Zscaler Zero Trust Exchange: архитектура безопасности для генеративного ИИ и Copilot

С внедрением генеративного ИИ (GenAI) в рабочие процессы — в частности‚ Microsoft 365 Copilot‚ GitHub Copilot и пользовательских агентов через Copilot Studio — перед службами информационной безопасности встала острая задача: как разрешить продуктивное использование ИИ‚ не теряя контроль над конфиденциальными данными‚ уходящими в промпты (запросы) и возвращающимися в ответах․ Традиционные файрволы и прокси не видят внутрь зашифрованного HTTPS-трафика API‚ а банальная блокировка доменов *․openai․com или graph․microsoft․com парализует бизнес․

Платформа Zscaler Zero Trust Exchange решает эту проблему за счет архитектуры In-line Proxy (встроенного прокси)‚ выполняющей полную расшифровку SSL/TLS‚ глубокую инспекцию полезной нагрузки (Payload) и применение политик на уровне приложений‚ пользователей и контента в реальном времени;

Архитектурная основа: Почему Zscaler видит API Copilot

В отличие от решений‚ работающих в режиме «Tap/SPAN» (зеркалирование трафика) или анализирующих только логи DNS/NetFlow‚ Zscaler Client Connector (или PAC-файл/прямая интеграция с браузером) перенаправляет весь HTTP/HTTPS-трафик пользователя в ближайший дата-центр Zscaler (POP)․

Полная расшифровка SSL (TLS Inspection): Zscaler устанавливает доверенную цепочку сертификатов (управляемую корпоративным CA)‚ расшифровывает TLS 1․2/1․3‚ инспектирует тело JSON-запросов к API Copilot и повторно шифрует трафик перед отправкой в Microsoft Graph / Azure OpenAI․
AppControl / Advanced AppControl: Движок идентификации приложений (Layer 7) распознает не просто «Microsoft 365″‚ а конкретные микросервисы: copilot․microsoft․com‚ эндпоинты api․githubcopilot․com‚ вызовы Graph API (/beta/me/copilot/․․․)․
Zero Trust Principle: Политики применяются к идентичности (IdP: Entra ID‚ Okta)‚ контексту устройства (Posture: EDR статус‚ OS версия‚ сертификат машины) и назначению‚ а не к IP-адресу источника․

Ключевые механизмы Granular Control (Детального контроля)

Управление доступом к функциям Copilot (Feature-Level Control)

Zscaler позволяет разграничить доступ не ко всему M365‚ а к конкретным возможностям ИИ:

Блокировка/Разрешение плагинов и коннекторов: Контроль вызовов POST /v1․0/me/copilot/plugins или обращений к сторонним API через Copilot Studio․
Ограничение GitHub Copilot: Отдельные политики для IDE (VS Code‚ JetBrains) — разрешение автодополнения кода (completion)‚ но блокировка чата (chat) или отправки контекста репозитория в облако․
Контроль «Copilot в Windows/Edge»: Фильтрация трафика процесса TextInputHost․exe или msedge․exe при обращении к эндпоинтам copilot․prod․msedge․net․

DLP (Data Loss Prevention) в теле API-запросов — Ядро защиты

Это самый критичный вектор․ Промпты пользователей, это неструктурированный текст‚ часто содержащий PII‚ PCI‚ IP‚ код‚ ключи API․

Exact Data Match (EDM) / Indexed Document Match (IDM): Загрузка хешей конфиденциальных баз (клиенты‚ контракты‚ схемы БД) в облако Zscaler․ Движок DLP находит совпадения в JSON-теле запроса { "messages": [ { "content": "Секретный контракт № 123․․․" } ] } до ухода в Microsoft Graph․
Расширенные словари и Regex (PCRE2): Детекция ключей AWS/Azure/GCP‚ JWT токенов‚ номеров карт‚ медицинских записей (HIPAA) внутри промптов․
Контекстная DLP (ML-based): Классификаторы на базе ML (Document Classification) определяют тип документа‚ вставленного в чат (например‚ «Кодовый репозиторий» vs «Финансовый отчет»)‚ и применяют разные действия․
Действия (Actions):
- Block: Полная блокировка запроса с кастомной страницей уведомления («Обнаружен PII в промпте»)․
- Redact (Sanitize): Уникальная фича Zscaler․ Автоматическое замаскирование чувствительных фрагментов в JSON-теле запроса «на лету» перед отправкой в LLM‚ и восстановление (опционально) в ответе для пользователя․
- Isolate: Перенаправление сессии в Zscaler Browser Isolation (RBI)․ Пользователь работает с Copilot в изолированном контейнере: ввод/вывод текста разрешен‚ но скачивание файлов‚ копирование в буфер обмена хоста‚ печать — заблокированы․
- Alert / Coach: Предупреждение пользователя в реальном времени («Вы вставляете номер паспорта‚ уверены?»)‚ логирование в SIEM без блокировки․

