F5 Ecosystem | 21 октября 2026 г.
Представьте гипотетический сценарий: агент на AI-фабрике извлекает документ. Внутри него скрыта инструкция, которую пользователь никогда не планировал выполнять. Агент следует ей: открывает соединение, вызывает инструмент через Model Context Protocol (MCP), извлекает никому не нужную запись и отправляет ее туда, куда никто не разрешал. Средство защиты (guardrail), которое должно было это предотвратить, было сайдкаром в том же контейнере, поэтому агент сначала отключил его. Журнал находился под управлением агента, поэтому событие так и не было записано. Прошедшее время: менее секунды. Никто этого не заметил, потому что ничто на пути запроса не могло это зафиксировать.
Это не экзотический сбой. Это стандартный результат везде, где средства контроля находятся рядом с агентом, в том же домене доверия, где скомпрометированный или введенный в заблуждение агент может их отключить, обойти или отредактировать доказательства. Проще говоря: агент не может контролировать сам себя.
Платформа доставки и безопасности приложений F5 обеспечивает доставку и защиту любых приложений и API. На очереди AI-агенты, и они ведут себя иначе: агент вызывает модели, задействует инструменты через MCP, общается с другими агентами и обращается к API как внутри фабрики, так и за ее пределами. Чтобы приносить пользу, агентам необходим контролируемый доступ к моделям, инструментам, API и данным за пределами их песочницы, и эти взаимодействия должны подчиняться обязательным для исполнения политикам. Эталонная архитектура NVIDIA OpenShell, которую NVIDIA представляет на NVIDIA GTC Berlin, построена именно вокруг этого. Она распределяет среду выполнения агента, аппаратные средства контроля и инференс по трем уровням оборудования NVIDIA, оставляя место для партнеров на пути между ними. Самый наглядный способ показать, кто за что отвечает — проследить за запросом, выходящим из песочницы.
Что делает эталонная архитектура NVIDIA OpenShell
Эталонная архитектура исходит из того, что агент является ненадежным, и соответствующим образом разделяет аппаратное обеспечение.
В рамках эталонной архитектуры NVIDIA OpenShell для безопасных AI-агентов среда NVIDIA OpenShell работает на процессорах NVIDIA Vera и управляет разрешениями агента во время выполнения. Ее супервизор оценивает исходящие запросы, применяет детализированные средства контроля к настроенному трафику HTTP, GraphQL и MCP, защищает учетные данные и фиксирует каждое решение по политике. Агент работает в песочнице. Супервизор, который им управляет — нет.
NVIDIA Sentry добавляет независимый уровень аппаратного мониторинга и контроля на NVIDIA BlueField-4 DPUs, в изолированном домене безопасности, который агент не может достичь или изменить: обнаружение угроз, проверка запросов и ответов, управление агентами и локализация, измеряемая миллисекундами. NVIDIA Sentry является опциональным уровнем, а в системах NVIDIA Vera Rubin он располагается на пути к моделям.
Инфраструктура NVIDIA Vera Rubin NVL72 задействует модели, которые вызывают агенты. Таким образом, архитектура заранее определяет, может ли агент действовать, и отслеживает его действия с помощью инфраструктуры, к которой агент не может прикасаться. F5 дополняет эти средства контроля проверкой содержимого, созданной для AI-трафика, тестированием на проникновение (red teaming) и доставкой приложений, опираясь на наше сотрудничество с NVIDIA в области кибербезопасности AI.
Что определяют OpenShell и NVIDIA Sentry
OpenShell знает, какой агент отправил запрос, в рамках какой политики, и разрешены ли пункт назначения и метод. Для дополнительной защиты NVIDIA Sentry работает на NVIDIA BlueField-4 с использованием NVIDIA DOCA для независимого мониторинга агентов, обеспечения соблюдения политик на аппаратном уровне и карантина агентов за миллисекунды. Совместно они решают вопрос о том, может ли агент действовать, вне контроля самого агента. В этом и заключается суть данной концепции.
Разрешения во время выполнения, мониторинг поведения и специфичная для AI проверка содержимого обеспечивают взаимодополняющие уровни защиты. F5 добавляет проверку поддерживаемых промптов, ответов моделей и вызовов инструментов на предмет инъекций промптов, обхода систем защиты (jailbreaks) и утечки конфиденциальных данных, дополняя управление во время выполнения от OpenShell и непрерывный мониторинг поведения вкупе с аппаратной изоляцией политик от NVIDIA Sentry.
