Словом «AI firewall» в России называют три разные вещи, и продают их одни и те же люди на одних и тех же встречах. Первое — прокси между сотрудником и языковой моделью, который смотрит текст запроса и ответа. Второе — перехват вызовов инструментов у ИИ-агента, то есть контроль действий, а не текста. Третье — сканер, который атакует вашу модель до вывода в эксплуатацию и уходит, не оставаясь в контуре. Три задачи, три архитектуры, три разных бюджета.
Я веду таблицу российских продуктов для защиты ИИ: восемнадцать записей, срез на 5 сентября 2026 года, у каждой проверены страница продукта, документация и карточка Реестра российского ПО. Дальше — что из этой таблицы следует для того, кто сейчас выбирает.
Восемнадцать продуктов, пять классов
Раскладка по тому, что продукт делает, а не как он называется:
| Класс | Сколько | Что делает |
|---|---|---|
| Защита LLM | 11 | Прокси или шлюз между пользователем и моделью: разбор промпта и ответа, поиск инъекций и персональных данных, политики и аудит |
| Агенты и runtime | 2 | Перехват вызовов инструментов и MCP, права агента, kill switch |
| Red teaming | 3 | Атаки на модель до эксплуатации: состязательные примеры, отравление данных, обход защиты |
| Защита кода | 1 | Поиск уязвимостей в процессе написания кода, языковая модель внутри анализатора |
| Оценка и сервисы | 1 | Сервисное направление: оценка угроз, данных, моделей и инфраструктуры |
Одиннадцать из восемнадцати — это шлюзы перед моделью. Рынок сложился вокруг самой понятной задачи: сотрудник открыл чат, надо посмотреть, что он туда отправляет. Задача настоящая, спорить не с чем. Но она закрывает первый сценарий из трёх.
Реестр: пять подтверждённых записей из восемнадцати
Это самая неудобная часть таблицы, поэтому она в ней отдельной колонкой.
- 5 записей подтверждены по карточке — Innostage AIDR, InfEra AI.Firewall, AppSec.AIGate, AppSec.GenAI, INFERA AI.SafeCode.
- 3 — частично: запись есть, но на базовый комплекс или другой модуль. Platform V SOWA AI живёт под записью Platform V SOWA от 2022 года, SolidWall AI Security Gateway — под записью межсетевого экрана SolidWall от 2020 года, InfEra ML Red Teaming отдельным продуктом не является и входит в состав AI.Firewall.
- 4 — заявки поданы, решения по ним нет: StarGuard AI, «Луми 42», Strazh, HiveTrace.
- 6 — без подтверждённой записи на продукт.
Здесь ошибаются дважды. Первое: запись в реестре не означает сертификат ФСТЭК. Реестр российского ПО отвечает на вопрос о происхождении, а не о соответствии требованиям по безопасности. Второе: совпадение названия ничего не доказывает. Запись № 14294 со словом Prizma принадлежит другому правообладателю. В реестре есть пять чужих продуктов со словом AIST, и ни один не принадлежит «Лаборатории Касперского». Аккредитация ИТ-компании — тоже не запись на программу.
Двух продуктов, о которых спрашивают, не существует
Это не придирка к формулировкам, это про закупку, которая пошла не туда.
«Innostage AI Gate». У Innostage четыре продукта: PAM, TDIR, «Матрица доступа» и AIDR. Защитой ИИ занимается только AIDR. Название «AI Gate» возникает из-за путаницы с AppSec.AIGate — другой компании.
LLM-файрвол «Гарды». Его нет. ИИ в линейке ищет персональные данные для маскирования и отвечает за предиктивную аналитику «Гарда NPM». «Гарда WAF» — межсетевой экран уровня приложений, и называть его LLM-файрволом нельзя: он разбирает веб-запросы, а не диалог с моделью.
Сюда же: GigaChat и YandexGPT — это модели и сервисы, а не средства их защиты, AltAI — нейроморфный процессор. Средства ИБ со встроенным машинным обучением — соседняя категория и отдельная таблица.
