Шлюз ИИ и шлюз безопасности ИИ: почему бы не объединить два обязательства по одной и той же цепной дороге в один компонент
Давайте проясним эту статью. Эти два типа продуктов практически идентичны на PPT: они вставлены между приложениями и моделями, они окрашены в одном положении, и все они претендуют на «единый доступ». Поэтому самой распространенной ошибкой был не неправильный продукт.Рассматривайте эти два обязательства как одно, думая, что их будет два.
Они идут по одной и той же цепи. Но обещание совсем другое: обещание.Запрос на эффективное прибытие.Обещание.Контент и действия могут быть оценены, заблокированы и отслежены.Я не знаю. Первый — «медленный, дорогой, неправильный», а второй — «не следует отпускать», а второй — наблюдение обычно не вызывает полицию.
Не по функциональному списку, прессаТри структурных конфликтаДавай. Я не выдумал. Я написал это в официальных файлах двух производителей.
Одно или четыре слова, сначала отдельно.
Термин «существительное» в этой строке уже является инфляцией до такой степени, что его нельзя использовать напрямую. Шлюз API, шлюз LLM, шлюз AI и шлюз безопасности AI часто появляются в одной и той же программе, и автор программы не всегда различает себя.
| Имя | Цели управления | Типичные возможности | Что он "видит"? |
|---|---|---|---|
| API Gateway | Печать Peer | Права, ограниченный поток, прекращение TLS, баланс нагрузки, пересылка | /ordersЯ не знаю./users |
| Шлюз LLM Gateway | Поставщик и модель | Модельный маршрут, ключевой хостинг, метрология токенов, конверсия текущего формата | model Поля и messages массив |
| AI Gateway | Сессия и действия | Все выше +agent workflow, MCP, инструментальный вызов, агрегация затрат | Кто позволяет кому что делать? |
| Шлюз безопасности AI | как определено | Инъекция обнаружения, классификация содержимого, разрешение на передвижение, криминалистические знаки. | Мы должны отпустить? |
Самая важная колонка в этой таблице — последняя.Первые три строчки гласили «Как выглядит запрос», а четвертая строчка гласила «Допустимо ли это».Первый — это вопрос передачи, а второй — вопрос суждения. Ретрансляции могут быть доступны на 99,99%, а не оценены, потому что само суждение подвержено ошибке.
В этом сравнении есть строчка: реальная разница не в том, кто прав, а в том, кто прав.Они были разработаны, чтобы понять, что такое поток.Я не знаю. Традиционные потоки API являются конечными, потоки LLM являются моделью и токеном, а агентные потоки являются «одним пользовательским запросом для запуска нескольких вызовов моделей, вызовов инструментов MCP, внутренних вызовов API, поиска и деловых действий». Чем ниже иерархия, тем больше вещей вы видите, тем больше ответственность.
II. КОНФЛИКТ I: Кэш обойдет суждение
Это тот, о котором, я думаю, стоит писать, потому что это...СтруктураЭто не осознание недостатков.
Документ AI Gateway DLP для Cloudflare содержит оригинальную фразу:
Cache hits skip DLP scanning.И есть еще одна вещь, которая имеет значение:Если вы обновите стратегию DLP после ответа на кэш, кэш не будет переоценен.Он будет отправлен до истечения срока TTL.
Почему? Потому что нетрудно понять:Вся ценность кэша - "больше не считать".Если решение будет повторяться каждый раз, кэш будет храниться без ускорения. Так что на проекте «Кэш = пройден» является необходимым допущением по умолчанию.
Это предположение полностью справедливо с точки зрения производительности, с дырой в условиях безопасности:Стратегия изменится.Вы сегодня добавили правило, и вчерашний ответ на тайник не был затронут. Команда безопасности назвала это «тактическое изменение не вступило в силу», а команда шлюза назвала его «нормальной работой кэшлайна».И то и другое верно, в зависимости от того, кого вы спрашиваете.
Лечение Клодфларе относительно честное: ответ Флага идет вниз, а ответ Блока идет вниз. Но в то же время он признает разрыв в переоценке обновленной стратегии. Чтобы закрыть этот разрыв, достаточно укоротить TTL, что напрямую ослабляет значение кэша.Это естественное противоречие. Нет двух конфигураций.
III. КОНФЛИКТ II: Стиль и решительность потока не могут быть удовлетворены одновременно
Второй конфликт более интуитивный и непосредственно отражается в воспринимаемых задержках.
Документ DLP Cloudflare четко написан: было открыто боковое сканирование ответа, и когда запрос потока SSE был выполнен, SSE был отправлен в SSE.Шлюз будет буферизировать, подметать и снова выпускать весь ответ клиенту.Время до первого токена будет расти дольше.
Это и есть цена буфера.Если вы хотите выбрать целый абзац, вы должны сначала иметь его.И весь смысл потока не в том, чтобы ждать целый абзац. Это два физических конфликта.
