Шлюз стоит перед ИИ-агентом и моделью завода и на каждый запрос отвечает на три вопроса: кто обращается, что он хочет сделать, имеет ли право.
Не даёт перехватить ИИ инъекцией, джейлбрейком или командой из чужих данных.
Запрещает неавторизованному агенту читать/менять записи, массово выгружать и перебирать.
Ловит утечку токенов, ключей, карт и персональных данных во входе и в ответе.
Файрвол вызовов: опасные действия, цепочки и эксфильтрация наружу блокируются.
Фильтрует операционно-вредные просьбы (оружие/ВВ, вредоносный код, насилие).
Данные настоящие — нагрузки из PyRIT / garak / AgentDojo и присланных датасетов, разбор идёт через живой конвейер (без заглушек). Опасные места подчёркиваются вот так. Канал «вывод инструмента» — косвенная инъекция (текст приходит из данных, а не от пользователя). Результат показывается честно: где-то ✗ пропуск — это реальный предел, а не скрыт.