Чего шлюз перед моделью не делает
Одиннадцать продуктов из восемнадцати работают с текстом: смотрят промпт на входе, ответ на выходе, ищут инъекции, джейлбрейки и персональные данные. На сценарии «сотрудник переписывается с моделью» этого хватает.
Дальше начинается агент, и логика ломается. Опасное действие агента — это не текст, а вызов инструмента: удалить файл, отправить письмо, сходить в базу. Команда до модели не доходит, она из неё выходит и исполняется обвязкой вокруг модели, внутри процесса, не выходя в сеть. Шлюз этого вызова не видит: с его точки зрения агент просто поговорил.
Поэтому в таблице класс «Агенты и runtime» отделён от «Защиты LLM», и в нём всего две записи — HiveTrace с мониторингом вызовов инструментов начиная с версии 4.2 и INFERA AI.SafeAgent с перехватом вызовов, проверкой аргументов, kill switch и режимом fail-closed. Две из восемнадцати. Сам механизм описан в разделе «Безопасность ИИ-агентов».
Что спросить у вендора до пилота
Шесть вопросов, по которым продукты расходятся быстрее, чем по сравнению таблиц с галочками.
- Где встаёт продукт? Прокси, ICAP, API-шлюз, плагин, агент на хосте. От этого зависит, что он в принципе способен увидеть.
- Он видит вызовы инструментов и MCP или только текст? Если только текст — это шлюз перед моделью, и агентов он не закрывает.
- Что происходит, когда продукт недоступен? Запрос проходит или блокируется. Режим fail-closed заявляют не все, но он важнее списка детекторов.
- Куда уезжают промпты? On-premise, гибрид или облако вендора. Для промптов, в которые сотрудники вставляют внутренние документы, это тот же вопрос, что и для DLP.
- Что именно в реестре — продукт или базовый комплекс? Номер записи открывается в реестре за минуту. Если запись на другой модуль, узнайте об этом до конкурса.
- Как проверяется, что запрет сработал? Не «покажите отчёт», а «воспроизведите на стенде запрещённое действие и покажите, что оно не выполнилось».
Таблица обновляется, статьи — нет
Рынок движется быстро: один продукт уже растворился внутри другого, четыре заявки в реестре ждут решения, статусы меняются между срезами. Поэтому список живёт в таблице с датой среза, а не в тексте статьи — перед закупкой перепроверяйте и статус, и состав функций.
Открыть таблицу «Российские продукты для защиты ИИ» →
Таблица под лицензией CC BY 4.0: пользуйтесь в презентациях и внутренних документах, ставьте ссылку.
Частые вопросы
Обязателен ли LLM-файрвол по приказу ФСТЭК № 117
Нет. Приказ подписан 11 апреля 2025 года, опубликован 17 июня 2025 года и утверждает требования к защите информации в государственных и иных информационных системах госорганов, отменяя приказ № 17. Обязательным компонентом он LLM-файрвол не делает: применимость зависит от системы, её категории и модели угроз. Продавец, который говорит иначе, продаёт не по документу.
Чем AI firewall отличается от WAF
Уровнем и предметом разбора. WAF разбирает веб-запрос: параметры, заголовки, тело, известные шаблоны атак на приложение. Шлюз перед моделью разбирает диалог: текст промпта и ответа, инъекции, джейлбрейки, персональные данные, расход токенов. Общего у них только слово «межсетевой экран» и место в схеме.
Достаточно ли одного шлюза перед моделью
Для сценария «сотрудник переписывается с чатом» — в основном да. Для агентов — нет: они действуют инструментами, а не текстом, и вызов инструмента шлюз не видит. Считайте это двумя разными закупками, даже если их предлагает один вендор.
Что важнее при выборе — запись в реестре или функции
Зависит от того, кто покупает. Госзаказчику запись нужна как условие допуска, и проверять её надо по карточке, а не по заявлению вендора. Коммерческой компании запись говорит о происхождении продукта и ни о чём больше: соответствие требованиям по безопасности она не подтверждает.
Почему в таблице нет зарубежных продуктов
Потому что вопрос, с которым ко мне приходят, звучит «что из этого можно поставить в России». Зарубежные шлюзы в этот вопрос не попадают ни по закупке, ни по доступности обновлений.