Локальное развёртывание ИИ на архитектуре заказчикаЛюбая кастомизация и доработка бота

Главная / Блог / ИИ в закрытом контуре: air-gapped архитектура, MLOps и офлайн-доставка моделей

Внедрение ИИ

ИИ в закрытом контуре: air-gapped архитектура, MLOps и офлайн-доставка моделей

16 июл. 2026 г.

Что такое закрытый контур AI (air-gapped / on-prem): сегментация сети, MLOps без облака, шифрование, SBOM, data diode и дорожная карта внедрения локального ИИ в корпоративной инфраструктуре.

Безопасность
Статья

ИИ в закрытом контуре: air-gapped архитектура, сегментация сети, MLOps и офлайн-доставка моделей

Закрытый контур AI (air-gapped AI, on-prem ИИ) — архитектура, в которой все компоненты системы искусственного интеллекта развёрнуты внутри защищённого периметра предприятия, без автоматических каналов связи с внешними сетями. Модели, контейнеры, векторные базы, CI/CD и мониторинг работают только в локальной среде и обновляются офлайн — через физические носители или однонаправленные каналы (data diode).

Такой подход нужен там, где недопустима утечка данных: госсектор, банки, медицина, критическая инфраструктура. Ниже — практическая архитектура закрытого контура искусственного интеллекта: сети, железо, MLOps, контроли ИБ, паттерны развёртывания и дорожная карта внедрения.

Что такое закрытый контур AI (air-gapped)

Air-gapped в ИИ — это не «флажок в настройках», а целостная архитектура. По определению NIST воздушный разрыв означает физически отсутствующий канал связи: данные переносятся вручную. В корпоративном контуре это означает:

нет DNS, NAT и исходящих соединений в интернет;
веса моделей и контейнеры доставляются подписанными пакетами;
образы берутся только из внутреннего реестра (Harbor, Nexus, Artifactory);
реестр моделей, GPU-кластер, векторное хранилище и IdP (LDAP/AD) — полностью on-prem.

Отличие от «изолированного» деплоя с белым списком: в настоящем air-gapped нет ни одного автоматического исходящего соединения. Обновления — только «на физике» (USB, защищённый диск) с проверкой хэшей и цифровых подписей.

Архитектура on-prem AI: сетевые зоны и компоненты

Типовая архитектура локального ИИ строится на многоуровневой сегментации:

Периметр / DMZ — межсетевой экран и единственная точка доставки обновлений (физический ввод);
Управленческий сегмент — бастион, DevOps-станции, серверы администрирования;
Рабочая зона AI/ML — Kubernetes/OpenShift, GPU-кластер, реестр моделей, inference;
Сегмент хранилищ — SAN/NAS, S3-совместимый object storage (Ceph, MinIO);
Сервисы интеграции — LDAP/AD, CA/PKI, SIEM, NTP — без выхода в интернет.

Схема сетевой сегментации закрытого контура AI: DMZ, Kubernetes, GPU-кластер, реестр моделей, SIEM, LDAP и PKI без подключения к интернету

Рисунок 1. Примерная схема сетевой сегментации и компонентов в on-prem AI-контуре: внешняя сеть физически отсутствует, шлюз блокирует подключение, все сервисы развёрнуты внутри закрытого контура.

Безопасность здесь в первую очередь физическая и сетевая: ЦОД с контролем доступа, VLAN по зонам, Zero Trust между контейнерами (mTLS, NetworkPolicy), жёсткий контроль egress, SELinux/AppArmor и IDS на хостах. Ключевое правило: никакой трафик не выходит наружу без строгого надзора.

Шифрование, HSM и Confidential Computing

Все данные — веса моделей, корпуса для RAG, логи — шифруются при хранении (LUKS, dm-crypt) и при передаче (TLS 1.3, при необходимости IPSec). Ключи хранят в HSM/TPM; для AI-вычислений применяют Confidential Computing (TEE) на CPU/GPU (Intel SGX, AMD SEV, NVIDIA Confidential Computing). Каждый артефакт сопровождается SBOM (SPDX/CycloneDX) — для прослеживаемости цепочки поставок и оперативного закрытия CVE.

MLOps и CI/CD в air-gapped среде

Жизненный цикл модели в закрытом контуре повторяет классический MLOps, но с акцентом на подпись и офлайн-поставку:

исследование и обучение в выделенной dev-среде;
сборка контейнера и упаковка весов в зашифрованный пакет;
цифровая подпись (GPG/HSM) и перенос через физический носитель;
импорт в прод-контур с проверкой SHA-256 и записью в реестр моделей;
деплой на inference (vLLM, Triton, KServe), smoke-тест и непрерывный мониторинг drift.

