Защита ИИ-агентов по протоколу MCP от инъекций: локальные модели, Claude Code, Cursor

Что требует Приказ ФСТЭК России № 117

для государственных информационных систем и систем госорганов, ГУП и госучреждений; в силе с 01.03.2026 взамен приказа № 17, изменения — приказ № 137 от 08.05.2026 · Проверено: 16.10.2026 — по тексту Требований в ред. от 08.05.2026 и тексту проекта изменений 170500; кратко — приказ № 117 по тексту.

• п. 34 «т»: защита информации при использовании искусственного интеллекта — одно из 21 обязательного мероприятия;
• п. 60: исключить несанкционированный доступ и воздействие на систему через наборы данных, модели ИИ и их параметры; не передавать разработчику модели информацию ограниченного доступа, в том числе для улучшения модели;
• п. 61: шаблоны или допустимые тематики запросов и ответов с контролем соответствия, статистические критерии недостоверных ответов, исключение нерегламентированного влияния ИИ на модель и работу системы;
• проект изменений от 24.08.2026 (regulation.gov.ru, № 170500), с 01.03.2027: отдельный сегмент для моделей ИИ, минимальные права, меры для агентов ИИ, в том числе автономных, против несанкционированного воздействия на ресурсы системы — разбор проекта.

Где болит

Разработчики и аналитики внедрили агентов на локальных моделях, но у службы ИБ нет ни одного инструмента для контроля допустимости их действий. Зарубежные средства требуют облаков за пределами РФ или компонентов, неприменимых в изолированном контуре; вторая модель-надзиратель сама подвержена обходу и добавляет задержку.

Чем закрывается

MITR Sentinel. Вызов инструмента перехватывается до исполнения и проверяется детерминированно, по заданным правилам, а не второй моделью: разрушающая операция с базой без условия, выход за рабочую директорию, вывод секретного ключа, опасная команда оболочки — не доходят до исполнителя, если совпали с образцом запрета. При блокировке агент получает причину отказа — сработавшее правило. Открытый код — ниже.

ISS Ledger 117. Каждое решение шлюза пишется в журнал с хеш-цепочкой по ГОСТ «Стрибог»: выборочная правка записи задним числом рвёт цепочку, и проверяющий видит разрыв.

Граница. Что здесь утверждается, а что нет. Шлюз стоит в разрыве протокола MCP и проверяет вызов инструмента, а не поставщика среды: он не знает и не спрашивает, чем именно пользуется разработчик — корпоративным агентом на локальной модели, отечественной средой разработки или зарубежным помощником. Какие среды допущены в конкретной организации — её политика и предмет отдельных требований; работе шлюза ни одна из них не условие. Ограничения на передачу сведений ограниченного доступа разработчикам моделей, в том числе через облачные вызовы, при этом никуда не деваются — шлюз их не заменяет и не снимает.

Быстрый старт: обернуть свой MCP-сервер

Уязвимый MCP-сервер не запускается напрямую — он оборачивается в mcp-sentinel wrap, и каждый вызов инструмента проверяется до исполнения, а ответ сервера — до передачи агенту. Пакет написан на чистом Python без сторонних зависимостей и ставится без доступа в сеть.

Установка

# изолированный контур: файлы .whl скачаны заранее, сеть не нужна
pip install --no-index --find-links ./wheels mcp-sentinel
# с доступом в сеть
pip install --find-links https://isslab.ru/wp-content/uploads/iss-utils/index.html mcp-sentinel

Конфигурация Claude Code / Cursor — claude_desktop_config.json или ~/.cursor/mcp.json

{
  "mcpServers": {
    "postgres-secure": {
      "command": "mcp-sentinel",
      "args": ["wrap", "--ledger", "/var/log/fstec117_audit.jsonl", "--agent", "claude-code", "--",
               "npx", "-y", "@modelcontextprotocol/server-postgres", "postgresql://user:pass@localhost/prod"]
    }
  }
}

Проверка одного вызова из консоли

mcp-sentinel check --tool sql_query \
  --args '{"query": "DROP TABLE users;"}'
# BLOCK — разрушающая операция DROP TABLE остановлена, код выхода 2

Агент на Python: подключение одним импортом — пакет iss-agent-kit

from iss_agent_kit import AgentGuard
guard = AgentGuard(ledger_path="/var/log/agent_gost.jsonl")
result = guard.run(execute_sql, "sql_query", {"query": "SELECT id FROM users WHERE id = 1;"})

Команды этого раздела исполняются при приёмке каждой версии в чистом окружении без сети — теми же строками, что напечатаны здесь. Журнал по пути —ledger ведётся цепочкой по ГОСТ Р 34.11-2012 и пересчитывается внешним проверщиком без установки чужого программного обеспечения.

Вопросы

Почему не вторая модель-надзиратель?

Управляющий контур обязан обладать разнообразием не меньшим, чем управляемый (закон необходимого разнообразия Эшби). Надзорная модель слабее поднадзорной и обходится синонимами и стеганографией; детерминированная проверка вызова воспроизводима и промптом не обходится.

Какая задержка у перехвата?

Проверка контрактов в памяти — медиана 0,015 мс; сквозной цикл с записью решения в ГОСТ-журнал на диск — медиана 22,5 мс (N=100, замер 21.09.2026). Без вторичной модели, чистая математика и грамматика.

Зачем это всё и чем ИБ 3.0 отличается от привычного стека — разбор на десять минут.

Продуктовая линия целиком — кибербезопасность института. У каждого числа стоит дата замера и поверхность независимой проверки.