным языковым моделям. Cisco называет это лишь первой главой. Из-за стоимости, задержек, требований приватности, защиты интеллектуальной собственности, суверенитета и регулирования компании разворачивают частные модели, небольшие языковые модели и сервисы инференса ближе к своим приложениям и данным.
Типовая архитектура выглядит так:
Пользователь → Агент → Внутренняя модель → MCP-сервер → Приложение → Данные
Агенты общаются с внутренними инструментами, репозиториями, базами данных, API и другими агентами. Значительная часть этой активности может вообще не покидать предприятие. Больше корпоративного ИИ не обязательно означает больше трафика наружу — скорее резкий рост трафика внутри периметра. Доверенных границ внутри становится больше, и это повышает значение Hybrid Mesh Firewall — модели, где применение политик распределено по физическим, виртуальным, облачным и сетевым средам.
Атаки ускоряются, и фаервол покупает время
Противники тоже берут ИИ на вооружение: ускоряют разведку, находят и доводят до оружия уязвимости, готовят более убедительные приманки и меняют полезную нагрузку быстрее, чем обновляются сигнатуры. Окно между раскрытием уязвимости и её эксплуатацией сокращается с недель до дней, а в отдельных случаях — до часов.
Патчи редко выходят так быстро. Это возвращает актуальность одной из старейших функций фаервола — выигрывать время. Виртуальное патчинг закрывает уязвимые системы до установки исправлений. Поведенческое обнаружение и модели машинного обучения ловят варианты атак, которых не видели сигнатуры. В Cisco Secure Firewall за это отвечает SnortML: по словам компании, он покрывает целые классы уязвимостей, а не отдельные эксплойты, а защиту можно развернуть на всех точках применения за минуты, а не к следующему окну изменений.
Сеть даёт независимое доказательство действий
Идентичность говорит, кто или что действует. Политика определяет, что должно быть разрешено. Приложения дают собственный отчёт о произошедшем. Сеть предлагает другую точку обзора — независимое свидетельство того, что коммуникация действительно состоялась.
Фаервол не читает мысли агента, не выводит каждую задачу из зашифрованных пакетов и не видит действий, которые вообще не проходят через сеть. Но когда агент обращается к инструменту, открывает сервис, перемещает данные или пересекает доверенную границу, эти коммуникации становятся наблюдаемыми, а в нужной точке — управляемыми. Чем быстрее и автономнее работают агенты, тем ценнее такой независимый взгляд. Он же нужен SOC, когда что-то пошло не так: логи агента пишет сам агент, находящийся под расследованием, а сетевую запись — нет. На вопрос «чего этот агент на самом деле касался?» телеметрия фаервола даёт независимый ответ.
Осматривать по риску, отказывать по-человечески
Фаервол эпохи ИИ должен понимать не только приложения и адреса назначения. Ему нужен контекст о нечеловеческих идентичностях, агентах, моделях, инструментах и делегированных полномочиях, а также видимость новых протоколов вроде MCP, A2A и API моделей. И он должен связывать взаимодействия между собой: чтение репозитория может быть рутиной, а вот чтение репозитория, за которым следует неожиданное подключение к производственной системе и массовая передача данных, — уже другая история. Каждый поток по отдельности может быть разрешён, а последовательность — указывать на нарушение политики.
Речь не о том, чтобы гонять тяжёлый инференс по каждому пакету, а о соответствии глубины проверки риску. Лёгкие модели помогают классифицировать зашифрованный трафик, определять приложения и выявлять аномалии. Encrypted Visibility Engine в Cisco Secure Firewall уже определяет клиентские приложения в TLS-трафике без расшифровки. Более глубокая проверка, включая расшифровку и семантический анализ там, где это разрешено, применяется выборочно — когда доказательства, уверенность и риск оправдывают затраты.
Отдельный вопрос — как именно фаервол говорит «нет». Человек, упёршись в блокировку, видит ошибку, останавливается и просит помощи. Агент может поступить иначе: начать повторять попытки, искать обходной путь к тому же ресурсу или просто выйти, оставив репозиторий наполовину изменённым, а конвейер — в несогласованном состоянии. Молча сброшенное соединение — худший ответ для автономного субъекта. Там, где фаервол посредничает в протоколах агентов вроде MCP и API моделей, отказ должен быть структурированным: машиночитаемый ответ сообщает агенту и его владельцу, что заблокировано, какая политика сработала и что делать дальше — остановиться, передать вопрос человеку или запросить одобрение. Каждый отказ становится доказательством для службы безопасности.
Производительность — тоже требование безопасности
Один человеческий запрос может вызвать сотни взаимодействий «агент — агент» и «машина — машина». Если безопасность не успевает, приходится выбирать между защитой и производительностью. Многие сетевые решения работают в бюджете микросекунд, поэтому Cisco предлагает разделение труда: аппаратное ускорение для высокоскоростных функций, специализированный инференс для отдельных классификаций и более глубокий программный анализ там, где он добавляет ценность. Цель сформулирована как «больше безопасности на пакет, на ватт и на микросекунду». Специализированные фаерволы при росте ИИ не теряют актуальности: их пропускная способность, отказоустойчивость и глубокая проверка важнее по мере роста автономного трафика, особенно внутри предприятия.
