Prompt Security, kontrola nad AI w firmie

Prompt Security, kontrola nad AI w firmie

Prompt Security to platforma, która pokazuje, z jakich narzędzi AI korzystają pracownicy Twojej firmy, co do nich wklejają, i blokuje to, czego wyjść nie powinno. Osobno chroni aplikacje zbudowane wewnętrznie, filtrując prompty i odpowiedzi modeli.

To rozróżnienie jest kluczowe przy wyborze narzędzia. Większość produktów z tej kategorii zajmuje się wyłącznie drugą częścią, czyli ochroną Twojej aplikacji. Tutaj punktem wyjścia jest pierwsza: ludzie w firmie, którzy używają czatów i asystentów kodu niezależnie od tego, czy ktokolwiek to zatwierdził.

Zmiana właściciela i nazwy

Zanim zaczniesz szukać cennika, przyjmij do wiadomości, że produkt nie jest już samodzielny.

SentinelOne ogłosił przejęcie Prompt Security 5 sierpnia 2025, a transakcja zamknęła się miesiąc później, 5 września. Kwoty podawane publicznie różnią się między źródłami: przy ogłoszeniu mówiono o około dwustu pięćdziesięciu milionach dolarów, przy zamknięciu o około stu osiemdziesięciu milionach w gotówce i akcjach. Oficjalny komunikat o zamiarze przejęcia nie podawał żadnej z tych liczb, więc traktuj je jako doniesienia, a nie dane potwierdzone przez strony.

Firma powstała w 2023 roku, więc od założenia do przejęcia minęły dwa lata. Produkt jest wchłaniany do platformy bezpieczeństwa SentinelOne jako element strategii dotyczącej generatywnej AI i agentów.

Praktyczne skutki są dwa. Sprzedaż idzie kanałem korporacyjnym dostawcy bezpieczeństwa, z rozmową handlową zamiast samodzielnego wykupienia planu. Oraz: dla firm już używających platformy SentinelOne integracja jest argumentem, a dla wszystkich pozostałych oznacza rozmowę z dostawcą, którego dotąd nie mieli w stosie.

Dwa problemy w jednym produkcie

Warto je rozdzielić, bo mylenie ich prowadzi do kupienia czegoś, czego się nie potrzebuje.

Problem pierwszy nazywa się nieoficjalnym użyciem AI. Dział księgowości wkleja zestawienie do darmowego czatu, ktoś z prawnego wrzuca projekt umowy, programista wysyła fragment kodu wraz z kluczem dostępu. Nikt nie działa złośliwie, wszyscy chcą szybciej skończyć zadanie. Dział bezpieczeństwa dowiaduje się o tym przypadkiem albo wcale.

Problem drugi to podatność aplikacji, którą sami zbudowaliście. Model przyjmuje instrukcje od użytkownika i z treści pobranej z zewnątrz, więc odpowiednio spreparowane zdanie potrafi nadpisać prompt systemowy albo wyciągnąć dane innego klienta.

Te dwa problemy mają różnych właścicieli w organizacji. Pierwszy należy do bezpieczeństwa i zgodności, drugi do zespołu wytwórczego. Produkt, który obsługuje oba, bywa kupowany przez jedną stronę i wdrażany przez drugą, co jest źródłem sporej części nieporozumień przy wdrożeniach.

Widoczność, czyli od czego zaczyna każde wdrożenie

Pierwszy tydzień pracy z takim narzędziem prawie zawsze polega na tym samym: patrzeniu.

Wykrywanie nieoficjalnego użycia opiera się na wtyczce do przeglądarki rozprowadzanej przez system zarządzania urządzeniami oraz na obserwacji ruchu sieciowego. Efektem jest lista narzędzi faktycznie używanych w firmie i to zwykle jest moment zaskoczenia, bo liczba pozycji przekracza wyobrażenia zarządu o kilka rzędów wielkości.

