Google описала zero-trust архитектуру для AI-агентов на ADK и Gemini

17 августа 2026 года Google Developers Blog опубликовал разбор zero-trust архитектуры для автономных AI-агентов на Agent Development Kit и Gemini. Первоисточник: https://developers.googleblog.com/build-zero-trust-ai-agents-with-googles-agent-development-kit/

Google описывает пример customer support and returns agent, который может читать заявку, выполнять Python-код для расчёта возврата и записывать результат в базу. В threat model атака через prompt injection может попытаться изменить сумму возврата, выполнить лишний код или вывести переменные окружения. Google прямо формулирует ключевой вывод: system prompts не являются security boundary.

Zero-trust AI agent - это агентная система, где модель считается потенциально обманутой, а критичные гарантии enforced вне LLM context. В опубликованном подходе Google выделяет три слоя:

• cryptographic write signatures: каждый state-changing write подписывается ключом конкретного агента, а база проверяет подпись перед commit;
• kernel-level code isolation: динамический код запускается в gVisor sandbox без network egress, с ограничениями CPU, memory и timeout;
• deterministic semantic gateways: входы, выходы и tool calls проходят через проверяемые правила, которые блокируют jailbreak-сигналы, утечки секретов и недопустимые транзакции.

Почему это важно для production agent tooling: агентные workflows всё чаще получают доступ к внутренним API, базам данных, платёжным операциям и runtime-коду. Ошибка модели в таком контуре превращается не в плохой текст, а в изменение состояния системы. Поэтому security policy должна жить рядом с gateway, audit trail, sandbox и CI regression tests, а не только в prompt template.

Практический чеклист для команды: 1. Раздели read-only tool calls и state-changing writes на уровне API policy. 2. Подписывай критичные записи агентным identity key и проверяй подпись на ingress. 3. Запускай generated code в sandbox без сети и с коротким timeout. 4. Логируй prompt injection blocks, tool denials, 429, timeouts и fallback attempts как разные типы событий. 5. Добавь regression tests для semantic gateway перед сменой модели, prompt или agent runtime.

Use zero-trust agents when an LLM can mutate production state, call internal APIs or execute generated code. The safest production pattern is to keep model routing, semantic checks, tool permissions, rate limits and audit logs in one control plane, so provider 429 or fallback routing does not bypass security rules.