Политику задаёт человек, предлагает ИИ
Управление может оказаться сложнее самой проверки. У предприятий уже есть огромные базы правил, а теперь добавляются короткоживущие рабочие нагрузки, автономные агенты, частные модели и инструменты, обнаруживаемые динамически во время работы. Ни один администратор не опишет все связи вручную статическими правилами.
Управление политиками должно двигаться к намерениям. Администратор формулирует бизнес-границу, например: «Агенты разработки могут обращаться к одобренным моделям, инструментам и репозиториям, но не должны подключаться напрямую к производственным системам». ИИ помогает найти зависимости, предложить политики, смоделировать последствия, выявить пробелы и обнаружить расхождения. Автоматизация берёт на себя больше низкорисковых обратимых изменений, а значимые решения сохраняют одобрения и откат. Принцип при этом остаётся жёстким: ИИ предлагает, детерминированная политика решает. Цель — не фаервол, который непредсказуемо переписывает собственные правила, а фаервол, которым радикально проще управлять без потери контроля.
Честность о границах видимости
Следующее поколение фаерволов Cisco описывает как непрерывный цикл: наблюдать → атрибутировать → оценивать → проверять → применять → учиться. Неизвестные приложения, ошибки классификации, поведенческие аномалии, исключения из политик и отзывы аналитиков должны улучшать будущие решения. Но вывод — не уверенность: решениям нужны объяснимые доказательства, откалиброванная уверенность и ясное происхождение.
Не менее важна доказанность покрытия — способность сказать службе безопасности, что путь коммуникации применяется полностью, применяется частично, только наблюдается, не поддерживается или неизвестен. Часть активности агентов остаётся на хосте, шифрование ограничивает видимость, не каждый поток можно и нужно расшифровывать. Доверие возникает не из заявлений «мы видим всё», а из точности: что мы знаем, откуда, насколько уверены и что осталось вне обзора.
Что это меняет для администратора
Если в вашей инфраструктуре появляются агенты, обращающиеся к внутренним моделям, MCP-серверам и API, прежняя модель «правило по адресу и порту» перестаёт описывать реальные отношения между системами. Практический вывод из материала Cisco: закладывайте контекст задачи и владельца агента, разделяйте чтение и запись, следите за последовательностями действий, а не только за отдельными соединениями. И проверяйте, умеет ли ваш фаервол отвечать агенту машинночитаемым отказом — иначе автоматика будет биться в закрытую дверь или искать обход.
Частые вопросы
Кого касается эта статья?
Прежде всего компании, которые разворачивают ИИ-агентов во внутренней инфраструктуре: агентов для кода, работу с MCP-серверами, частные модели и сервисы инференса. Также — службы эксплуатации и SOC, которым нужно объяснять, что именно делал агент.
Чем задача отличается от сессии с точки зрения безопасности?
Сессия — это соединение, а задача — цепочка действий по делегированным полномочиям. Один запрос пользователя может породить сотни машинных взаимодействий, и риск оценивается по всей цепочке, а не по отдельному потоку.
Почему валидного токена недостаточно?
Потому что легитимный агент с легитимным токеном и одобренным адресом назначения всё равно может выйти за рамки роли. Причиной бывает вредоносный контент, скомпрометированный инструмент или слишком широкая инструкция.
Что такое Hybrid Mesh Firewall?
Это модель Cisco, в которой применение политик распределено по физическим, виртуальным, облачным и сетевым средам. Она нужна потому, что доверенных границ внутри предприятия становится больше.
Что такое виртуальное патчинг и зачем оно нужно?
Это защита уязвимых систем до установки исправлений. Окно между раскрытием уязвимости и эксплуатацией сократилось до дней и часов, а патчи выходят медленнее — виртуальное патчинг выигрывает время.
Как фаервол должен отвечать агенту при блокировке?
Структурированным отказом: машиночитаемый ответ сообщает, что заблокировано, какая политика сработала и что делать дальше — остановиться, эскалировать человеку или запросить одобрение. Молча сброшенное соединение — худший вариант.
Нужно ли расшифровывать весь трафик агентов?
Нет. Cisco предлагает сопоставлять глубину проверки с риском: классификация зашифрованного трафика без расшифровки, а расшифровка и семантический анализ — выборочно, когда это оправдано. Часть активности вообще не проходит через сеть.
Что означает «ИИ предлагает, детерминированная политика решает»?
ИИ помогает обнаружить зависимости, предложить правила, смоделировать последствия и найти расхождения. Но итоговое решение принимает детерминированная политика с одобрениями и откатом, а не сам фаервол, переписывающий правила на лету.
Можно ли утверждать, что фаервол видит всё?
Нет, и Cisco прямо это признаёт: часть действий остаётся на хосте, шифрование ограничивает видимость, не каждый поток нужно расшифровывать. Вместо обещания полной видимости предлагается доказанность покрытия по каждому пути коммуникации.
Как это связано с наблюдаемостью ИИ-сетей?
Рост числа агентских взаимодействий уже повышает расходы на телеметрию — компании тратят на наблюдаемость больше, чем на саму инфраструктуру, а вендоры добавляют автономное управление сетью, как Agent ONE Operator от Extreme Networks.
Источник: blogs.cisco.com