Ta lista jest sama w sobie wartościowa, niezależnie od tego, czy potem cokolwiek zablokujesz. Pokazuje, gdzie ludzie widzą wąskie gardła w swojej pracy, i bywa lepszym materiałem do decyzji o zakupie licencji niż jakakolwiek ankieta.

Druga warstwa to treść. Analiza semantyczna rozpoznaje dane osobowe, dane medyczne, informacje finansowe i kod źródłowy, po czym może je usunąć albo zastąpić przed wysłaniem. Można dodać własne klasyfikacje, na przykład nazwy projektów objętych umową o poufności.

Warto tu być realistą co do skuteczności. Rozpoznawanie po znaczeniu łapie więcej niż wyrażenia regularne, natomiast żadne rozwiązanie nie łapie wszystkiego, a im ostrzejsze ustawienia, tym więcej fałszywych alarmów wpada w codzienną pracę.

Granice wtyczki do przeglądarki

To jest miejsce, w którym warto zadać dostawcy trudne pytania przed podpisaniem umowy.

Wtyczka widzi to, co dzieje się w przeglądarce na urządzeniu firmowym. Nie widzi aplikacji na telefonie prywatnym, klienta czatu zainstalowanego jako program, wywołania API z terminala ani asystenta wbudowanego w edytor kodu, o ile nie ma dla niego osobnej integracji.

Konsekwencja jest przewidywalna: skuteczne blokowanie w przeglądarce przenosi część ruchu tam, gdzie narzędzie nie sięga. Pracownik, który chce dokończyć zadanie, sięgnie po telefon. To nie jest wada tego konkretnego produktu, tylko cecha całej kategorii, natomiast łatwo o niej zapomnieć przy prezentacji handlowej.

Wniosek praktyczny jest taki, że samo blokowanie bez alternatywy działa słabo. Zestaw blokada plus zatwierdzone narzędzie, do którego wolno wklejać dane wewnętrzne, działa znacznie lepiej, bo daje ludziom drogę zamiast ściany.

Ochrona własnych aplikacji

Druga część produktu przypomina rozwiązania takie jak Lakera Guard: przepuszczasz przez API tekst wchodzący do modelu i wychodzący z niego, dostajesz ocenę i decydujesz, co dalej.

Zakres wykrywania obejmuje wstrzyknięcia bezpośrednie i pośrednie, ucieczki z ograniczeń oraz próby wydobycia promptu systemowego. Dostawca podaje czas odpowiedzi poniżej dwustu milisekund i obsługę ponad dwustu pięćdziesięciu modeli, przy czym obie liczby traktuj jako deklarację do sprawdzenia na własnym ruchu.

Osobnym elementem jest testowanie napastnicze, czyli generowanie prób ataku i sprawdzanie, które przechodzą. To bywa najbardziej przydatna funkcja z całego zestawu, bo daje liczbę zamiast poczucia bezpieczeństwa. Raport pokazujący, że siedem na sto prób przeszło, jest lepszym argumentem w rozmowie z zarządem niż jakakolwiek deklaracja dostawcy.

Wstrzyknięcie pośrednie zasługuje na osobną uwagę, bo przy agentach jest dziś główną drogą ataku. Instrukcja ukryta w pobranej stronie, w dokumencie albo w wyniku wywołania narzędzia trafia do kontekstu modelu tak samo jak tekst wpisany przez użytkownika, tyle że nikt jej świadomie nie wpisał.

Asystenci kodu, czyli najtrudniejszy przypadek

Osobno warto opisać sytuację, która w firmach technologicznych generuje najwięcej sporów, a w materiałach handlowych pojawia się rzadko.

Asystent wbudowany w edytor widzi otwarty projekt. Znaczy to, że przez model przechodzi kod, konfiguracja, czasem plik ze zmiennymi środowiskowymi, a przy podpowiadaniu w locie dzieje się to bez świadomej decyzji programisty o wysłaniu czegokolwiek. Nikt tu niczego nie wkleja, więc kontrola oparta na wykrywaniu wklejania nie zadziała.