Документ дает нам два выхода. Я думаю, что второе - это правда:
- Только просьбы.(Проверка устанавливается как Запрос), нет буферного сканирования на стороне ответа - нет буфера на стороне запроса, нет влияния на задержку.
- Отключить два шлюзаОтложить один чувствительный поток и один трафик, подлежащий обзору.
Статья 2 признает одно:«Быстрый» и «Courtable» должны быть частью структуры.Подключение к одному и тому же компоненту в конечном итоге должно быть уступкой с одной стороны — либо пользователь ждет, либо обзор пропускает.
Кстати, есть одна деталь, которую многие люди не заметили.Уровень шлюзаБез переключателя по запросу вы можете выбрать другой профиль DLP и не можете обойти один запрос. Документ предлагает несколько шлюзов по использованию. Это еще одна иллюстрация проблемы с моделью «один шлюз обрабатывает все».
Конфликт три: какая сторона должна упасть, если она не сработает
Третий конфликт является самым простым и наименее обсуждаемым:Когда компонент подвешен, по умолчанию происходит освобождение или отказ.
Инженерная традиция шлюза не работает. Причина этого верна: шлюз — это прыжок в середине цепи, и он не работает, и большую часть времени он «отрезан» больше, чем «проверить один слой меньше». Традиционный продукт безопасности, в свою очередь, был закрыт: если вы не можете проверить, оставьте его.
Две традиции столкнулись, и результатом, как правило, был код, который находился в цепи.
Карта OWASP LLM Top 10 (2026) - одна из самых честных вещей, которые я когда-либо видел. Он выделяет каждый по умолчанию и заявляет, что «почти каждый элемент управления закрыт перед конфигурацией».
| Пункт ОВАСП | Статус по умолчанию |
|---|---|
| LLM01 Типовая инъекция | Отвали. |
| LLM02 Раскрытие конфиденциальной информации | За исключением Key Hash. |
| LLM03 Избыточный агент | Открыто до(Никакой список не определен = может достичь всех MCP-серверов) |
| LLM04 Цепочка поставок | На |
| LLM06 Неограниченное потребление | Оставить |
| LLM08 Скрыть контекст | Оставить |
| Выход LLM10 не обрабатывается должным образом | Оставить |
В этой таблице есть строка, которую я должен нести в одиночку, потому что ее последствия более серьезны, чем уровень по умолчанию:
"MCP вернется в глобальный список и ключ, представленный ее собственным сервером, а A2A вернет неограниченный доступ, когда доступ к базе данных выйдет из строя.
Переверни его:Компонент безопасности мертв и должен был быть отклонен.В 2026 году три пункта риска были перенесены вперед. Документ этого не скрывает, и сопровождается пиар-номером, который предстоит обработать - эта прозрачность положительна, но она также указывает, что это сейчас.
Это прямое сообщение структуре:Если определение безопасности и передача потока являются одним и тем же процессом и одной и той же областью отказа, то требование о наличии для передачи загрязняет серьезность определения.Самый чистый способ понять, что не следует идти вперед, это держать его в другой области неудачи.
Ви. Коренные причины конфликта: два ОАС, которые не могут быть выполнены одновременно
Рассматривая три вышеперечисленных вместе, они представляют собой не три изолированных жука, а три проявления одного и того же противоречия.
| Размеры | AI Gateway | Шлюз безопасности AI |
|---|---|---|
| Оптимизация целей | Спам, задержка, стоимость | Скорость точности определения, прослеживаемость |
| Допустимая задержка | Как можно скорее p. 99 является основным показателем. | Допустимо одно определение в десятки миллисекунд. |
| Неудавшееся направление | Предрасположение (осуществимость) | Предрасположенность к отказу (исправление) |
| Изменение стратегии | После настройки он готов к постепенной реализации. | Немедленное, глобальное вступление в силу |
| Кэш | Основные компетенции | Это обойдет вердикт. |
| жидкий | Необходимо поддерживать | Конфликт с целым абзацем |
| Принятие | Давление, удар, счет. | Пройдите тесты, уровень убийств, судебная целостность. |
Следите за линией «изменения стратегии». Именно здесь лучше всего различать два типа продуктов:Стратегия шлюза - это конфигурация, а стратегия шлюза безопасности - это приверженность.Конфигурация неверна, чтобы откатиться, и обязательство пропадает. Таким образом, первый может принять «эффективность в течение нескольких минут», а второй — нет.
Когда требуется как «как можно скорее», так и «не один раз», это не является требованием, которое компонент может выполнить одновременно.
VI. КАК ДИСТРИБУТУТЬ БИЗНЕСА: МЫСЛ К "БОРДЕРАМ НЕПРАВИЛОСЬ"
Я не рекомендую разделение труда по функциональным спискам, которые всегда перекрываются. Чтобы было ясно по одному вопросу:Провалился ли этот контроль, замедлился ли он или оставил неправильный?
