FortiAIGate: Fortinet ставит контроль ИИ-трафика прямо на FortiGate

Новый шлюз FortiAIGate Fortinet выпускает вместе с сервисом FortiGuard Inline AI Security Service для FortiGate. По словам компании, оба продукта проверяют промпты, ответы моделей, вызовы инструментов MCP и действия ИИ-агентов. Для бизнеса это готовая точка контроля ИИ-трафика на уже купленном периметре, но замеров задержки и стоимости в анонсе нет.

Что объявил Fortinet и почему это не инцидент

Fortinet выпустил два связанных продукта для контроля обращений к ИИ-сервисам. Первый — FortiGuard Inline AI Security Service, подписка для заказчиков FortiGate. Она работает прямо на пути трафика, а не разбирает его задним числом. Второй — FortiAIGate, отдельный шлюз со своей продуктовой страницей на сайте Fortinet.

Fortinet опубликовал анонс в разделе новостей для инвесторов. Широкая ИБ-аудитория узнала о нём из поста на r/cybersecurity, где пересказаны пресс-релиз и страница FortiAIGate.

Это не уязвимость и не атака: в истории нет CVE, оценки CVSS, атакующих, индикаторов компрометации или утечки. Есть только заявление производителя, и автор поста прямо называет его таким. Ни стороннего бенчмарка, ни результатов у реального заказчика к анонсу не приложено.

Что Inline AI Security Service обещает проверять?

Fortinet называет четыре класса объектов: промпты, ответы моделей, вызовы инструментов через MCP и действия агентов. Если сервис находит чувствительные данные, он должен заблокировать запрос или ответ либо вырезать из него эти данные (redact).

Перечень шире классического DLP. Промпт и ответ — это текст диалога. С MCP иначе: это открытый протокол, через который ИИ-приложения подключаются к внешним данным и инструментам. Через него модель читает файлы, обращается к базам, почте, репозиториям и внутренним API. Проверять такие вызовы — значит контролировать не только то, что модель говорит, но и то, что она делает.

Мы сверили заявку с OWASP Top 10 for LLM Applications 2025. По оценке редакции, она соответствует трём пунктам: LLM01 (prompt injection), LLM02 (утечка чувствительной информации) и LLM06 Excessive Agency (чрезмерные полномочия агента). Сам Fortinet в анонсе такой привязки не делает. Текстовый фильтр лучше всего закрывает LLM02 — утечку чувствительной информации.

С непрямой инъекцией сложнее: инструкция приходит не от пользователя, а лежит в документе, письме, веб-странице или результате работы инструмента. Проверкой промптов её не поймать. Агента, который читает чужой контент, защищают ограничения на инструменты и подтверждение опасных действий человеком, а не только фильтр на выходе.

Чего в анонсе нет:

• списка классов данных, которые сервис распознаёт;
• описания правил DLP и таксономии классификации;
• архитектуры: как разбираются вызовы MCP и что считается «действием агента»;
• доли ложных срабатываний и способа их разбирать.

FortiAIGate от Fortinet: облако или свой Kubernetes?

Вариантов развёртывания два, и от выбора зависит, где окажутся промпты, данные и журналы. Облачный сервис подключается через уже стоящий FortiGate, отдельное оборудование не нужно. Где именно в этом случае обрабатываются промпты и журналы, анонс не уточняет. FortiAIGate можно развернуть у себя, на Kubernetes с GPU NVIDIA: этот вариант Fortinet предлагает командам, которым нужен контроль над местом обработки данных и логов.

По описанию на продуктовой странице, FortiAIGate также задаёт права доступа к моделям, бюджеты и ограничения частоты запросов (rate limit). Расходы на токены и список разрешённых моделей можно ограничить на уровне сети, а не регламентом. Конкретных порогов и единиц учёта бюджета Fortinet не публикует.

Один из участников обсуждения обратил внимание на связку двух продуктов: FortiGate умеет перенаправлять трафик на локальный шлюз по мере необходимости. Если весь выход в интернет у компании уже идёт через FortiGate, маршрутизацию настраивать почти не приходится.

