Chainguard запускает Workspaces и Checks для защиты ИИ-агентов, пишущих код

ИИ-агент для программирования может написать полезное исправление и при этом создать угрозу безопасности. Он может установить скомпрометированную зависимость, выполнить инструкции, встроенные в ненадёжный контент, или запустить команду с учётными данными, которые дают ему гораздо больше доступа, чем требуется для выполнения задачи. По мере того как команды поручают работу всё большему числу агентов одновременно, защита создаваемого ими кода становится лишь частью проблемы.

Chainguard решает эту более широкую проблему, представив на Assemble London три новинки: Workspaces — изолированные среды для разработчиков и агентов, пишущих код; Checks — механизм проверки, предназначенный для работы в цикле разработки с участием агента; а также расширенные средства защиты Libraries, охватывающие дополнительные языки программирования и устранение уязвимостей.

Эти запуски помогают ответить на три вопроса, которые всё чаще приходится решать предприятиям: где выполняется агент, как проверяется его работа и какое внешнее программное обеспечение он может внедрить в организацию. Workspaces и Checks запускаются в бета-версии, а новые предложения Libraries для Go и .NET переходят в ранний доступ.

Изолированная среда для каждого агента, пишущего код

Chainguard Workspaces предоставляет каждому разработчику и агенту отдельную удалённую микровиртуальную машину. Среда синхронизирует локальное рабочее дерево разработчика, позволяя ему пользоваться привычным редактором и рабочим процессом Git, пока выполнение задач происходит не на его компьютере. Раздельные среды также позволяют нескольким агентам параллельно вносить изменения, не используя общее рабочее окружение.

Это различие важно, поскольку полезные возможности агента — запускать команды, устанавливать пакеты и обращаться к службам — одновременно могут стать путями для компрометации. Политика, прописанная в инструкциях агента, зависит от того, будет ли он её соблюдать. Ограничения, обеспечиваемые средой выполнения, позволяют контролировать происходящее, даже если модель принимает неверное решение.

Согласно сообщению о запуске, реальные учётные данные передаются за пределами рабочей среды. Инструменты, которым нужны учётные данные на диске, получают зашифрованную временную замену с коротким сроком действия. Необязательные политики исходящего трафика ограничивают подключения одобренными адресатами, снижая возможность скомпрометированной зависимости или агента, подвергшегося внедрению инструкций через промпт, отправлять данные в другие места.

Эти средства контроля снижают разные риски. Аппаратная изоляция разделяет рабочие нагрузки; посредничество при работе с учётными данными не позволяет агенту получить многоразовые секреты; сетевые политики ограничивают адреса, с которыми он может взаимодействовать. Эффективность этих мер по-прежнему зависит от разрешений и адресатов, одобренных организацией. Изоляция не делает безопасным любое разрешённое действие.

В этих средах используются пакеты Chainguard OS Packages, а зависимости при выполнении сверяются с lockfile. Существующее предложение OS Packages от Chainguard включает постоянно поддерживаемые пакеты, собираемые из исходного кода, и спецификации состава программного обеспечения. Это объясняет подход компании: распространить контролируемую программную основу на среду, где выполняются агенты.

Workspaces также создаёт подписанные записи о среде, изменениях кода и результатах проверок. Для команд по безопасности это даёт возможность выяснить, что именно сделал агент, вместо того чтобы полагаться только на его собственное резюме сеанса.

Перенос проверок в рабочий цикл агента

Код можно генерировать быстро, тогда как путь к проверенному коду может оставаться долгим. Агент вносит изменение и отправляет его в систему непрерывной интеграции, ждёт запуска рабочего исполнителя, а затем получает сообщение об ошибке, когда контекст его работы уже изменился. Повторение этого процесса для множества агентов может увеличить очереди и привести к дублированию подготовительных операций.

Chainguard Checks встраивает проверку в этот цикл в виде вызова инструмента. При совместном использовании с Workspaces сеанс агента приостанавливается на время проверок, а затем возобновляется; в его контекст передаются структурированные журналы ошибок. Предполагается итеративный рабочий процесс: внести изменение, запустить проверки, изучить ошибки и повторить попытку, прежде чем передать результат дальше.

В предварительно подготовленных снимках среды уже установлены зависимости; при изменении lockfile их собирают заново. Каждый этап рабочего процесса выполняется в отдельной микровиртуальной машине с аппаратной изоляцией. В сообщении о запуске также описаны передача краткосрочных учётных данных в исходящие запросы на стороне хоста и декларативные политики сетевого доступа.

После успешного выполнения формируется подписанное свидетельство, связывающее среду, результат тестирования и коммит. По словам Chainguard, последующие этапы слияния могут проверить эти данные и принять результат, не запуская тот же набор тестов повторно.

