По данным OWASP, инъекция промптов (prompt injection) уже несколько лет стабильно занимает первую строчку в списке угроз для LLM-приложений. И это неудивительно: в 2026 году ИИ-агенты — это уже не просто чат-боты, а полноценные участники бизнес-процессов с доступом к корпоративным API, базам данных и внутренним сервисам.

Если вы уже задумались о защите или даже выбрали решение — отлично. Но внедрить ограничительные барьеры (guardrail) — это только первый шаг. Гораздо важнее понять, насколько они действительно эффективны: какие атаки пропускают, насколько замедляют работу моделей и как быстро адаптируются к новым техникам обхода.

Классические метрики информационной безопасности здесь работают не всегда. Количество заблокированных угроз или время отклика — привычные ориентиры, но в мире ИИ-агентов картина сложнее. Модель генерирует текст на естественном языке, атака может быть замаскирована под обычный запрос, а задержка в 200 мс, незаметная для веб-приложения, способна заметно повлиять на пользовательский опыт в диалоговом интерфейсе.

Чтобы оценить защиту ИИ-агентов по достоинству, стоит смотреть на другие цифры. Вот пять метрик, которые помогут быстро и системно разобраться в возможностях решения.

Оценивать защиту только по абстрактной «точности» — не самый надёжный путь. Гораздо информативнее смотреть сразу на два показателя:

ASR (Attack Success Rate) — доля атак, которые защита пропустила.

FPR (False Positive Rate) — доля обычных запросов, которые защита заблокировала по ошибке.

В корпоративных сценариях важно, чтобы инъекции не проходили — ASR должен стремиться к нулю. Но если защита при этом блокирует каждый третий легитимный запрос, сотрудники быстро найдут способ ее обойти. Задача — найти баланс, при котором защита надежна, но не мешает работе.

Это время, которое защитный шлюз тратит на анализ контента. В диалоговых сценариях счёт идёт на миллисекунды, и здесь ключевой показатель — TTFT (Time to First Token), то есть время до появления первого токена ответа модели.

Защитный прокси не должен заметно замедлять стриминг ответа. При этом важно смотреть не только на средние значения, но и на P95/P99 — как ведёт себя решение под пиковой нагрузкой, когда в очередь выстраиваются сотни запросов. Именно эти хвосты распределения показывают, сохранится ли комфортный пользовательский опыт в часы максимальной активности.

Решение должно горизонтально масштабироваться под рост числа одновременных сессий — без потерь во времени отклика и без потери контекста запросов.

Особенно это важно в агентных сценариях, когда один запрос пользователя запускает цепочку внутренних вызовов между моделями и инструментами (tool calling). Если на каждом из нескольких шагов срабатывает проверка guardrail, задержка суммируется. Хорошее решение учитывает эту специфику и не превращает пятисекундную задачу агента в заметно более долгую из-за накладных расходов на безопасность.

Уязвимости часто эксплуатируются через низкоресурсные языки, транслитерацию, смену кодировок (Base64, циклические сдвиги), гомоглифы или встраивание инструкций в изображения и аудио.

Инструмент защиты должен покрывать всё входное пространство модальностей, доступное целевой модели. Если фильтр безопасности работает только с английским текстом, а модель принимает другие языки или изображения, — защита получается неполной. Удобный ориентир здесь — процент покрытия модальностей и методов обфускации: защита должна видеть то же самое, что и сама модель.

Jailbreak-техники эволюционируют ежедневно. Ключевой индикатор зрелости решения — время от появления новой техники обхода до момента, когда защита начинает её распознавать.

Стоит уточнить у вендора, как именно обновляется guardrail: доставляются новые сигнатуры, обновляются правила или пересобирается классификатор, отсекающий опасные запросы. И главное — происходит ли это без остановки сервиса. Если обновление правил занимает недели или требует простоя, это сигнал пересмотреть подход.

Эти пять метрик — готовый чек-лист для диалога с вендорами и внутренней оценки. Их можно заложить в требования к PoC, сравнить несколько решений между собой или провести аудит уже работающей защиты.

Рынок AI Security только формируется, и у компаний сейчас отличная возможность выстроить архитектуру защиты ИИ-агентов правильно с самого начала. Те, кто уже сегодня начнут применять системный подход и измерять эффективность защиты конкретными цифрами, через год получат не только снижение рисков, но и реальное конкурентное преимущество — ведь в эпоху автономных ИИ-систем выигрывает тот, кто умеет ими безопасно управлять.