CI/CD пайплайн для air-gapped AI: код, сборка, аудит и подпись артефактов, USB-носитель, staging, production и мониторинг

Рисунок 2. Пример CI/CD-пайплайна для air-gapped AI: код и тесты локально, артефакты подписываются и загружаются через физический носитель в изолированную среду, затем разворачиваются в производственной зоне под непрерывным наблюдением.

Типовой стек: Git + GitLab CI/Jenkins + Harbor + Argo CD (GitOps) + Kubeflow/Airflow + Prometheus/Grafana + ELK/Splunk on-prem. Никакие образы и веса не подтягиваются из публичных registry автоматически.

Контроли безопасности закрытого контура

Физическая безопасность

Оборудование — в аттестованном ЦОД: ИБП, пожаротушение, видеонаблюдение, карточный/биометрический доступ. USB и периферия блокируются политиками ОС, кроме станций «чистой комнаты» для верификации носителей.

Сетевая и хостовая безопасность

сегментация и Zero Trust (Istio/Linkerd, NetworkPolicy);
запуск только подписанных образов из белого списка;
SCA-сканирование (Trivy/Clair) и офлайн-патчинг ОС;
при необходимости — data diode только для обезличенной телеметрии.

Управление доступом и аудит

Интеграция с корпоративным IAM (AD/LDAP), RBAC в Kubernetes, короткоживущие сертификаты локальной CA, MFA для администраторов. Каждое действие логируется: импорт модели, prompt/tool-вызовы агентов, смена политик. Логи уходят в локальный SIEM с ретеншн по регуляторным требованиям (часто 7+ лет).

Управление данными и соответствие требованиям

Перед внедрением данные классифицируют по чувствительности (публичные → сверхсекретные) и регламентам (PII, GDPR, 152-ФЗ, HIPAA, PCI). Политики хранения и безопасного удаления, анонимизация перед обучением, маскирование в RAG-ответах. Для аудита готовят data lineage: откуда данные, какая модель обучена, кто подписал релиз. Целевые рамки: ISO/IEC 27001, NIST SP 800-53, отраслевые требования.

Паттерны развёртывания локального ИИ

Полный air-gap — нулевой сетевой коннект, максимальная безопасность;
Гибрид с data diode — односторонняя выдача KPI/метрик без выгрузки моделей;
Enclave / TEE — дополнительная защита данных «на лету» внутри аппаратного контура;
Bare-metal GPU + виртуализация вспомогательных сервисов — баланс производительности и управляемости;
Чувствительное on-prem + частное облако для несекретных workloads — без обратных каналов из защищённой зоны.

Интеграция с корпоративной инфраструктурой

Закрытый контур ИИ должен встраиваться как «ещё один корпоративный сервис»: единый IAM, PAM/Vault для привилегий, SIEM/EDR, внутренний PKI, DevSecOps (SAST/DAST) в пайплайне моделей. Без этой интеграции локальный ИИ быстро превращается в теневой IT.

Операции: патчи, модели, инциденты и стоимость

Патчи ОС и библиотек сначала гоняют на зеркальном стенде, затем доставляют носителем. Новые версии LLM/weights проходят security review и подпись. Playbook IR адаптируют под air-gap: физический доступ, ревизия реестра, заранее подготовленные аварийные патчи на USB.

CapEx выше облака (GPU, лицензии, охлаждение, штат), но при жёстких регуляциях или больших объёмах инференса (десятки–сотни миллионов токенов в месяц) on-prem AI часто выигрывает по контролю данных и предсказуемости бюджета.

Масштаб внедрения: ориентиры по железу

Масштаб	Пример архитектуры
Небольшой	1–2 master, 2–4 GPU-воркера, NAS 10–20 ТБ — пилотные RAG и тестстенд
Средний	3 master + 5–10 воркеров, SAN ~100 ТБ, выделенный CI и SIEM — несколько отделов
Крупный	5–7 master, 10+ GPU-узлов, 200–500 ТБ, отдельный кластер логирования, поддержка 24/7

Дорожная карта внедрения закрытого контура AI

Оценка и планирование — требования, сценарии, зоны сети, ИБ-регламент;
Пилот / PoC — изолированная среда, тест RAG/агентов, аудит безопасности;
Инфраструктура — закупка, Kubernetes, реестры, CI/CD, мониторинг;
Миграция — импорт моделей и данных, пайплайны Dev→Prod;
Промышленная эксплуатация — SLA/SLO, расширение сценариев, IR-учения.

Заключение

Закрытый контур AI даёт максимальный контроль над данными и соответствие жёстким стандартам безопасности ценой эластичности облака. При грамотном проектировании сети, аппаратной защите (HSM, TEE, TPM), подписанной цепочке поставок и зрелом MLOps организация получает полноценный локальный ИИ, встроенный в корпоративную инфраструктуру.