Аппаратные требования не раскрыты. Модель GPU, число карт, объём видеопамяти и поддерживаемые дистрибутивы Kubernetes в материалах не названы. Поэтому бюджет на собственное развёртывание FortiAIGate пока посчитать нельзя.

Для российских компаний собственный Kubernetes сам по себе не доказывает соответствие 152-ФЗ. Если в промптах встречаются персональные данные, отдельно оценивают локализацию при сборе данных граждан РФ (ч. 5 ст. 18) и трансграничную передачу (ст. 12) — по фактическим потокам, включая телеметрию и доступ подрядчиков. Доступность и лицензирование подписок FortiGuard для российских заказчиков анонс не обсуждает, это вопрос к поставщику.

Нужно ли расшифровывать TLS, чтобы файрвол видел промпты?

Да. Чтобы проверять содержимое запросов к облачным ИИ-сервисам, шлюз должен видеть открытый текст. Он либо расшифровывает TLS на пути трафика, либо сам становится конечной точкой TLS — как явный прокси или API-шлюз, к которому приложения обращаются напрямую. В обоих случаях содержимое у него в открытом виде. Fortinet этого прямо не комментирует, но вывод следует из самой задачи.

В треде один участник спросил, потребуется ли расшифровка и насколько упадёт производительность. Другой ответил: без расшифровки проверять нечего, поэтому файрвол нужно подбирать с запасом под неё. Но охват страдает раньше, чем производительность:

• Certificate pinning. Приложения с закреплёнными сертификатами не работают через корпоративный MITM. Такие приложения приходится исключать из расшифровки — и они выходят из-под контроля.
• QUIC и HTTP/3. Этот трафик идёт поверх UDP. Нужна либо отдельная поддержка, либо блокировка, чтобы клиент переключился на проверяемый TCP/TLS.
• Обходные маршруты. Ноутбук на мобильной точке доступа, сервер с прямым API-ключом, личный аккаунт ChatGPT на телефоне — inline-шлюз ничего из этого не увидит.
• Режим отказа. Если при недоступности сервиса трафик пропускается без проверки (fail-open), контроль молча отключается. Если трафик блокируется (fail-close), останавливаются бизнес-процессы, завязанные на ИИ.

Цифр задержки, пропускной способности и стоимости владения в анонсе нет. Автор поста называет задержку и операционные затраты открытыми вопросами именно из-за отсутствия данных.

Почему обсуждение ушло в уязвимости Fortinet, а не в ИИ

Реакция r/cybersecurity — недоверие к самому производителю. Несколько комментаторов иронизировали, что Fortinet стоило бы сначала разобраться с регулярными RCE в собственных продуктах, а потом продавать защиту ИИ.

Это мнения: конкретных CVE участники обсуждения не называют. Для закупки из них следует практический вывод. Inline-шлюз видит промпты и ответы в открытом виде и концентрирует чувствительные данные. Его патчи, доступность и учётные записи администраторов становятся частью защиты ИИ.

Пример риска у самого FortiGate уже был, хотя к этому анонсу он не относится. Кампания k0t собрала более 70 000 учётных данных с FortiGate и GlobalProtect без единого CVE. Подписка на проверку ИИ-трафика не исправит ни прошивку, ни учётные записи устройства, через которое этот трафик идёт.

Что делать, если FortiGate у вас нет?

Сама идея к Fortinet не привязана. Точку контроля собирают из корпоративного прокси с TLS-инспекцией и DLP другого производителя периметра или из LLM-шлюза перед API моделей — коммерческого или open-source. Главное — хранить ключи к моделям на шлюзе и закрыть прямой выход к API провайдеров с серверов и рабочих мест. Открытый LLM-прокси при этом сам становится звеном цепочки поставок: его версии и зависимости нужно проверять так же, как любой другой компонент периметра.

