Stroq — локальный файрвол действий для кодинг-агентов

Кодинг-агенты всё чаще работают автономно: читают файлы, вызывают MCP-инструменты, интерпретируют вывод команд и на основе этого принимают решения о следующих действиях. Проблема в том, что любой прочитанный текст — README, ответ внешнего сервиса, лог — может содержать скрытую инструкцию. Для модели это неотличимо от легитимной задачи, и инъекция prompt injection превращается во вполне реальное действие: выполнение curl | sh, отправку секретов наружу, push в чужой репозиторий.

Подробности

Stroq — открытый локальный файрвол действий, построенный вокруг идеи связи между тем, что агент прочитал, и тем, что он собирается сделать. Вместо того чтобы полагаться на саму модель и надеяться, что она заметит инъекцию, инструмент применяет детерминированные правила: если опасное действие инициировано данными из недоверенного источника, оно блокируется до фактического выполнения. Ключевые особенности подхода: - Работа полностью локальная — без обращения к облачным сервисам и без передачи данных наружу. - Детерминированность: решение о блокировке принимается по формальным правилам, а не вероятностной оценкой модели. - Прослеживаемость: между прочитанным контентом и предлагаемым действием выстраивается явная связь, что упрощает аудит и разбор инцидентов. - Блокировка на опережение: действие останавливается до того, как оно будет выполнено, а не после. Типовые сценарии, от которых защищает такой файрвол, — внедрение команд через README и документацию, манипуляции через вывод MCP-инструментов, а также попытки инициировать утечку секретов или публикацию кода во внешние репозитории. Отдельно подчёркивается, что расчёт на «модель сама заметит» не является надёжной стратегией защиты.

Что делать

- Оцените, какие источники данных ваш кодинг-агент читает автоматически: README, вывод MCP-инструментов, результаты выполнения команд, ответы внешних API. - Внедряйте контроль действий на уровне, независимом от самой модели, — детерминированные правила блокировки снижают зависимость от способности LLM распознать инъекцию. - Ограничьте права агента: доступ к секретам, возможность push во внешние репозитории и запуск произвольных команд из сети должны быть под явным контролем. - Рассмотрите локальные решения вроде Stroq, чтобы не передавать содержимое рабочего окружения и контекст агента в сторонние облачные сервисы. - Проверяйте и логируйте связку «прочитанное → предлагаемое действие», чтобы вовремя выявлять аномалии. Итог: по мере роста автономности кодинг-агентов защита должна смещаться от надежды на внимательность модели к детерминированному контролю действий. Локальный файрвол, связывающий входящие данные с исходящими операциями, закрывает именно тот разрыв, через который проходят prompt injection-атаки.

Источник: Хабр — Информационная безопасность