Rozwiązania są trzy i każde ma inną cenę. Pierwsze to ustawienia po stronie samego narzędzia: wyłączenie uczenia na Twoim kodzie, lista plików pomijanych, tryb dla firm. To najtańsze i najczęściej pomijane, bo wymaga tylko przejścia przez ustawienia, na co nikt nie znajduje czasu.

Drugie to narzędzie działające lokalnie, gdzie kod nie opuszcza maszyny. Jakość podpowiedzi jest niższa niż przy dużych modelach, natomiast problem znika u źródła.

Trzecie to warstwa pośrednia przechwytująca ruch asystenta, i tutaj wchodzą platformy tego typu, o ile mają odpowiednią integrację. Warto o nią zapytać wprost i nazwać konkretne narzędzia, których używa Twój zespół, bo pokrycie bywa nierówne i zmienia się z wydania na wydanie.

Jest jeszcze pytanie, które trzeba zadać przed wyborem czegokolwiek: co właściwie chronisz. Kod aplikacji wewnętrznej rzadko jest sam w sobie tajemnicą wartą inwestycji. Klucze dostępu, dane produkcyjne w plikach testowych i algorytm stanowiący przewagę rynkową to zupełnie inna kategoria i to je warto obejmować regułami w pierwszej kolejności, zamiast blokować wszystko po równo.

Prompt Security kontra alternatywy

Ostatni wiersz warto rozważyć uczciwie, zanim cokolwiek kupisz. Przy zespole liczącym trzydzieści osób jasna zasada, zatwierdzone narzędzie i jedno szkolenie załatwiają większość ryzyka za ułamek kosztu. Platforma tej klasy zaczyna mieć sens, gdy skala uniemożliwia rozmowę z każdym, a wymogi zgodności każą pokazać dowód, nie deklarację.

Rozróżnienie między wierszem pierwszym a drugim i trzecim sprowadza się do jednego pytania: czy potrzebujesz części pracowniczej. Jeśli budujesz produkt i nie zarządzasz stanowiskami pracy, płacisz za połowę, której nie użyjesz.

Wdrożenie w kolejności, która działa

Kolejność ma tu większe znaczenie niż wybór dostawcy i warto ją zaplanować przed pierwszą instalacją.

Zacznij od obserwacji bez blokowania, przez dwa do czterech tygodni. Zbierzesz listę narzędzi i typów danych, a przy okazji poznasz skalę fałszywych alarmów, zanim uderzą w kogokolwiek.

Potem ustal, co jest dozwolone. To decyzja organizacyjna, nie techniczna, i wymaga rozmowy z działami, których dotyczy. Lista zatwierdzonych narzędzi powinna powstać razem z ludźmi, którzy z nich korzystają, inaczej powstanie lista, którą wszyscy będą obchodzić.

Dopiero trzecim krokiem jest blokowanie, i to najpierw dla kategorii o najniższym poziomie błędu, zwykle numerów kart i kluczy dostępu. Kategorie miękkie, jak kod źródłowy czy nazwy klientów, włączaj później, po sprawdzeniu, ile normalnej pracy zatrzymują.

Ostatni krok to komunikat. Blokada, która mówi wyłącznie „odmowa", generuje zgłoszenie do wsparcia. Blokada, która mówi, czego dotyczy i dokąd pójść zamiast tego, generuje poprawne zachowanie.

Cennik i model zakupu

Cennik nie jest publikowany, a po przejściu pod SentinelOne produkt sprzedaje się razem z resztą ich platformy, więc kwota zależy od liczby stanowisk, zakresu i tego, co już masz od tego dostawcy.

