Chainguard запускає Workspaces і Checks для захисту агентів кодування на основі ШІ

Агент кодування на основі ШІ може написати корисне виправлення й водночас спричинити інцидент безпеки. Він може встановити скомпрометовану залежність, виконати інструкції, вбудовані в ненадійний вміст, або запустити команду з обліковими даними, які надають значно ширший доступ, ніж потрібно для виконання завдання. Коли команди залучають до роботи дедалі більше агентів одночасно, захист створеного ними коду — лише частина проблеми.

Chainguard реагує на ширше коло загроз, оголосивши на Assemble London про три рішення: Workspaces — ізольовані середовища для розробників і агентів кодування; Checks — механізм перевірки, призначений для роботи в циклі розробки за участю агента; і розширені засоби захисту Libraries, що охоплюють додаткові мови програмування та усунення вразливостей.

Ці запуски допомагають підприємствам відповісти на три запитання, які постають дедалі частіше: де виконується агент, як перевіряється його робота та яке зовнішнє програмне забезпечення він може залучити до організації. Workspaces і Checks запускаються в бета-версії, а нові пропозиції Libraries для Go та .NET переходять у ранній доступ.

Відокремлення середовища роботи кожного агента кодування

Chainguard Workspaces надає кожному розробнику й агенту окрему віддалену мікровіртуальну машину (microVM). Середовище синхронізує локальне робоче дерево розробника, тож він може й надалі користуватися своїм редактором і робочим процесом Git, тоді як виконання відбувається за межами його комп’ютера. Окремі середовища також дають змогу кільком агентам паралельно вносити зміни, не використовуючи спільне робоче середовище.

Ця відмінність важлива, адже корисні можливості агента — запускати команди, встановлювати пакети й отримувати доступ до сервісів — водночас можуть стати шляхами для компрометації. Політика, прописана в інструкціях агента, діє лише за умови, що агент її дотримується. Межа, яку забезпечує середовище виконання, може обмежити можливі дії, навіть якщо модель ухвалить хибне рішення.

Згідно з повідомленням про запуск, справжні облікові дані передаються поза межами робочого середовища. Інструменти, яким потрібні облікові дані у файлі на диску, отримують зашифрований тимчасовий замінник із коротким строком дії. Необов’язкові політики вихідного мережевого трафіку обмежують з’єднання затвердженими адресатами, зменшуючи можливість скомпрометованої залежності або агента, на якого вплинула промпт-ін’єкція, надсилати дані в інше місце.

Ці засоби контролю спрямовані на різні ризики. Апаратна ізоляція розділяє робочі навантаження; посередництво в роботі з обліковими даними не дає агенту доступу до секретів, придатних для повторного використання; а мережева політика обмежує адресатів, з якими він може спілкуватися. Ефективність цих заходів і надалі залежить від дозволів і адресатів, які схвалює організація. Ізоляція не робить безпечною кожну дозволену дію.

У середовищах використовуються Chainguard OS Packages, а залежності під час виконання перевіряються за файлом блокування. наявна пропозиція OS Packages від Chainguard забезпечує постійно оновлювані пакети, збирає їх із вихідного коду та містить специфікації програмного забезпечення. Цей досвід пояснює підхід компанії: поширити контрольовану програмну основу на середовище, у якому працюють агенти.

Workspaces також створює підписані записи про середовище, зміни в коді та результати перевірок. Для команд із безпеки це дає змогу з’ясувати, що саме зробив агент, а не покладатися лише на його власний підсумок сеансу.

Перенесення перевірок у робочий цикл агента

Код можна генерувати швидко, тоді як шлях до перевіреного коду залишається повільним. Агент вносить зміну, надсилає її до системи безперервної інтеграції, чекає, поки налаштується виконавець, а потім отримує повідомлення про помилку, коли контекст його роботи вже змінився. Повторення цього процесу для багатьох агентів може збільшити черги й призвести до дублювання підготовчих робіт.

Chainguard Checks переносить перевірки в цей цикл як виклик інструмента. У поєднанні з Workspaces сеанс агента призупиняється на час перевірок, а потім відновлюється, і в його контекст додаються структуровані журнали помилок. Передбачений робочий процес є ітеративним: внести зміну, запустити перевірки, вивчити помилку й спробувати ще раз, перш ніж передати результат далі.

Попередньо створені знімки містять уже встановлені залежності, а в разі зміни файла блокування створюються заново. Кожен етап робочого процесу виконується у власній мікровіртуальній машині з апаратною ізоляцією. У повідомленні про запуск також описано передавання облікових даних із коротким строком дії на стороні хоста для вихідних запитів і декларативні політики мережевого доступу.

У разі успішного виконання створюється підписане підтвердження, що пов’язує середовище, результат тестування та коміт. За словами Chainguard, наступні етапи злиття можуть перевірити це підтвердження й прийняти результат, не запускаючи той самий набір тестів повторно.