F5 проверяет то, что агент отправляет и получает
F5 AI Guardrails проверяет поддерживаемый трафик, направляемый на него с пути принудительного контроля, включая промпты, ответы моделей и вызовы инструментов по протоколам, контролируемым OpenShell. Решение выполняет три задачи с обнаруженным контентом. Оно блокирует инъекции промптов, джейлбрейки и вызовы инструментов вне рамок политики. Оно маскирует конфиденциальные данные до их отправки. Оно записывает каждое решение в журнал сеанса. Его вердикты и телеметрия доступны OpenShell и NVIDIA Sentry, поэтому заблокированный запрос может стать основанием для решения на уровне агента (вплоть до помещений в карантин) в соответствии с политикой оператора. Поскольку перехват происходит на пути принудительного контроля, а не внутри контейнера агента, агент не может отключить Guardrails или обойти их. Здесь нет сайдкара, который можно было бы выключить.
F5 AI Red Team поддерживает актуальность средств защиты. Решение атакует агентов и модели по тому же пути, который использовал бы пользователь (как в приватной, так и в публичной среде), а полученные результаты трансформируются в политики защиты, благодаря чему средства обороны идут в ногу с управляемыми ими агентами.
Управление агентом также означает необходимость доказать то, что он сделал. Плоскость управления F5 хранит журнал сеанса: пользователь, контекст промпта, вызовы инструментов, одобренные параметры. OpenShell хранит свои решения по политикам. NVIDIA Sentry хранит системный журнал: доступ к файлам, системные вызовы, метрики пакетов DPU. Сопоставленные вместе, эти данные дают единую временную шкалу того, что задумывала модель, что пытался сделать агент и что он в итоге совершил, используя источники, к которым агент не имел доступа.
Плоскость управления F5 AI Security Platform и AI Red Team работают внутри фабрики на стороне сервера. Модели производственного инференса, вызываемые агентами, работают на NVIDIA Vera Rubin NVL72, а AI Red Team также использует ресурсы GPU для тестирования безопасности. Для F5 AI Guardrails требуется только процессор Arm, поэтому решение может работать на NVIDIA Vera и BlueField-4. Две приведенные ниже эталонные архитектуры показывают, где располагается каждый компонент.
Две эталонные архитектуры F5 на базе NVIDIA OpenShell
С учетом трех уровней NVIDIA: AI Guardrails на Vera, применяемые к окружению агента внутри OpenShell; AI Guardrails повторно на NVIDIA BlueField-4 (вне зоны поражения агента) вместе с плоскостью данных, когда это необходимо фабрике; плоскость управления и AI Red Team на Vera Rubin NVL72 совместно с моделями. В результате получаются две эталонные архитектуры. Обе построены на базе эталонной архитектуры NVIDIA OpenShell, обе используют одну и ту же политику и одну и ту же плоскость управления, а разница заключается в том, что именно находится на пути агента.
Эталонная архитектура 1: F5 AI Guardrails с NVIDIA OpenShell и NVIDIA Sentry
Для оператора, использующего стек NVIDIA в соответствии с проектными требованиями. F5 AI Guardrails работает в двух местах под управлением единой политики: на платформе NVIDIA Vera, где применяется к обвязке агента внутри OpenShell, и на DPU BlueField-4, интегрированном в NVIDIA Sentry, куда агент не имеет доступа. Первый компонент перехватывает то, что отправляет агент, в момент отправки. Второй компонент агент не может отключить. Guardrails блокирует, маскирует и проверяет поддерживаемый трафик, направляемый на него, а на базе BlueField его вердикты доступны NVIDIA Sentry для мгновенной изоляции агента. Какое-либо дополнительное аппаратное обеспечение не требуется. Облачный партнер NVIDIA, стандартизирующий процессы на базе стека NVIDIA, получает инспекцию контента без необходимости изменения других компонентов.
Эталонная архитектура 1. F5 AI Guardrails для обвязки агента в OpenShell и внутри NVIDIA Sentry на BlueField-4. Единая политика вне зоны поражения агента.
Для обеспечения более высокого масштаба и корпоративного уровня развертывания. F5 BIG-IP Next for Kubernetes работает на DPU NVIDIA BlueField-4 вместе с NVIDIA Sentry или на центральном процессоре хоста в качестве плоскости данных фабрики, а F5 AI Guardrails работает внутри него в рамках той же политики. NVIDIA Sentry осуществляет базовое принудительное применение политик; BIG-IP Next for Kubernetes передает трафик. BIG-IP Next for Kubernetes осуществляет маршрутизацию и балансировку нагрузки агентского и прикладного трафика между экземплярами моделей на базе Vera Rubin NVL72, интегрируясь с NVIDIA Dynamo. Он изолирует тенантов, масштабирует и защищает подключения по протоколу Model Context Protocol (MCP), управляет использованием токенов для каждого тенанта и предоставляет оператору единое представление обо всех тенантах и моделях. BIG-IP Next for Kubernetes также применяет внешние политики исходящего трафика оператора к проходящему через него трафику, дополняя элементы управления доступом на этапе выполнения OpenShell и принудительное применение политик инфраструктуры NVIDIA Sentry.
