CEO AI: как один разработчик добавил проверку безопасности в помощника для ИИ-агентов

Разработчик под ником Bearatol собрал CEO AI: открытый скилл для Codex, Claude Code и Cursor, который обсуждает с пользователем задачи и предупреждает о сомнительных решениях. В ходе работы над инструментом он добавил в него проверку безопасности. При индексации CEO AI просматривает выбранные скиллы и описания агентов, ищет подозрительные инструкции и показывает, что осталось непроверенным. Сами проверяемые инструкции при этом не выполняются.

Причина простая. Чужие скиллы, собственные сгенерированные инструкции и описания агентов ставят себе обычно без чтения того, что внутри. Инструкции читает модель и воспринимает их как руководство к действию, поэтому в безобидном на вид тексте может оказаться команда, о которой вы не просили. CEO AI пытается поймать такие места до того, как агент начнёт по ним работать.

Дальше разберём, что это за инструмент, как устроена проверка, каких проблем она не решает и как поставить CEO AI у себя.

Что такое CEO AI и зачем он нужен

CEO AI - открытый скилл, то есть набор текстовых инструкций и вспомогательных файлов, который подключается к средам разработки с ИИ-агентами: Codex, Claude Code и Cursor. Автор описал замысел так: он хотел помощника, с которым можно обсудить задачу и который иногда «ударит по рукам», если он соберётся сделать что-то сомнительное. Инструмент появился под впечатлением от проектов Grill Me и Superpowers.

Работает это как второй голос рядом с агентом. Основной агент предлагает решение, CEO AI задаёт неудобные вопросы и напоминает про альтернативы. Пока инструмент дорабатывается под задачи автора, но код и инструкция по установке уже лежат в открытом репозитории bearatol/ceo-ai и на сайте проекта, о чём сказано в публикации автора.

Как CEO AI помогает избежать лишней работы

Иллюстрация из описания проекта: прежде чем переписывать весь сервис, помощник помогает разобраться, что именно тормозит и нужно ли вообще всё переписывать. Разница в цене решения огромная. Переписывание - это недели или месяцы работы команды, а источником проблемы часто оказывается узкое место в одном месте: медленный запрос к базе, лишний сетевой вызов, отсутствие кэша.

CEO AI в этом сценарии работает как тормоз для поспешных решений. Он задаёт вопрос «а точно ли проблема здесь?» до того, как в проект уйдут ресурсы. Автор подчёркивает: ценность в предупреждении заранее, до того как работа уже сделана.

Проблема безопасности AI-агентов: почему чужие инструкции опасны

Скилл или описание агента - обычный текст. Модель читает его как часть своих правил и часто не различает, кто этот текст написал: автор инструмента, ваш коллега или случайный человек из репозитория. Отсюда класс атак, который называют промпт-инъекцией: вредоносная команда прячется в файле, который агент обязан прочитать.

Какие формулировки в чужом тексте стоит считать подозрительными: просьбы выполнить команду в терминале, отправить содержимое рабочих файлов на внешний адрес, обойти ранее заданные ограничения или действовать без уточнений у пользователя. Заметить такое глазами сложно. Инструкции бывают длинными, а вредная строка занимает в них одну строку из сотни.

Лаборатории работают над защитой на уровне моделей. Anthropic заявляет о нулевой успешности промпт-инъекций в Opus 5 в режиме Auto Mode: 129 тестовых сценариев и ни одной успешной атаки, подробности собраны в разборе защиты от промпт-инъекций. Инженеры по безопасности со своей стороны напоминают, что базовые меры дают эффект быстрее: логирование, минимальные права доступа, изоляция агента, мониторинг в реальном времени. Об этом материал о базовых правилах безопасности AI-агентов.

Автор CEO AI пришёл к этой теме из своей работы: он ставит чужие скиллы, генерирует свои, подключает агентов, а что написано внутри инструкций, проверяет не всегда. Такой порядок вещей он и решил изменить хотя бы на уровне своего инструмента.

Как работает проверка безопасности в CEO AI

Проверка встроена в индексацию. Индексация - момент, когда инструмент собирает список подключённых скиллов и описаний агентов и разбирает их содержимое. На этом шаге CEO AI ищет подозрительные инструкции и отдельно показывает, что осталось непроверенным. Разделение важно: пометка «не проверено» не означает «безопасно», она означает ровно обратное: что там внутри, остаётся неизвестным.