Первый остается в шлюзе ИИ, второй вынимает и делает это в одиночку. Другие организаторы
| Контрольный пункт | Оставайтесь на AI Gateway | Его следует отвести к защитному шлюзу. |
|---|---|---|
| Модельный маршрут / понижение | Зип. | Я не знаю. |
| Ответный кэш | Зип. | Необходимость поддержки стратегического проактивного провала |
| Токен-метрика/бюджет | Зип. | Я не знаю. |
| Многопользовательская стратегия изоляции | Я не знаю. | Я не могу этого сделать. |
| Инъекция / Breakout Decision | Подожди. Не будьте главной линией. | • Независимый уровень судейства |
| Инструменты и разрешения MCP | Я не знаю. | Полномасштабные изменения Default |
| PII Десенсибилизация и сокращение | Односторонняя крышка. | Обратимый + проверяемый |
| Доказательства и прослеживаемость | Лога достаточно. | Предубеждение + хранение без содержания |
Три места, которые стоит развивать.
- Многопользовательская стратегия изолирована.Стратегия DLP Claudflare - это уровень шлюза, с несколькими шлюзами для отдельных арендаторов. Если ваш бизнес является многопользовательским SaaS, это напрямую определит форму структуры.
- Обратимость.Традиционный DLP — это «блокировка обнаружения», и сценарий ИИ часто требует «восстановления чувствительности обнаружения»: стереть PII со станции и восстановить собственные данные пользователя, когда ответ вернется. Это не может быть одностороннее прикрытие.
- Никаких доказательств.Хранение первоначального запроса с целью доказательства равносильно созданию минной зоны соответствия. Обследуемый Metadata + Hashi проходит аудит без создания новых информационных активов — водораздела в шлюзе безопасности и обычном шлюзовом журнале.
Если бы только одно
Статус многих команд таков: ИИ-шлюз включен, а шлюз безопасности в бюджете. Риск в этом состоянии не «нет сети безопасности», но...Я так и думал.Я не знаю.
Так что, если есть только одна вещь, чтобы сделать, я предлагаю это:Сначала переверните все дефолты.
Причина проста: те, кто наверху, не ошибаются.Завод не работает.Я не знаю. Ваш шлюз проходит через производство, и поток реален, но большинство элементов управления никогда не были открыты. Этот вопрос не требует закупок, никакого нового бюджета, никакого структурированного рассмотрения, всего полдня и списка.
- Перечисляет все элементы ограждения / политики на вашем шлюзе и их текущий статус переключателя.
- Постатейное воздействие «Уровня по умолчанию» будет открыто не менее трех раз: LLM01 (инъекция), LLM03 (авторизация инструмента), LLM02 (диссенсибилизация).
- Проверка неудачной ориентацииСимулировать запрос разрешения не удалось увидеть, был ли он выпущен или отклонен. Эта статья является наиболее легко игнорируемой и смертельной.
- Подтвердите связь между кэшем и изменением стратегии: стратегия изменилась, и как долго старый кэш не сработал. Напишите эту цифру в процессе изменения.
- Подтверждает ответную обработку токов по боковому сканированию: если она открыта, что пользователь воспринимает TTF; если она выключена, определение стороны вывода отбрасывается.
После этих пяти вы получите более точный вывод, чем любая сравнительная таблица:То, что у вас есть сейчас, это шлюз или шлюз безопасности.
Оригинальное название: Why Can't the Two Oblictions Be merged
Вернемся к тому, что в названии — два предприятия в одной цепочке.
Я не хочу подчеркивать, что «они разные», но..."Они разные, и они не структурные. Они не исчезают по мере созревания продукта».Я не знаю.
Кэш обязательно обходит определение, так как определение Кэша больше не вычисляется. Жидкости неизбежно вступают в противоречие со всей решимостью, которая предполагает полное содержание. Форвардинг обязательно имеет тенденцию быть либеральным, поскольку его функция заключается в сохранении удобства использования.Ни один из этих трех вопросов не относится к уровню проекта, все из которых являются различиями в целевых функциях.
Поэтому правильно не искать продукт, который хорош для обоих.Признайте, что это два слоя, а затем поместите их в разные области отказа, каждый из которых оптимизирует свои цели.Он связан четким интерфейсом: шлюз «для доставки» и шлюз безопасности «запрещен».
Вот почему я не верю в «интегрированные шлюзы безопасности ИИ». Интегрированный продукт действительно существует, и он работает, но когда он утверждает, что имеет высокую интенсивность и нулевой отказ, это обычно означает, что он работает.Один из них был создан при определенных условиях.И это условие не всегда записано в сравнительной таблице.
Это две вещи. Поместите их в тот же компонент, и рано или поздно будет концессия.