Здесь важно различать передачу свидетельств и простую передачу утверждения агента об успешном прохождении тестов. Свидетельство может установить, какие проверки проводились для какого коммита и в какой среде. Но оно не доказывает, что тесты охватывали все важные сценарии или что прошедшее проверку изменение соответствует всем требованиям безопасности. Командам по-прежнему нужны подходящие тесты, надёжные политики проверки и экспертная оценка там, где она необходима.

Chainguard утверждает, что система возвращает результаты за секунды и сокращает избыточные вычисления. В материалах о запуске нет результатов независимого тестирования, которые подтверждали бы универсальное повышение скорости или снижение затрат для любых репозиториев.

Защита зависимостей, подключаемых агентами

Третий анонс расширяет Chainguard Libraries — управляемый каталог и конечные точки для зависимостей языков программирования с открытым исходным кодом. Существующий сервис разработан для интеграции с менеджерами артефактов и рабочими процессами разработки и предоставляет информацию о происхождении, а также подписанные ведомости состава ПО для пакетов, собранных Chainguard.

Новая конечная точка для Go включает сканирование на наличие вредоносного и нежелательного ПО, настраиваемые политики для пакетов и устранение уязвимостей CVE. Конечная точка для .NET предлагает альтернативу прямому использованию NuGet со средствами сканирования и управления политиками. Обе функции переходят на этап раннего доступа.

Chainguard также добавляет устранение уязвимостей CVE для JavaScript и Go, в том числе исправления, перенесённые на более ранние версии, для критических уязвимостей и уязвимостей высокой степени серьёзности. Перенос исправлений важен, когда команда не может сразу перейти на более новую основную версию без изменений приложения или масштабного тестирования. Это может снизить уровень риска, пока планируется более масштабное обновление.

Компания утверждает, что для Java и Python её отраслевая коалиция Athena будет предоставлять исправленные артефакты для уязвимостей, обнаруженных передовыми моделями ИИ, в день публичного раскрытия этих уязвимостей. Это утверждение касается реагирования в момент публичного раскрытия, а не гарантирует отсутствие нераскрытых уязвимостей.

Опрос показывает, почему одной установки исправлений уже недостаточно

Одновременно с выпуском продуктов Chainguard публикует результаты опроса The AI Exploit Gap, проведённого по заказу компании Wakefield Research. В сентябре 2026 года в нём приняли участие 1 300 руководителей в сфере кибербезопасности из девяти рынков. Респонденты занимали должности не ниже директора и, как правило, работали в организациях как минимум с 500 сотрудниками; для Сингапура и ОАЭ/Саудовской Аравии минимальный порог составлял 250 сотрудников.

В этом опросе 54% респондентов заявили, что в их организациях хотя бы иногда сознательно оставляют без исправления уязвимости высокой или критической степени серьёзности, а 93% выразили обеспокоенность тем, удаётся ли достаточно быстро устранять последствия эксплойтов, связанных с ИИ. Около 76% сообщили о подтверждённой или предполагаемой атаке с использованием ИИ за предыдущий год.

Последний показатель объединяет подтверждённые инциденты и подозрения. Его не следует считать независимо проверенной оценкой числа атак, вызванных ИИ. В более широком смысле это сообщения и ожидания респондентов, а не телеметрические данные, позволяющие установить, как часто срабатывает конкретный метод атаки.

Результаты, касающиеся практической деятельности компаний, показательны. Среди компаний с выручкой не менее 1 млрд долларов 66% сообщили, что хотя бы иногда оставляют без исправления уязвимости высокой или критической степени серьёзности; среди компаний с выручкой менее 250 млн долларов таких было 27%. Крупные организации ссылались на необходимость учитывать бизнес-компромиссы, например риск сбоев и конкурирующие приоритеты в разработке продуктов. Таким образом, разрыв связан не только со способностью выявлять уязвимости, но и с возможностью внедрять изменения.

Чем больше автономии, тем важнее контроль, поддающийся проверке

Три запуска Chainguard складываются в целостный подход: ограничить среду выполнения, обеспечить агентам быструю проверку с возможностью установить её источник и контролировать используемые ими зависимости. Каждый элемент затрагивает отдельную часть единого процесса разработки.

На практике важно проверить, смогут ли эти средства контроля вписаться в работу с реальными репозиториями, интеграциями сервисов и политиками выпуска, не превратившись в ещё одно узкое место. Статусы бета-версии и раннего доступа означают, что эта работа ещё впереди. Однако направление очевидно: по мере того как агенты для написания кода получают возможность действовать, предприятиям нужны средства защиты, которые остаются обязательными к исполнению и поддаются проверке на всех этапах работы.