Do oceny jakości potrzebujesz okresu próbnego na własnym ruchu, i to jest jedyny miarodajny test. Zestawienia skuteczności robione na zbiorach publicznych mierzą coś innego niż Twoja firma, bo Twoi ludzie wklejają Twoje dane, w Twoim języku, w Twoich formatach.

Przy liczeniu kosztu całkowitego pamiętaj o dwóch pozycjach spoza faktury. Pierwsza to czas zespołu bezpieczeństwa na przeglądanie zdarzeń, bo narzędzie generuje ich sporo i bez kogoś, kto na nie patrzy, cała inwestycja zamienia się w archiwum. Druga to obsługa zgłoszeń od pracowników zablokowanych niesłusznie, która w pierwszych tygodniach potrafi być znacząca.

Typowe błędy

Pierwszy to włączenie blokowania od pierwszego dnia. Fałszywe alarmy uderzają wtedy w realną pracę, a narzędzie zyskuje opinię przeszkody, której potem nie da się odbudować.

Drugi to blokowanie bez alternatywy. Bez zatwierdzonego narzędzia ruch przenosi się na urządzenia prywatne, gdzie nie widzisz go wcale, więc statystyki poprawiają się, a ryzyko rośnie.

Trzeci to traktowanie wtyczki jako pełnego pokrycia. Poza przeglądarką na urządzeniu firmowym zostają telefony, programy instalowane lokalnie i wywołania API, a to bywa większa część ruchu, niż się zakłada.

Czwarty to pominięcie sprawdzania wyjścia z modelu we własnych aplikacjach. Wstrzyknięcie, które weszło przez pobrany dokument, ujawnia się w odpowiedzi i tam jeszcze da się je zatrzymać.

Piąty to poleganie na filtrze zamiast na ograniczeniu uprawnień. Agent mający dostęp do usuwania danych potrzebuje ograniczeń niezależnych od tego, co model przeczytał w prompcie, bo żaden filtr nie łapie wszystkiego.

Szósty to brak właściciela zdarzeń po stronie organizacji. Narzędzie, którego alertów nikt nie przegląda, spełnia wymóg formalny i nie zmniejsza ryzyka.

FAQ

Czy Prompt Security to nadal osobna firma?

Nie. Przejęcie przez SentinelOne zamknęło się we wrześniu 2025, a produkt trafił do ich platformy bezpieczeństwa. Sprzedaż idzie kanałem korporacyjnym tego dostawcy, więc licencję kupuje się razem z rozmową handlową, a nie samodzielnie.

Czym to się różni od Lakera Guard?

Zakresem. Lakera Guard chroni aplikację, którą zbudowałeś, filtrując prompty i odpowiedzi. Prompt Security robi to samo i dokłada warstwę pracowniczą: wykrywanie nieoficjalnie używanych narzędzi AI oraz kontrolę tego, co ludzie do nich wklejają.

Czy wtyczka do przeglądarki widzi wszystko?

Nie. Widzi przeglądarkę na urządzeniu firmowym. Telefon prywatny, program zainstalowany lokalnie, wywołanie API z terminala i część asystentów w edytorach kodu pozostają poza jej zasięgiem, o ile nie ma dla nich osobnej integracji.

Ile to kosztuje?

Cennik nie jest publiczny, a po przejęciu produkt wchodzi w ofertę platformy SentinelOne, więc kwota zależy od liczby stanowisk i zakresu. Do porównania z alternatywami potrzebujesz okresu próbnego na własnym ruchu.

Czy da się uruchomić to lokalnie?

Dostawca podaje wariant instalacji we własnej infrastrukturze obok wersji usługowej, więc przy wymogach zakazujących wysyłania treści na zewnątrz warto zapytać o niego wprost. Jeśli odpowiedź nie wystarczy, rozwiązania biblioteczne działające lokalnie pokrywają część zakresu bez tego problemu.

Szczegóły przejęcia opisuje komunikat SentinelOne, a kontekst rynkowy relacja branżowa.