Главная угроза корпоративного внедрения GenAI заключается не в галлюцинациях нейросети, а в предоставлении агентам избыточных системных привилегий. Если ассистент использует общую сервисную учетную запись с правами суперадминистратора, любая ошибка или промпт-инъекция ставит под удар закрытые данные. Разработчик компании AGIMA Назар Башинский описал инфраструктурный каркас для on-premise платформы, в которой безопасность обеспечивается жестким кодом, а не инструкциями в системном промпте.
Базовый постулат: код правит логикой, LLM отвечает за смысл
Ключевой инженерный компромисс платформы строится на минимизации недетерминированного поведения. Ветвления, API-запросы, циклы, валидация полей и запись в базы выполняются классическим кодом. Языковой модели отдается исключительно интерпретация естественного языка и сборка обобщенного контекста.
Для исключения прямого доступа агента к целевым системам (1С, Jira, ERP) инфраструктура разделена на независимые слои:
| Слой инфраструктуры | Назначение | Особенности реализации |
|---|---|---|
| Интерфейс коммуникации | Прием запроса и фиксация ID автора | Чат-бот Mattermost на базе Codex App Server |
| LLM Gateway | Маршрутизация к моделям, лимиты и DLP | Контроль расходов, маскирование данных, аудит |
| MCP Gateway | Шлюз инструментов и корпоративных API | Имперсонация сотрудника, интеграция с хранилищем секретов |
| База контекста | Централизованный источник знаний | Консолидированная БД, наполняемая фоновыми воркерами |
| Пакет скиллов | Версионируемые бизнес-сценарии | Жестко описанные границы действий и критерии отката |
| Аудит и трассировка | Сквозное логирование цепочки действий | Неизменяемый журнал всех шагов и примененных политик |
Имперсонация вместо сервисных учеток: концепция двух Gateway
В архитектуре разграничены два типа шлюзов, решающих принципиально разные задачи:
- LLM Gateway: фильтрует исходящие промпты через контур DLP, управляет очередями и перенаправляет вызовы к конкретным моделям без переписывания клиентской части.
- MCP Gateway: управляет обращениями к корпоративным сервисам, выступая прокси между моделью и реальным API.
Критически важный узел платформы — связка MCP Gateway с HashiCorp Vault через единую точку входа (SSO). Модель физически отрезана от учетных записей. Когда пользователь отправляет задачу в Mattermost, цепочка изолирует аутентификационные данные:
- Codex App Server фиксирует идентификатор авторизованного сотрудника и передает его в MCP Gateway.
- Шлюз обращается в Vault, извлекает токен доступа конкретного пользователя для запрашиваемой системы (например, трекера задач или финансового контура) и делает вызов строго с его правами.
- Если у работника нет доступа к просмотру баланса или закрытых тикетов, агент получает штатный отказ инфраструктуры.
- В контекстное окно языковой модели возвращается только очищенный результат выполнения операции — без сервисных заголовков и токенов.
Что бы ни запросил пользователь у модели и какую бы команду ни попытался сымитировать агент, система физически не предоставит данные сверх прав, привязанных к корпоративному профилю автора запроса.
Анатомия корпоративного навыка
Вместо хаотичных текстовых подсказок в платформе используется концепция версионируемых «скиллов» (skills). Каждый сценарий оформляется как инженерный артефакт со строгой спецификацией:
| Поле спецификации | Зона ответственности |
|---|---|
| Owner | Владелец сценария, отвечающий за качество и жизненный цикл |
| Process step | Конкретный шаг регламента, оптимизируемый агентом |
| Sources | Авторизованные источники данных и правила валидации происхождения |
| Permissions | Ролевая модель и контекст авторизации |
| Safety rules | Специфические ограничения безопасности и паттерны маскирования |
| Eval & Audit | Метрики оценки ошибок и правила фиксации событий в журнале |
| Rollback | Механизм деактивации или отката изменений при сбое |
Круглосуточный оркестратор фоновых процессов
Помимо диалогового бота для сотрудников, контур включает автономный pipeline orchestrator. Это набор сервисов, работающих в режиме 24/7. Они забирают сырые данные из разрозненных корпоративных источников, приводят их к единой схеме и наполняют общую контекстную базу данных, с которой агенты работают через оптимизированные SQL-запросы.
В зависимости от комплексности задачи фоновые агенты задействуют два типа интеграции с нейросетью:
- OpenAI Agents SDK: применяется для комплексных пайплайнов, требующих многошаговых рассуждений, промежуточного анализа и поочередного задействования нескольких инструментов;
- Прямой API-вызов: детерминированный одиночный запрос с фиксированным промптом для тривиальных задач классификации или нормализации строк.
Границы применимости on-premise контура
Инфраструктурный шлюз полностью исключает утечку сервисных токенов и защищает закрытые API от неконтролируемых модификаций агентом. Однако разработчики подчеркивают: периметровая защита LLM бессильна против ручного копирования данных человеком.
Для построения полноценной системы безопасности on-premise контур агентов должен дополняться административными инструментами: централизованным управлением конечными устройствами (MDM), блокировкой публичных облачных нейросетей на уровне шлюзов компании и мониторингом аномальной активности сотрудников.