Эталонная архитектура 2. Предлагаемый вариант развертывания доставки приложений и инспекции контента F5, дополняющий NVIDIA OpenShell и NVIDIA Sentry. Топология развертывания подлежит валидации продукта.
Выбор остается за оператором. Внедрите AI Guardrails в OpenShell и NVIDIA Sentry или добавьте BIG-IP Next for Kubernetes со встроенным решением AI Guardrails. Политика и плоскость управления в обоих случаях остаются неизменными. Второй вариант добавляет изоляцию тенантов, контроль исходящего трафика и управление трафиком для всей фабрики.
Одно число, отделенное от архитектуры безопасности, поскольку оно измерялось отдельно. По результатам тестирования BIG-IP Next for Kubernetes на DPU NVIDIA BlueField-3, проведенного компанией The Tolly Group (отчет № 226104, опубликован в марте 2026 г.), решение BIG-IP Next for Kubernetes обеспечило пропускную способность токенов на 40% выше по сравнению с протестированным базовым уровнем при разгрузке пути передачи данных с центральных процессоров хоста. Это измерение производительности исключительно плоскости данных BIG-IP Next for Kubernetes. Оно не включает описанные здесь функции инспекции. В сфере искусственного интеллекта производительность равна экономике.
Безопасность, которая остается на фабрике
При полностью автономном развертывании (self-hosted) обработка безопасности и аудиторские записи F5 остаются в среде оператора: плоскость управления и Red Team находятся на стороне сервера вместе с моделями, а инспекция — на Vera и BlueField-4. Доступ к внешним моделям и службам по-прежнему регулируется корпоративной политикой; публичные адреса назначения присутствуют на схеме не случайно. Сохранение каждого промпта и ответа внутри фабрики искусственного интеллекта также требует локально размещенных адресов назначения и ограничений на исходящий трафик. Архитектура делает это возможным. Политика оператора определяет, происходит ли это, а в BIG-IP Next for Kubernetes обеспечивается соблюдение этой политики исходящего трафика.
Эпоха агентов не столько создала новые требования к безопасности, сколько перенесла важнейшую точку контроля на исходящий трафик агента — на инфраструктуру, которую агент не может затронуть. Компания F5 потратила три десятилетия именно на такой путь развития. В эталонной архитектуре NVIDIA OpenShell это рубеж, который агент не может обойти путем переговоров.
Чтобы узнать больше, я приглашаю вас посетить веб-страницы, посвященные нашим решениям F5 AI Security Platform, F5 AI Guardrails, F5 AI Red Team и F5 BIG-IP Next for Kubernetes.
Об авторе
Кунал Ананд (Kunal Anand) возглавляет продуктовую организацию F5 в должности директора по продуктам (Chief Product Officer). Отвечая за продуктовое видение, стратегию и реализацию, он обеспечивает разработку прорывных решений, которые решают критически важные задачи и создают исключительный опыт для клиентов. На своей предыдущей должности директора по технологиям и искусственному интеллекту Кунал определял технологическую стратегию и видение компании в области ИИ. До прихода в F5 Кунал занимал двойную роль технического директора (CTO) и директора по информационной безопасности (CISO) в компании Imperva. Его путь в Imperva начался в 2018 году с приобретения компании Prevoty — стартапа в сфере безопасности приложений, соучредителем которого он стал в 2013 году. До прихода в Prevoty он занимал должность директора по технологиям в BBC Worldwide. Кунал обладает богатым опытом инноваций и технической экспертизы, ранее он руководил командами специалистов по безопасности, работе с данными, технологиям и инжинирингу в компаниях Gravity, MySpace и в Лаборатории реактивного движения NASA. Кунал имеет более чем 15-летний опыт работы в сфере искусственного интеллекта и машинного обучения, охватывающий обучение моделей, применение алгоритмов на базе ИИ для улучшения продуктов, а также проектирование и внедрение архитектур искусственного интеллекта. Кунал получил степень бакалавра наук в области компьютерных наук в Бэбсон-колледже.
