Почему DLP не контролирует ИИ и не закрывает OWASP Top 10 for LLM, Agentic Applications и MITRE ATLAS

«У нас уже стоит DLP, и она защитит от утечек в ChatGPT и Copilot». Эта фраза звучит достаточно часто, но она технически неверна. В этой статье мы разберем, почему DLP не может контролировать ИИ, обеспечить безопасное взаимодействие и сквозную видимость использования ИИ в корпоративной инфраструктуре.

DLP и LLM/AI Firewall решают разные задачи на разных поверхностях. Оба класса борются с утечкой. На этом сходство заканчивается.

Классический DLP не разбирает диалог с моделью, не останавливает запрос до доставки в LLM, не видит jailbreak и косвенную инъекцию в RAG и не управляет маршрутом к модели. LLM/AI Firewall к моделям не заменяет DLP на почте, флешке и печати.

DLP ищет известный чувствительный контент в известных каналах: почта, файлы, съёмные носители, веб, облако, мессенджеры. Он отвечает на вопрос: «уходит ли уже размеченная конфиденциальная информация по привычному каналу?».

LLM/AI Firewall стоит в разрыве между пользователем или ИИ-агентом и ИИ-моделью. Он отвечает на другие вопросы:

• можно ли отдать этот текст модели;

• не является ли запрос инъекцией или jailbreak;

• можно ли вернуть этот ответ и какие именно данные можно вернуть в ответе;

• имеет ли этот сотрудник право вызывать именно эту ИИ-модель;

• не ушёл ли вызов мимо корпоративного шлюза;

• может ли вызывать инструмент (tool call) ИИ-агент и какие намерения он планирует сделать.

ИИ ломает предпосылки DLP сразу в нескольких местах:

• Утечка больше не выглядит как файл. Сотрудник вставляет в промпт фрагмент договора, пересказ сделки или кусок исходников. Это не вложение и часто не совпадает с сигнатурой. DLP, настроенный на документы и регулярные выражения, такой промпт не посчитает инцидентом, либо вообще его не увидит, либо увидит слишком поздно.

• Модель сама создаёт новый текст. Ответ LLM – это не копия исходного файла. Секрет можно пересказать, сжать, перевести, «обезличить» так, что шаблон DLP не сработает, а смысл уйдёт. Классический движок DLP ищет совпадение, а LLM/AI Firewall анализирует смысл запроса и выдачи.

• Атака маскируется под обычный диалог. «Забудь предыдущие инструкции», косвенная инъекция в документе для RAG, обход ограничений через ролевую игру – для DLP это легитимный текст. Для LLM/AI Firewall это угрозы OWASP ТОP 10 for LLM и техники из MITRE ATLAS.

• Два направления, не одно. DLP исторически смотрит на исходящее. В ИИ критичны оба потока: в промпте уносят исходники и ПДн, в ответе модель может воспроизвести секрет из контекста, RAG или следов обучения. LLM/AI Firewall проверяет и запрос, и выдачу.

• DLP чаще работает на копии трафика. Инцидент поднимается после отправки. LLM/AI Firewall работает до доставки в модель и до выдачи ответа пользователю: пропустить, замаскировать или заблокировать.

• Семантика против шаблона. Регулярное выражение сможет поймать, но не фразу «переведи клиенту Иванову ту же сумму, что вчера, на карту, которую он прислал в чате». LLM/AI Firewall разбирает связи в тексте, а не только формат сущности.

• Канал «легитимен». HTTPS к внешней LLM для сетевого DLP часто выглядит как разрешённый SaaS. Без разрыва TLS на границе с моделью промпт в теле запроса не разбирается.

• ИИ-модель – это не хранилище файла, а генератор. Даже если на вход не попал шаблонный секрет, выход может содержать конфиденциальные сведения в новой формулировке. Классический DLP не умеет оценивать потенциальный вывод ИИ-модели до того, как пользователь его увидит и скопирует дальше.

• Права на данные ? права на модель. DLP не спрашивает, имеет ли этот сотрудник право вызывать внешнюю LLM, эту конкретную ИИ-модель или этот контур. LLM/AI Firewall стыкуется с доступом: нет права – запрос не уходит, независимо от того, есть в тексте паспорт или нет.

• Экономика и устойчивость контура. Расход токенов, принудительная маршрутизация на разрешённую модель, единый аудит всех обращений к ИИ – это не может делать DLP.

• Теневой ИИ (Shadow AI). Личный ChatGPT, обход корпоративного base_url, IDE-агент к внешней модели – для DLP это браузер или «ещё один HTTPS». Для LLM/AI Firewall обход шлюза сам по себе инцидент. Модуль по контролю ИИ-агентов (INFERA AI.SafeAgent) контролирует использование ИИ на рабочих станциях, выявлять Shadow AI, которые сотрудники используют без ведома служб ИТ и ИБ.