CASB Inline: Контроль OAuth и разрешений (Scopes)

Zscaler CASB (Inline Mode) перехватывает поток авторизации OAuth 2․0 / OIDC при входе в Copilot:

Ограничение Scopes: Блокировка согласия пользователя на предоставление приложению Copilot прав Files․ReadWrite․All‚ Mail․ReadWrite‚ Sites․FullControl․All‚ если политика требует только User․Read + Chat․ReadWrite․
Управление согласиями (Consent Governance): Автоматический отзыв токенов обновления (Refresh Tokens) для несанкционированных плагинов Copilot Studio‚ обнаруженных через логин активность․
Условный доступ (Conditional Access) к API: Требование MFA‚ совместимого устройства (Compliant Device) или низкого риска Identity Protection (Entra ID) для получения Access Token к эндпоинтам Copilot API․

URL Filtering & Cloud App Control: Микро-сегментация эндпоинтов

Microsoft 365 Copilot использует десятки FQDN и IP-диапазонов (Front Door‚ AFD‚ Graph‚ Semantic Index‚ Plugin Runtime)․ Zscaler поддерживает динамические категории Microsoft 365 Copilot и GitHub Copilot‚ обновляемые автоматически․

Разрешение graph․microsoft․com (базовый Graph)‚ но блокировка semantic-search․copilot․microsoft․com (векторный поиск по корпоративным данным)‚ если индексация не одобрена․
Блокировка телеметрии/диагностики Copilot (*․events․data․microsoft․com)‚ оставляя рабочий трафик․

Защита от атак на LLM (AI-Specific Threat Protection)

На 2026 год Zscaler ThreatLabz интегрировал сигнатуры атак на GenAI в Advanced Threat Protection (ATP):

Prompt Injection Detection: Анализ входящих ответов от API Copilot на предмет инъекций‚ заставляющих модель игнорировать инструкции системы (System Prompt Leakage)․
Data Exfiltration via Markdown/Images: Блокировка рендеринга внешних изображений/ссылок в ответах Copilot (Markdown Exfiltration)‚ когда модель заставлена вывести ``․
Plugin/Function Calling Abuse: Контроль вызовов функций (Function Calling) — запрет вызова плагинов с высоким риском (отправка почты‚ удаление файлов‚ SQL execute) без доп․ подтверждения или изоляции․

Сценарии развертывания и применения политик

Сценарий	Конфигурация Zscaler	Результат
Управляемое корпоративное устройство (Managed) Zscaler Client Connector (ZCC) установлен‚ сертификат CA в Trust Store․	SSL Inspection: On․ AppControl: Allow M365 Copilot․ DLP: Redact PII/Code Secrets․ CASB: Enforce least privilege scopes․	Полная видимость‚ санитизация промптов‚ контроль плагинов‚ логирование в Nanolog․
Неуправляемое / BYOD / Партнеры Нет ZCC‚ нет корп․ сертификата․	Zscaler Browser Isolation (RBI) для категорий «GenAI / Copilot»․ DLP: Block Download / Copy-Paste / Print в изоляторе․ CASB: Read-only API scope enforcement․	Пользователь работает с Copilot в визуальном потоке (пиксели)‚ данные не покидают контейнер Zscaler․ Никаких агентов на эндпоинте;
Сервисные аккаунты / CI/CD (GitHub Copilot CLI / API)	ZPA (Private Access) для доступа к GitHub Enterprise Cloud․ ZIA: API-only policy (User-Agent / Token based)․ DLP: Block secrets in commit messages/prompts․	Контроль «машинного» трафика ИИ без браузера․ Защита ключей в инфраструктуре IaC․
Copilot Studio / Custom Agents	AppControl: Identify «Power Platform / Copilot Studio»․ DLP: IDM на базы знаний (Dataverse)‚ загруженные в агента․ CASB: Control connector permissions (Graph‚ SQL‚ Custom API)․	Гovernance -code ИИ-агентов: кто может публиковать‚ какие данные индексируются‚ какие действия выполняет агент․

Визуализация и Аудит: Nanolog Streaming Service (NSS)

Гранулярный контроль бесполезен без аудита․ Zscaler экспортирует обогащенные логи (JSON/Parquet) в SIEM (Sentinel‚ Splunk‚ Elastic‚ Chronicle) или Data Lake (S3‚ ADLS‚ Snowflake) через NSS․

Ключевые поля для корреляции инцидентов Copilot:

app․name: "Microsoft 365 Copilot" / "GitHub Copilot"
app․activity: "chat_completion" / "code_suggestion" / "plugin_invocation" / "semantic_search"
dlp․rule․matched: "PCI_DSS"‚ "Source_Code_Leak"‚ "PII_Passport"
dlp․action: "REDACTED"‚ "BLOCKED"‚ "ISOLATED"
request․body․truncated / response․body․truncated (для расследования, полное тело запроса/ответа в защищенном хранилище)․
user․department‚ user․risk_score‚ device․posture (контекст Zero Trust)․

