Безопасный вайб-кодинг: автономные ИИ-агенты в CI/CD контуре предприятия

Что требует Приказ ФСТЭК России № 117

в силе с 01.03.2026, взамен приказа № 17 · Проверено: 21.09.2026 — по отраслевому разбору методики к приказу № 117 (habr.com/ru/companies/swordfish_security); дословный текст приказа на fstec.ru построчно не сверялся.

• для систем с применением искусственного интеллекта — контроль применяемых моделей и обучающих данных (требования req-60 / req-61)
• запрет передачи сведений ограниченного доступа разработчикам моделей, в том числе через облачные интерфейсы
• исключение недекларированных деструктивных воздействий и протоколирование вызовов внешних функций

Где болит

В конвейере сборки автономному агенту выдан доступ к репозиторию, хранилищу секретов, оболочке и пакетным менеджерам. Обычные средства защиты его не видят: токен легитимен, запросы правильные, а опасность — в комбинации параметров вызова. Скрытая инструкция в подтянутой зависимости, в тексте задачи или в комментарии кода заставляет агента выкачать ключ доступа, внести закладку в артефакт сборки или выполнить разрушающую операцию с базой — всё в пределах выданных прав.

Чем закрывается

MITR Sentinel. Вызов инструмента перехватывается до исполнения и проверяется детерминированно, по заданным правилам: вывод секретного ключа наружу, выход за рабочую директорию, разрушающая операция с базой без условия, опасная команда оболочки — не доходят до исполнителя. Проверка воспроизводима и не обходится переформулировкой запроса; при блокировке агент получает причину отказа и не зацикливается. Открытый код — ниже.

ISS Ledger 117. Каждое решение барьера в конвейере пишется в журнал с хеш-цепочкой по ГОСТ «Стрибог»: что запрашивалось, какое условие проверялось, каков исход и когда. Подмена записи задним числом рвёт цепочку — след получает доказательную силу для инспектора.

Быстрый старт: обернуть свой MCP-сервер

Уязвимый MCP-сервер не запускается напрямую — он оборачивается в mcp-sentinel wrap, и каждый вызов инструмента проверяется до исполнения, а ответ сервера — до передачи агенту. Пакет написан на чистом Python без сторонних зависимостей и ставится без доступа в сеть.

Установка

# изолированный контур: файлы .whl скачаны заранее, сеть не нужна
pip install --no-index --find-links ./wheels mcp-sentinel
# с доступом в сеть
pip install --find-links https://isslab.ru/wp-content/uploads/iss-utils/index.html mcp-sentinel

Конфигурация Claude Code / Cursor — claude_desktop_config.json или ~/.cursor/mcp.json

{
  "mcpServers": {
    "postgres-secure": {
      "command": "mcp-sentinel",
      "args": ["wrap", "--ledger", "/var/log/fstec117_audit.jsonl", "--agent", "claude-code", "--",
               "npx", "-y", "@modelcontextprotocol/server-postgres", "postgresql://user:pass@localhost/prod"]
    }
  }
}

Проверка одного вызова из консоли

mcp-sentinel check --tool sql_query \
  --args '{"query": "DROP TABLE users;"}'
# BLOCK — разрушающая операция DROP TABLE остановлена, код выхода 2

Агент на Python: подключение одним импортом — пакет iss-agent-kit

from iss_agent_kit import AgentGuard
guard = AgentGuard(ledger_path="/var/log/agent_gost.jsonl")
result = guard.run(execute_sql, "sql_query", {"query": "SELECT id FROM users WHERE id = 1;"})

Команды этого раздела исполняются при приёмке каждой версии в чистом окружении без сети — теми же строками, что напечатаны здесь. Журнал по пути —ledger ведётся цепочкой по ГОСТ Р 34.11-2012 и пересчитывается внешним проверщиком без установки чужого программного обеспечения.

Вопросы

Как барьер встаёт в конвейер сборки?

Обёрткой: агент вызывает инструменты не напрямую, а через mcp-sentinel wrap, который проверяет каждый вызов до передачи в оболочку, репозиторий или базу. Установка из открытого пакета, без внешних зависимостей; конфигурация Claude Code и Cursor приведена ниже.

Какие именно действия блокируются?

Четыре контракта среды разработки: выход за доверенную директорию и доступ к чувствительным файлам, разрушающие операции с базой без ограничивающего условия, вывод секретов и ключей наружу, опасные команды оболочки. Перечень контрактов открыт и проверяется в коде.

Работает ли это в изолированном (air-gapped) контуре?

Да. Реализация на чистом Python без внешних зависимостей; журнал проверяется автономным однофайловым скриптом, переносимым на изолированную машину. Целевые ОС — Astra Linux, РЕД ОС, Альт Линукс.

Продуктовая линия целиком — кибербезопасность института. У каждого числа стоит дата замера и поверхность независимой проверки.