• Контроль ИИ-агенты ещё дальше от DLP. Когда появляется ИИ-агент, единица риска уже не чат, а факт вызова инструмента (tool call) и контроль до его исполнения: SQL, письмо, платёж, git push. Это другой контур контроля в ИИ-инфраструктуре. DLP не сверяет вызов инструмента с намерением задачи и не ставит deny-by-default на MCP.

Что видит DLP и чего принципиально не видит

 SOC при правильной схеме получает разные сигналы, а не дубль.

• DLP говорит: «ушёл файл X».

• LLM/AI Firewall (контроль модели) говорит: «в промпте были реквизиты / jailbreak, запрос замаскирован или заблокирован».

• Agent Runtime Security (контроль агента) говорит: «агент вызвал payments.refund сверх лимита, действие остановлено до исполнения».

Карта угроз

OWASP Top 10 for LLM описывает риски: инъекция в промпт, раскрытие сведений, цепочка поставок, отравление данных и модели, небезопасная обработка выхода, чрезмерная агентность, утечка системного промпта, слабости векторов и эмбеддингов, дезинформация, неконтролируемое потребление ресурсов (токенов).

OWASP Top 10 for Agentic Applications сдвигает фокус с ответа модели на действие: перехват цели агента, злоупотребление инструментом, путаница идентичности и привилегий, агентная цепочка поставок, нежелательное исполнение кода, отравление памяти и контекста, небезопасная связь между агентами, каскадные сбои, эксплуатация доверия человека, агенты, ушедшие от политики.

MITRE ATLAS даёт тактики и техники противника. Для генеративного контура это как минимум LLM Prompt Injection (AML.T0051, прямая / косвенная / по событию), Jailbreak (AML.T0054), извлечение системного промпта (AML.T0056), утечка данных модели (AML.T0057), компрометация плагинов (AML.T0053), отказ в обслуживании и выжигание бюджета (AML.T0029, AML.T0034), отравление RAG (AML.T0070, AML.T0071).

Разберем подробнее что из этого DLP закрывает сам, а что требует другого уровня контроля.

OWASP Top 10 for LLM: где DLP бессилен

 OWASP Top 10 for Agentic: единица риска – действие, а не файл

 Если в карте угроз напротив этих техник стоит только «DLP / WAF / NGFW», то покрытие «бумажное». Межсетевой экран не знает гриф фрагмента договора. WAF не выбирает модель. DLP ищет шаблон в письме и файле, но не удерживает сущность через всю сессию и не останавливает агента по сумме вложенных вызовов.

Что еще:

Периметр. Любое обращение к внешней или внутренней LLM идёт только через шлюз. Обход base_url – это инцидент, а не «пользователь открыл сайт».

Владелец. У каждого вызова есть субъект, приложение, модель, политика и бюджет. «Отдел сам подключил ключ OpenAI» – это неучтённый канал (Shadow AI).

Журнал. Нужна телеметрия: кто, какую модель, какой класс данных, какой вердикт, сколько токенов, какой инструмент хотели вызвать. Выгрузка «письмо заблокировано DLP» этот контур не описывает.

Режим отказа. Для модели безопаснее fail-closed: если нет вердикта, то запрос не уходит. Для почтового DLP такой режим на всём потоке часто неприемлем. Это ещё один довод не смешивать классы.

Деньги. LLM токены – это уже серьезная статья расходов. DLP не режет бюджет модели, не переводит закрытый запрос на локальный контур, не контролирует аномальное поведение ИИ-модели или агентов.

Как контроли дополняют друг друга

Правильная схема не «вместо DLP», а «рядом с DLP».

DLP остаётся на почте, файлах, печати, облаке, мессенджерах, съёмных носителях.

LLM/AI Firewall на точках, где можно принять решение о запросе и ответе модели до того, как текст уехал наружу или вернулся человеку.

Контроль агента на конечной точке закрывает Shadow AI и легитимного агента с легитимными правами: там, где вредоносного файла нет, а ущерб уже есть.

DLP и LLM Firewall – это смежные контроли утечки. Это не один класс и не взаимозаменяемые продукты. DLP не разбирает диалог с моделью, не останавливает запрос до доставки в LLM, не закрывает prompt injection, jailbreak, Shadow AI, отравление RAG и злоупотребление инструментом агента. Он не управляет маршрутом и расходом модели. LLM Firewall не заменяет DLP на классических каналах.

Пока организация пытается закрыть генеративный контур «классическими» ИБ-системами, она получает удобное окно к нескольким ИИ-поставщикам без владельца, без бюджета на каждый вызов и без таблицы допуска. Это уже не пробел в защите чата. Это новый канал, который важно защищать по-новому.