BastionAgent

BastionAgent — активная защита периметра от чужих автономных ИИ-агентов. В 2026-м атаку всё чаще ведёт не человек, а агент: он сам читает баннеры, сам находит секреты, сам решает следующий шаг и проходит полный цикл «нашёл дыру → украл креды → забрал всё» за 6–10 часов вместо недель. Классический периметр (WAF, IDS, бан по IP, ловушка под человека) такую машину не видит и не удерживает. BastionAgent решает это не блокировкой, а подменой реальности. Агент натыкается на мёртвые водяные креды именно там, где их и ищет, «успешно» ворует их и попадает в клетку из сфабрикованных данных, где каждый его шаг превращается в улику и доказуемую атрибуцию, даже через ротацию IP.

WAF смотрит на запросы. У агента уже есть план

Автономный атакующий — не человек и не nmap. Он читает каждую 404, баннер SSH и забытый .env как факт, из которого делает вывод. Он не останавливается от бана по IP. И пока он только читает, «взлома» формально ещё нет, сигнализации молчат, а полный план атаки уже построен.

Классическая ловушка-приманка (по-английски её называют honeypot) отказывает украденному паролю. Для осторожной модели этот отказ — доказательство, что приманка фальшивая: одна из штурмовых моделей так прямо и написала, а следующим шагом посоветовала «сменить пароль от продовой базы». Мы это перевернули: чтение разрешено, обнаружение происходит на использовании, а успех атакующего — это клетка.

Шесть механизмов превращают каждое касание крепости в улику

Центральная идея: агент не может перестать понимать прочитанное, не перестав быть агентом. Сканер не понимает по устройству — он сопоставляет сигнатуры. Человек понимает, но осторожен и недоверчив. Агент понимает и при этом буквален, быстр и исполнителен — ради этого его и запустили. Ловушки на понимании не обходит даже самая продвинутая модель, которая уверенно распознаёт обычные инъекции в промпт.

Не поток алертов, а нарратив: что делал этот конкретный атакующий

Единица учёта — эпизод атаки: всё, что сделал один атакующий за один заход. Экраны ниже — реальные данные штурмового стенда, не макет.

На карточке атакующего — оценка угрозы, свёрнутая цепочка атаки и разворачиваемый журнал, где каждая строка объясняет, почему это улика, вплоть до вероятности по классам актора: AGENT_DIRECT / AGENT_SWARM / TOOL / HUMAN, с честным UNKNOWN, когда доказательств не хватает. На экране Traps видно качество каждого класса зондов: высокая доля срабатываний против одного источника — компетентный агент, много игнорирований при нуле срабатываний — обычный шумовой фон сканеров и людей.

У ловушки нет «безобидного» пути — сработать случайно нельзя

Каждый класс зондов проверяется линтером на отсутствие безобидного пути: действие по нему физически невозможно совершить случайно. Поэтому срабатывание (fired) — это доказательство агентности, а игнорирование (ignored) — ожидаемое, нормальное поведение человека и сканера.

Grok, GLM, DeepSeek, Qwen — против нашего собственного стенда

16 авторизованных прогонов: четыре самые сильные модели на рынке в роли пентестеров атаковали изолированный локальный стенд (127.0.0.1, мёртвые креды, без выхода в сеть), ни одна реальная система не была затронута. Каждая модель попалась по-своему, и это уже само по себе разведданные.

Мы публикуем и свои провалы. Девять раз штурмовые модели ловили саму систему на телях (ротация зондов между запросами, пустые токены, голый отказ вместо клетки), все закрыты фиксами с регрессионными тестами, разбор в методологии наших red-team проектов. Калибровочная выборка пока небольшая, около 30 размеченных сессий, поэтому UNKNOWN остаётся валидным вердиктом: мы не выдаём малые данные за готовый продакшен-детектор.

Гарантии, зашитые в код и проверяемые девятью автоматическими проверками на сборке

Крепость, границам которой нельзя доверять, — не крепость. Поэтому каждая гарантия ниже — не обещание, а инвариант, который проверяется автоматически при каждой сборке; если проверка не проходит, сборка не выпускается.

• Всё, что раздаётся атакующему, мертво по конструкции: ни один токен, выданный ловушкой, нигде не работает.
• Приманка не имеет исходящих соединений и не может стать усилителем DDoS-атаки.
• Никакой контратаки: воздействие полностью останавливается на границе вашей инфраструктуры, инфраструктуры атакующего система не касается.
• Сенсоры при сбое пропускают трафик, а не блокируют его, — оборона физически не может уронить легитимный трафик клиента.
• Теневые сессии изолированы до активации, а критический список разрешённого не может быть переопределён никаким вердиктом классификатора.
• Боевой режим — только по явной политике клиента и юридическому контуру, по умолчанию система работает в тестовом режиме с аварийным отключением одной кнопкой.

Дизайн-партнёрский пилот: сенсор в вашу подсеть, калибровка на ваших данных

BastionAgent пока не продаётся как публичный пакет — только дизайн-партнёрские пилоты. Пилот ставит сенсор в вашу подсеть (нулевые касания продовых хостов, по умолчанию — только слежение за сетью, без активного вмешательства), калибрует ловушки волнами штурмов и считает, во сколько раз дороже становится атака, уже на ваших данных. Цена и объём — обсуждаем индивидуально.

BastionAgent: частые вопросы

Это просто ловушка-приманка?

Классическая приманка (honeypot) пассивно наблюдает. BastionAgent проводит управляемый эксперимент: подаёт стимул, измеряет реакцию, делает байесовский вывод и активно ведёт кампанию против конкретного атакующего. Обнаружение строится на использовании мёртвого водяного секрета, а не на сигнатуре или аномалии трафика.

Останавливает ли это сам взлом, уязвимость CVE или подделку запросов SSRF?

Нет, и мы говорим об этом прямо: вход через уязвимость класса «удалённое выполнение кода» идёт мимо приманки, как обычно. BastionAgent ломает следующий шаг цикла — тот момент, где украденный секрет используется, а агент считает, что уже победил. Именно этот шаг превращается в датчик и в западню.

А самые сильные модели не распознают ловушку?

Мы публикуем все случаи, где штурмовые модели ловили саму систему на детали, выдающей подделку, и каждый закрыт исправлением с регрессионным тестом. Ловушки построены на понимании, а не на послушании, поэтому отказ модели по соображениям безопасности её не спасает. Живой пример: одна из моделей отказалась штурмовать по собственным ограничениям безопасности, и этот отказ сам по себе сработал в нашу пользу.

Даст ли это ложные срабатывания на обычном трафике?

На локальном фоновом трафике (curl, обычные мониторы, браузерный проход) — ноль ложных вердиктов «это агент». Про реальный периметр конкретного клиента мы ничего не заявляем заранее: именно эта проверка вживую и есть содержание пилота.

Можно поставить уже сегодня?

Не как публичный пакет — сейчас идут только дизайн-партнёрские пилоты, напрямую через нашу команду. Оставьте заявку через форму — обсудим сроки и объём пилота под вашу инфраструктуру.

Замерьте, во сколько раз дороже станет атака на вашу инфраструктуру

Дизайн-партнёрский пилот. Сенсор без выхода в сеть, мёртвые креды, никакой контратаки. По умолчанию — нулевые касания продовых хостов.