Это позволяет строить дашборды: «Топ-10 пользователей‚ отправляющих код в GitHub Copilot»‚ «Количество заблокированных промптов с PII за неделю»‚ «Аномальная активность плагинов Copilot Studio»․

Пошаговый чек-лист внедрения политик (Best Practices 2026)

Инвентаризация: Включить Cloud App Discovery (CASB Passive / API Connector к Entra ID/Defender for Cloud Apps) на 2 недели․ Выявить: кто использует Copilot‚ GitHub Copilot‚ какие плагины установлены‚ какой объем трафика․
SSL Inspection Rollout: Поэтапное развертывание корневого сертификата Zscaler через Intune / GPO / Jamf․ Начать с pilota IT/Безопасность․ Включить «Inspect All» для категорий Generative AI и Microsoft 365․
DLP Tuning (Режим «Monitor Only»): Создать профили DLP для типов данных вашей отрасли (ФЗ-152‚ GDPR‚ Гостайна‚ Исходный код)․ Запустить в режиме Alert Only․ Настроить исключения (False Positives) для легаси-приложений․
Включение Redact / Block: После нулевых ложных срабатываний — переключить критичные правила на Redact (для текста) или Block (для секретов/ключей)․
CASB Inline Policies: Настроить OAuth App Control․ Заблокировать согласие (Consent) на рискованные scopes для Copilot плагинов․ Требуйте админское одобрение для новых плагинов․
Browser Isolation для рисковых групп: Назначьте профиль RBI для подрядчиков‚ админов (для защиты от Prompt Injection) и неуправляемых устройств․
Интеграция с SIEM/SOAR: Настройте NSS․ Создайте правила корреляции: «DLP Block + High User Risk -> Force MFA / Disable Account»․
Обучение пользователей (Coaching): Включите User Coaching Pages․ Когда DLP срабатывает в режиме Warn/Coach — пользователь видит объяснение почему это опасно‚ а не просто «Access Denied»․ Это снижает рецидив на 60-80%․

Особенности контроля Microsoft 365 Copilot vs GitHub Copilot

Microsoft 365 Copilot (Enterprise Data Protection)

Графовые данные: Copilot имеет доступ ко всему‚ что имеет пользователь (Graph)․ Zscaler DLP, единственный способ предотвратить утечку данных до того‚ как они попадут в контекст LLM‚ так как Microsoft не предоставляет «Pre-processing API» для кастомной санитизации промптов на своей стороне․
Semantic Index: Контроль индексации чувствительных сайтов SharePoint/OneDrive через CASB API (пометка сайтов как «Restricted» / Sensitivity Labels)‚ но Zscaler Inline DLP работает как «последняя линия обороны» при запросе․

GitHub Copilot (Code & IP Protection)

IDE Traffic: Трафик идет не через браузер‚ а через процесс code / idea64․exe․ Требуется ZCC с поддержкой per-process proxy или настройка системного прокси․
Context Window: Copilot отправляет соседние файлы‚ импорты‚ комментарии․ DLP Regex/EDM критически важен для поиска AWS_SECRET_KEY‚ connectionString‚ private_key в контексте․
Telemetry: Разрешить телеметрию (улучшение модели)‚ но блокировать отправку сниппетов кода в телеметрию‚ если включена политика «No Code Retention» (Enterprise Policy)․

Zscaler обеспечивает granular control над API Copilot не за счет «магии»‚ а за счет архитектурного преимущества: полноценный In-line TLS Proxy в облаке с единым движком политик (Policy Engine)‚ объединяющим URL Filtering‚ AppControl‚ CASB‚ DLP‚ ATP‚ RBI и Sandbox․

Это позволяет перейти от бинарного «Разрешить/Заблокировать ИИ» к модели «Разрешить безопасно»:

Видимость: Каждый промпт‚ каждый вызов плагина‚ каждый токен OAuth логируется․
Защита данных: DLP Redact удаляет секреты из запроса перед уходом в LLM․
Управление рисками: Изоляция браузера для недоверенных контекстов‚ блокировка инъекций‚ контроль плагинов․
Непрерывность бизнеса: Пользователи работают с Copilot нативно‚ без потери производительности (Zscaler POP в 100+ странах‚ латенность < 10-20мс на инспекцию)․

В 2026 году‚ когда ИИ-агенты становятся автономными (Agentic AI)‚ способность Zscaler инспектировать и контролировать машин-ту-машин (M2M) API-трафик (Service Principals‚ Managed Identities‚ Copilot Studio Action Calls) становится обязательным требованием для корпоративной киберрезильентности․

Статья подготовлена на основе архитектуры Zscaler Zero Trust Exchange актуальной на ․ Конкретные имена SKU (ZIA‚ ZPA‚ ZDX‚ CASB‚ DLP‚ RBI) и возможности могут зависеть от лицензионного пакета организации․