Второе свойство проверки: сами проверяемые инструкции не выполняются. Инструмент читает текст и оценивает его, а не запускает то, что в нём написано. Если в чужом скилле лежит команда на удаление файлов, попадание в проверку её не активирует. Это принципиальное различие между диагностикой и исполнением, и автор описывает его в посте о CEO AI вместе с остальными деталями.

Перед тем как добавить эту функцию, автор изучил несколько готовых сканеров и протестировал их. Задачи у похожих инструментов разные: Codex Security CLI от OpenAI ищет и исправляет уязвимости в коде (разбор инструмента), а Claude Security от Anthropic проверяет код на дыры силами нескольких агентов и готовит патчи (разбор плагина). CEO AI смотрит на другой слой: на инструкции, которые получает агент.

Базовый режим: локально и без затрат

Базовая проверка работает локально, без Docker и без вызовов платных API. Нужно только окружение, в котором вы и так работаете с агентом. Ключи от внешних сервисов не требуются, деньги за токены не списываются, а тексты скиллов остаются на вашей машине. Это заметный плюс, если внутри лежат внутренние инструкции компании.

Порог входа низкий: подключили, запустили индексацию, посмотрели результат. Отдельный бюджет на сторонние сервисы для такой проверки не нужен.

Дополнительный модуль с Docker: для углублённого сканирования

Для более глубокого сканирования есть отдельный модуль с Docker, и его установка необязательна. Docker - платформа для запуска программ в изолированных контейнерах: процесс живёт в отдельной среде и не видит остальную систему целиком.

Внутреннее устройство модуля автор не раскрывает. Из описания следует одно: Docker-часть добавляет сканирование и ставится по желанию, а базовый сценарий без неё полностью рабочий. Если возиться с контейнерами не хочется, вы теряете глубину проверки, но не саму проверку.

Ограничения проверки: что CEO AI не может

Автор честно обозначает границы: всех проблем такая проверка не найдёт, но с ней спокойнее, потому что часть их можно заметить заранее. Для инструмента, который анализирует текст, это ожидаемо. Вредоносная формулировка может быть замаскирована под обычную техническую деталь, разбита на несколько файлов или спрятана в описании агента, которое вы не подключили к индексации.

Второе ограничение связано с этапом разработки. CEO AI дорабатывается под задачи автора, поэтому набор проверок и логика работы могут меняться от версии к версии. Считать инструмент готовым корпоративным стандартом безопасности пока нельзя.

Отсюда практический вывод: проверка работает как дополнительный фильтр, а не как замена базовым правилам. Ограничение прав агента, изоляция среды и логирование остаются обязательными.

Как установить и попробовать CEO AI

Код и инструкция по установке лежат в открытом репозитории bearatol/ceo-ai и на сайте проекта. Порядок действий такой:

1. Откройте репозиторий и прочитайте инструкцию. Команды установки меняются, поэтому сверяйтесь с актуальным описанием, а не с пересказом.
2. Подключите скилл к своей среде: Codex, Claude Code или Cursor.
3. Запустите индексацию скиллов и описаний агентов и посмотрите, какие фрагменты помечены как подозрительные, а какие остались непроверенными.
4. Если нужна более глубокая проверка, добавьте модуль с Docker. Без него базовая часть продолжает работать.

Отдельный вопрос - доверие к тому, что вы ставите. Скачивая любой сторонний скилл, вы принимаете ровно тот риск, о котором пишет автор. Полезная привычка: перед подключением открыть файлы инструмента и просмотреть текст, даже если проверка уже включена.

Инструмент открытый и работает без платных API, поэтому попробовать его можно без бюджета.

Вопрос к сообществу: проверяете ли вы скиллы перед установкой?

Автор закончил публикацию вопросом к читателям: проверяете ли вы скиллы перед установкой или пока доверяете автору? Вопрос не риторический. Подключение по рекомендации из чата или ленты происходит быстрее, чем чтение файлов внутри скилла, и это он и предлагает обсудить.

Если у вас есть свой порядок проверки чужих инструкций, им стоит поделиться: в комментариях к материалу или в обсуждении репозитория. Есть вопрос или заметили неточность в описании инструмента? Напишите, разберёмся вместе.