Команда Роботок проектирует и внедряет локальное развёртывание ИИ на архитектуре заказчика — от сегментации контура до MLOps и интеграций. Если нужна консультация по air-gapped / on-prem сценарию — оставьте заявку.

Короткий ответ: как устроена air-gapped архитектура ИИ

Air-gapped контур — это схема изоляции: LLM, реестр моделей и данные живут без автоматического выхода в интернет. Сегментация сети, data diode или физический носитель, свой MLOps, офлайн-доставка весов с проверкой подписи. Это технический разбор, а не смета «под ключ».

Поставить локальную нейросеть, LLM, Ollama или vLLM на сервер заказчика с учётом 152-ФЗ и ценой — на странице услуги on-premise. Выбор движка инференса — в статье Ollama vs vLLM. Готовность компании к старту — в чек-листе руководителя.

Сегментация сети, data diode и офлайн-доставка весов

Air-gapped имеет смысл, когда политика ИБ запрещает любой автоматический исходящий канал:

нет NAT «для обновлений» и белых списков к Hugging Face / Docker Hub;
нужен контроль цепочки поставки образов: SBOM, подпись, локальный Harbor;
веса и патчи заезжают через data diode или физический носитель с проверкой хэша;
inference, RAG и агенты работают только во внутренних сегментах.

Если достаточно LLM на своём сервере с ограниченным исходящим доступом — это уже коммерческая услуга on-premise, не эта статья. Здесь разбираем, как устроена изоляция, когда исходящего канала нет совсем.

NAT с белым списком vs air-gapped vs data diode

Схема исходящего трафика	Что даёт	Где ломается
On-prem с NAT и белым списком	Модель на своих GPU, обновления по расписанию	Остаётся канал наружу — для КИИ часто неприемлемо
Air-gapped без автоматических исходящих	Ноль скрытых pull, полный контроль периметра	Каждое обновление — поставка артефакта вручную
Data diode (однонаправленный канал)	Можно завозить пакеты внутрь, не открывая выход	Нужно проектировать диод, очереди и проверку подписи

MLOps без интернета: Harbor, SBOM и подпись моделей

В air-gapped контуре нет «docker pull» из интернета. Цепочка такая: сборка и тесты в отдельном контуре, SBOM, подпись GPG/HSM, перенос, проверка SHA-256, выкат из Harbor в inference. GPU-кластер, IdP, PKI и SIEM живут в своих сегментах.

Сколько стоит поставить LLM на ваши серверы и что входит в внедрение — на странице локального ИИ on-premise. Эта статья отвечает на «как устроена изоляция», услуга — на «что заказать и по какой смете».

Частые вопросы

Чем эта статья отличается от услуги «локальный ИИ»?

Здесь — как устроена изоляция: сегментация, data diode, MLOps, офлайн-доставка весов. Поставить LLM, Ollama или vLLM на сервер заказчика с учётом 152-ФЗ и сметой — на странице услуги on-premise. Страницы нарочно не делят ни H1, ни коммерческий кластер.

Что такое air-gapped архитектура ИИ?

Это схема, в которой LLM, реестр образов и данные живут без автоматических каналов в интернет. Модели и зависимости завозят офлайн — через физический носитель или однонаправленный канал (data diode), с проверкой подписи и хэша.

Чем air-gapped отличается от обычного on-prem с NAT?

В типовом on-prem часто остаётся дозированный исходящий доступ (NAT, белый список) для обновлений. В air-gapped нет ни одного автоматического исходящего соединения: патчи и веса завозятся только вручную.

Какие компоненты входят в air-gapped контур?

Сегментированная сеть (DMZ, управление, AI/ML, хранилища), Kubernetes/OpenShift, GPU-кластер, локальный реестр моделей (Harbor), CI/CD, IdP, PKI, SIEM и подписанный пайплайн доставки весов — всё без выхода в интернет.

Кому нужна изоляция без исходящего интернета?

Службам ИБ на объектах КИИ, в госсекторе, банках и медицине, где политика запрещает любой автоматический канал наружу — не там, где достаточно LLM на сервере с ограниченным NAT.

Как завезти веса модели в air-gapped контур?

Сборка и тесты в сборочном контуре, упаковка весов, подпись (GPG/HSM), перенос на носителе или через data diode, проверка SHA-256 в прод-сегменте и выкат в inference-кластер. Смета внедрения LLM на сервере — на странице услуги, не в этой статье.

Как обновляют модели без исходящего интернета?

Через тот же подписанный MLOps-пайплайн: ничего не «подтягивается» с Hugging Face и Docker Hub напрямую. Обновление — это новая поставка артефакта, а не pull из интернета.

С чего начать проектирование air-gapped контура?

С карты сегментов, политики исходящего трафика и цепочки поставки образов (SBOM, подпись, Harbor). Выбор движка инференса — в статье Ollama vs vLLM; коммерческое развёртывание — в услуге on-premise.