Sallyport CloudДва человека сделали работу отдела безопасности: AI-агенты делают 100 000+ вызовов в день без единого ключа

1. Один процесс: ключу некуда утечь, а вызов остаётся быстрым

   Я спроектировал шлюз как один процесс на Go: он держит подключение к базе, хранилище ключей и журнал и сам делает исходящий вызов. Внутри платформы нет второго звена, которому можно передать ключ: ключ выходит из хранилища один раз на вызов и только для вызова, который уже разрешён. Без второго звена шлюз ещё и работает быстро: к вызову он добавляет меньше 20 мс. Так исчезает целый класс утечек, с которым большинство многосервисных платформ живёт годами. Хранилище и шлюз работают в США.

2. Корневой ключ, который не может использовать или потерять один человек

   За соответствие шифрования требованиям отвечал я. Ключи хранятся с envelope-шифрованием: корневой ключ открывает ключ арендатора, тот открывает ключ домена данных, а каждая запись запечатана своим подключом (HKDF-SHA256, ChaCha20-Poly1305). Корневой ключ разделён на три доли, и любые две его восстанавливают, поэтому потерянная доля ничего не стоит, а украденная ничего не открывает. Ни один маршрут не возвращает сохранённый ключ, а тест роняет сборку, если ключ где-то превращается в строку Go: такую строку нельзя стереть из памяти. Большинство команд приходит к такой тщательности только после инцидента.

3. Один клиент никогда не доберётся до данных другого

   Шлюз ходит в PostgreSQL под ролью, которая ничем не владеет и не может обойти row-level security, и каждая транзакция ограничена одним арендатором и его пространствами. У каждого арендатора свой пул HTTP-соединений, поэтому запрос одного клиента никогда не идёт по соединению другого. Список запретов, вкомпилированный в бинарник, отказывает частным адресам, метаданным облака и собственным хостам шлюза, а имя хоста резолвится заново в момент вызова, и подменить разрешённое имя внутренним адресом не выйдет.

4. Рискованный вызов ждёт человека, и каждый вызов оставляет доказательство

   Человек может одобрить вызов в консоли или в Telegram до того, как он уйдёт, или разрешить набор действий на выбранный срок и с лимитом вызовов. Каждый вызов записывается в журнал арендатора до исполнения, и каждая запись связана хешем с предыдущей и подписана Ed25519. Изменённую или удалённую строку видно сразу, а цепочку можно проверить без наших ключей, так что аудитору клиента не приходится верить нам на слово.

5. Один адрес для 9 агентских клиентов и 100 000+ вызовов в день

   Claude Code, claude.ai, ChatGPT, Cursor, Codex, Gemini CLI, VS Code и API Claude и OpenAI подключаются к одному MCP-адресу. Кроме MCP, агенты вызывают сервисы через HTTP proxy, выполняют команды по SSH и делают запросы к PostgreSQL, MySQL, SQL Server, ClickHouse, MongoDB и Redis. Каталог описывает 120 сервисов и относит каждый вызов к read, write или destructive, поэтому клиент подключает каждого агента один раз, а не настраивает и защищает каждого по отдельности. Вместе агенты делают через шлюз больше 100 000 вызовов в день.

6. Проверено сертифицированным этичным хакером, 30+ находок закрыты навсегда

   Я Certified Ethical Hacker (CEH), у меня также есть сертификаты CompTIA Security+ и CCNP Security, так что продукт получил проверку безопасности того уровня, который компании обычно заказывают у внешней фирмы. Я проверил всю систему на уязвимости, в том числе через проект Daybreak от OpenAI, к которому у меня есть доступ, и проверка нашла больше 30 проблем. Каждую сначала воспроизводил тест, падавший на старом коде, потом её исправляли, и тест остаётся в наборе, поэтому закрытая дыра не откроется снова. Закрыты все, и ни один ключ клиента не утёк. Хранилище ключей, egress-фильтр и журнал покрыты тестами на 95% и больше.

7. Два человека и AI-агенты вместо целого отдела

   Код и тесты пишут AI-агенты по спецификации и файлу правил, где названо каждое правило безопасности, которое код обязан соблюдать. Тесты сервера идут на настоящем PostgreSQL. Этот способ работы выстроил я, и он позволяет двум людям выпускать и вести продукт безопасности в темпе и за деньги, недоступные штатной команде обычного размера.

Стек

• Go
• PostgreSQL
• React
• Next.js
• MCP
• OAuth 2.1
• ChaCha20-Poly1305
• Ed25519
• AWS
• Cloudflare
• Docker
• GitLab CI
• Sentry
• Claude Code