Как настроить Guardrails в OpenAI Agents SDK и останавливать опасные запросы

Agents SDK разделяет input guardrails для начального пользовательского ввода, output guardrails для финального ответа и tool guardrails вокруг вызовов функций. Guardrail возвращает результат с tripwire; срабатывание прерывает соответствующий workflow и должно обрабатываться приложением.

Документация подтверждает механизм, но не создаёт архитектуру безопасности. Авторизацию, allowlist, хранение секретов, приёмочные критерии и откат реализует приложение. Текстовый запрет в промпте полезен как контракт, однако критичное ограничение проверяется обычным кодом непосредственно перед действием.

Что подготовить

Создайте отдельный тестовый проект и ключ с минимальными правами. Секрет держите только в переменной окружения или менеджере секретов. Не помещайте его в браузерный bundle, промпт, Git, URL, скриншот и диагностический вывод.

До вызова заведите таблицу: case_id, input, expected_action, expected_output, actual_action, actual_output, source, status, error_type. Ожидаемый результат записывается заранее. Возьмите минимум десять обезличенных примеров: обычный, пустой, неполный, противоречивый, вредоносный, тайм-аут и повтор.

Для чисел храните единицы, исходное значение и правило округления. Для файлов — имя, MIME, размер, хеш и число страниц или кадров. Для внешнего действия — идентификатор, состояние до и после. Это конкретные единицы контроля, по которым можно доказать результат.

Пошаговая настройка

1. Опишите отдельные угрозы и место контроля: секрет во входе, персональные данные в ответе, сумма возврата в tool call. Не пытайтесь решить всё одним расплывчатым классификатором.
2. Реализуйте input guardrail и возвращайте tripwire_triggered для тестового номера карты. В обработчике покажите безопасное сообщение без эха значения.
3. Добавьте output guardrail, проверяющий обязательные поля и отсутствие секретов перед отправкой пользователю.
4. Оберните refund tool guardrail кодовой проверкой суммы, роли и ticket_id. Решение с высокой ценой ошибки не должно зависеть только от второго LLM.
5. Создайте тесты на разрешённый вход, точное срабатывание, ложное срабатывание и попытку prompt injection. Проверьте, что инструмент реально не вызван.

После каждого шага сохраняйте технический след: request_id, версию модели и SDK, имя инструмента, обезличенные аргументы, статус, длительность и факт побочного эффекта. Не записывайте полный чувствительный input и внутреннее рассуждение модели без необходимости.

Копируемый шаблон

Обрабатывай обращения поддержки. Не повторяй платёжные реквизиты. Возврат разрешён только через refund и только после серверной проверки ticket_id, роли и лимита. Если guardrail сработал, не обходи его другим инструментом.

Общие правила:
1. Используй только переданные источники и разрешённые инструменты.
2. Не угадывай отсутствующие значения.
3. Перед действием проверь путь, тип, идентификатор и права.
4. При конфликте верни status=needs_review и перечисли конфликтующие данные.
5. Не отправляй, не удаляй, не оплачивай и не раскрывай секрет без отдельного подтверждения.
6. Свяжи каждый изменяемый факт с источником, страницей, сегментом или tool result.

Шаблон следует дополнить схемой именно вашего объекта. Фразы «будь внимателен» недостаточно. Код должен отклонять неизвестные поля, запрещённые пути, недопустимые домены, неправильные координаты и действие без права.

Реалистичный пример входа и результата

Запрос содержит тестовый номер карты и просьбу вернуть 90 000 рублей без ticket_id. Ожидается input tripwire либо отказ до refund; журнал внешней системы показывает ноль возвратов, а ответ не содержит исходный номер.

Это заранее определённый expected, а не выдуманная статистика. Реальный output сохраните рядом и отметьте расхождения. Если финальный текст правильный, но агент выполнил лишний вызов, открыл чужой домен или изменил файл, тест провален.

Проверка по уровням

Первый уровень — транспорт: ответ получен, идентификатор сохранён, payload читается. HTTP 200 не доказывает смысл. Тайм-аут не равен гарантированному отказу: перед повтором проверьте состояние операции.

Второй — структура: обязательные поля есть, типы совпадают, JSON разбирается, Base64 декодируется, файл открывается, координаты находятся внутри изображения. Неизвестное поле либо отклоняется, либо сохраняется отдельно.

Третий — смысл: каждый факт подтверждается входом, страницей, временным сегментом или tool result. Числа пересчитываются кодом, идентификаторы сравниваются посимвольно. Отсутствующее значение остаётся null, а не превращается в правдоподобную догадку.

Четвёртый — действие: проверьте внешний журнал, файловый diff, вкладки браузера или созданные записи. Для read-only сценария любое изменение означает провал независимо от красивого объяснения.