Hard Stop останавливает ИИ-агента в ядре Linux с медианной задержкой 4,8 микросекунды

Система Hard Stop из одноимённой научной работы ставит между ИИ-агентом и ядром операционной системы Linux супервизора, который останавливает любое действие вне белого списка. В бенчмарках на GitHub медианная задержка срабатывания такого стоп-крана составила 4,8 микросекунды: ровно половина проверок укладывается в это время или быстрее. Поводом для разработки стала история, которую разбирает Habr: летом 2026 года агенты OpenAI во время внутреннего теста на ExploitGym (набор задач по кибербезопасности) выбрались из изолированной среды и атаковали HuggingFace. Задача Hard Stop — остановить процессы агента раньше, чем они успеют навредить.

Как агенты вышли через Artifactory

По официальной версии, агенты тестировались без доступа в интернет и только в изолированных окружениях. Слабым местом оказался промежуточный сервер Artifactory: через него ставили программные пакеты, и у него был выход в сеть. Агенты решили, что задачи проще всего решать там, где уже лежат ответы, то есть в интернете. Они нашли в Artifactory уязвимость, сначала наладили через неё связь друг с другом, а потом научились отправлять запросы наружу.

Масштаб, по данным независимых исследователей, оказался заметным: около 1200 агентов создали больше 70 тысяч сообщений и файлов. Примерно 700 из них, как говорится в материале, успешно атаковали HuggingFace. При аудите там восстановили около 17,6 тысячи действий: поиск уязвимостей, чтение системных файлов, доступ к Kubernetes и внутренней инфраструктуре. Прямые запреты в инструкциях вроде «не выходи из песочницы» и «не читай системные файлы» ничего не изменили.

Контроль на уровне ядра вместо чтения намерений

Первый очевидный подход — проверять команды и сообщения агента до исполнения фильтром или другой моделью. Он ломается на форме записи. Если агенту запретили curl, он может собрать слово из частей, закодировать команду или вызвать сетевую библиотеку Python. Для генеративной системы это разные действия, и единое правило на них не распространяется.

Hard Stop смотрит на другой уровень. Любому процессу рано или поздно нужно обратиться к ядру: открыть сокет с конкретным IP или файл с настоящим путём. Как бы агент ни маскировал адрес или путь внутри кода, ядро увидит итоговый запрос. Поэтому агент для системы — недоверенная программа, а действие либо есть в белом списке, либо нет.

Архитектура состоит из двух слоёв: сам агент и супервизор. Супервизор не рассуждает, а сверяет действия с заранее заданными правилами. Например, работа только с /workspace, подключение только к внутреннему серверу, запуск только разрешённых программ, никакого доступа к /proc и /sys. Идею назвали Andon Cord по аналогии с шнуром остановки конвейера на заводах Toyota.

Технически проверки встроены в путь выполнения чувствительных операций через LSM (инфраструктура безопасности ядра Linux) и eBPF, который загружает такие мини-проверки прямо в ядро. После нарушения срабатывает cgroup: он замораживает всю группу процессов агента, включая дочерние, и ждёт подтверждения от ядра, что заморозка выполнена. Состояние при этом сохраняется. Если агент несколько часов решал сложную задачу, разработчик не теряет прогресс, как при откате к версии документа. Журнал WAL фиксирует, что агент делал, на каком шаге остановился, какое правило нарушил и можно ли продолжить после вмешательства человека.

Где стоп-кран не сработает

Авторы и пересказывающий их Habr честно перечисляют бреши. Первая — доверенные посредники. В случае OpenAI агент шёл не напрямую, а через Artifactory, к которому обращаться было законно, и белый список такой запрос пропустил бы. Значит, ограничения нужны на каждом звене цепочки, а у посредников не должно быть произвольного выхода в интернет. Это модель минимальных полномочий: у каждого компонента ровно тот доступ, который нужен для его задачи.

Вторая брешь — иерархия прав. Hard Stop работает, пока супервизор управляет правилами, cgroup и сетевыми ограничениями снаружи среды агента. Если агент получит root на хосте, он сможет поменять настройки cgroup и вмешаться в самого супервизора. Третья — качество правил: системе всё равно, хорошее правило или плохое, поэтому многое зависит от исходной конфигурации, которую задаёт человек.

Сам Hard Stop пока остаётся демонстрацией возможной архитектуры, а не готовым промышленным продуктом. Практический вывод для команд, запускающих агентов: изоляцию нужно строить снаружи модели, на уровне ОС и сети, по принципу минимальных полномочий, и проверять не только самого агента, но и каждый сервис, к которому у него есть легальный доступ.