Тут важливо розрізняти передавання підтверджень і просте передавання твердження агента про те, що тести пройдено. Підтвердження може засвідчити, які перевірки виконувалися для якого коміту в якому середовищі. Однак воно не підтверджує, що тести охопили всі важливі аспекти поведінки або що зміна, яка пройшла перевірку, відповідає всім вимогам безпеки. Командам і далі потрібні належні тести, надійні політики перевірки та перевірка фахівцями там, де потрібне професійне судження.

За словами Chainguard, ця конструкція дає змогу отримувати результати за лічені секунди й зменшує обсяг надлишкових обчислень. У матеріалах про запуск немає незалежно підтверджених результатів тестування, які б засвідчували універсальне підвищення швидкості або зниження витрат для різних репозиторіїв.

Захист залежностей, які залучають агенти

Третє оголошення стосується розширення Chainguard Libraries — керованого каталогу та кінцевих точок для залежностей мов програмування з відкритим кодом. Наявний сервіс розроблено так, щоб він інтегрувався з менеджерами артефактів і процесами розробки; він також надає відомості про походження та підписані специфікації програмного забезпечення для пакетів, зібраних Chainguard.

Нова кінцева точка для Go включає сканування на наявність шкідливого та потенційно небажаного програмного забезпечення, налаштовувані політики щодо пакетів і виправлення вразливостей CVE. Кінцева точка для .NET пропонує альтернативу безпосередньому використанню NuGet, доповнену скануванням і засобами контролю політик. Обидві переходять на етап раннього доступу.

Chainguard також додає виправлення вразливостей CVE для JavaScript і Go, зокрема перенесені виправлення вразливостей критичного рівня та високого рівня серйозності. Перенесення виправлень важливе, коли команда не може негайно перейти на новішу основну версію без змін у застосунку або тривалого тестування. Це може зменшити ризик, поки планується масштабніше оновлення.

Компанія повідомляє, що для Java та Python Athena, її галузева коаліція, надаватиме виправлені артефакти для вразливостей, виявлених передовими моделями ШІ, у день оприлюднення цих вразливостей. Це твердження стосується швидкості реагування після публічного розкриття інформації, а не гарантує, що прихованих вразливостей не існує.

Опитування показує, чому покладатися лише на встановлення виправлень стає дедалі складніше

Паралельно з випуском продуктів Chainguard оприлюднює The AI Exploit Gap — опитування, замовлене в Wakefield Research. У вересні 2026 року було зібрано відповіді 1 300 керівників у сфері кібербезпеки з дев’яти ринків. Респонденти обіймали посади щонайнижче рівня директора й зазвичай працювали в організаціях із чисельністю персоналу від 500 осіб; для Сінгапуру та ОАЕ/Саудівської Аравії мінімальний поріг становив 250 працівників.

У цьому опитуванні 54% респондентів повідомили, що їхні організації свідомо залишають невиправленими вразливості високого або критичного рівня принаймні іноді, а 93% висловили занепокоєння, що не встигатимуть достатньо швидко усувати наслідки експлойтів, пов’язаних із ШІ. Близько 76% повідомили про підтверджену або ймовірну атаку з використанням ШІ протягом попереднього року.

Останній показник охоплює як підтверджені інциденти, так і підозри. Його не слід сприймати як незалежно перевірену оцінку кількості атак, спричинених ШІ. Загалом це повідомлення й очікування респондентів, а не телеметричні дані, які встановлюють, як часто певний метод атаки виявляється успішним.

Операційні результати опитування промовисті. Серед компаній із виручкою щонайменше 1 мільярд доларів 66% повідомили, що принаймні іноді залишають невиправленими вразливості високого або критичного рівня; серед компаній із виручкою менш як 250 мільйонів доларів таких було 27%. Великі організації посилалися на компроміси, зумовлені бізнес-потребами, як-от перебої в роботі та конкуруючі пріоритети щодо продуктів. Отже, різниця полягає не лише в можливості виявляти вади, а й у здатності впроваджувати зміни.

Більша автономність потребує посиленого контролю, який можна перевірити

Три нові рішення Chainguard утворюють цілісний підхід: обмежити середовище виконання, забезпечити агентам швидку перевірку з чіткою атрибуцією та контролювати залежності, які вони використовують. Кожне з них охоплює окрему частину того самого процесу розробки.

Практична перевірка полягатиме в тому, чи можна інтегрувати ці засоби контролю в реальні репозиторії, інтеграції із сервісами та політики випуску, не створюючи ще одного вузького місця. Статус бета-версії та раннього доступу означає, що цю роботу ще належить виконати. Однак напрям зрозумілий: у міру того як агенти програмування отримують змогу діяти, підприємствам потрібні засоби безпеки, які залишаються обов’язковими до виконання й доступними для перевірки протягом усього процесу.