Что решить руководителю до пилота

Начинать нужно не с покупки, а с инвентаризации: какие ИИ-сервисы, API-ключи, MCP-серверы и агенты реально используются и каким маршрутом их трафик выходит наружу. Официальный список ИИ-сервисов редко совпадает с фактическим: ключи к моделям лежат в CI, на серверах разработчиков и в конфигурациях забытых агентов. Шлюз на периметре увидит только то, что через него проходит.

Вопросы к Fortinet и к собственной схеме:

1. Где в облачном варианте обрабатываются промпты и журналы, кто имеет к ним доступ и сколько они хранятся.
2. Можно ли добавить собственные шаблоны: номера договоров, внутренние коды, форматы ПДн.
3. Видит ли шлюз аргументы вызовов MCP и отличает ли чтение от записи и удаления.
4. Что происходит, когда приложение упирается в бюджет или rate limit FortiAIGate: блокировка, очередь или уведомление.
5. Как лицензируются сервис и FortiAIGate: по устройству, пользователю или объёму трафика.
6. Поддерживает ли шлюз локальные и российские модели — GigaChat, YandexGPT, self-hosted LLM внутри периметра — или только крупные облачные API.
7. Какая задержка p95/p99 на вашем трафике при включённых TLS-инспекции, DLP и журналировании. Это придётся измерить самим.

Журналы шлюза — отдельное хранилище чувствительных данных. После расшифровки в них могут оказаться полные промпты, токены и фрагменты кода. Ограничьте доступ и срок хранения, проверьте, что именно уходит в SIEM, иначе расследование утечки само станет её источником. Если в запросах есть персональные данные, сверьте схему с законом: здесь поможет аудит соответствия 152-ФЗ.

Фильтр на пути трафика не заменяет проверку самого агента. Он не узнает, что агенту выдали учётную запись с правом удалять данные или что инструкция пришла внутри безобидного PDF. Такие слабые места находит тестирование безопасности ИИ-агентов. Закрыть их помогает харденинг ИИ-систем: минимальные права для инструментов, подтверждение опасных действий человеком и журнал вызовов.

Частые вопросы

FortiAIGate и FortiGuard Inline AI Security Service — это один продукт?

Нет. Inline AI Security Service — облачная подписка, которая работает через существующий FortiGate. FortiAIGate — отдельный шлюз, который можно развернуть у себя на Kubernetes с GPU NVIDIA; по описанию продукта, в нём дополнительно есть права на модели, бюджеты и rate limit.

Какие данные сервис умеет вырезать из промпта?

Fortinet говорит о блокировке или вырезании чувствительных данных, но списка классов данных, правил DLP и таксономии в анонсе нет. Это нужно выяснить у поставщика до пилота.

Нужна ли расшифровка HTTPS, чтобы файрвол видел промпты?

Да, без открытого текста проверять нечего. Для приложений с certificate pinning и трафика QUIC понадобятся отдельные решения — подробнее в разделе о TLS выше.

Можно ли поднять FortiAIGate без видеокарт NVIDIA?

По имеющимся материалам собственный вариант описан именно на Kubernetes с GPU NVIDIA. Модель карт, их число, объём видеопамяти и альтернативные конфигурации не названы.

Заменяет ли inline-проверка пентест LLM и ИИ-агентов?

Нет. Шлюз фильтрует трафик, но не проверяет права агента, его инструменты и устойчивость к непрямой prompt injection через документы и письма. Для этого нужно состязательное тестирование.

Есть ли в анонсе CVE или признаки атаки?

Нет. Это анонс продукта без уязвимостей, эксплуатации и индикаторов компрометации. Претензии к безопасности Fortinet в обсуждении — мнения участников, конкретные CVE там не приводятся.

Шлюз на периметре видит трафик, но не видит полномочий ваших агентов. Команда SecurityLab.pro проводит Red Teaming LLM и проверяет, что агенты могут сделать на самом деле, если их начнёт направлять чужая инструкция.