АдминистрированиеХуки инференса

Хуки инференса

Отправляйте каждую контролируемую подсказку на сервер безопасности ИИ вашей организации для получения вердикта «разрешить» или «отклонить» до того, как начнётся инференс.

Inference hooks (хуки инференса) позволяют организации Claude Enterprise направлять каждую контролируемую подсказку через «AI security server» (сервер безопасности ИИ) — HTTPS-сервис, которым управляет организация или её поставщик средств безопасности, — до запуска инференса. Когда пользователь отправляет подсказку, Anthropic отправляет транскрипт разговора на ваш сервер безопасности ИИ и ожидает вердикта «разрешить» или «отклонить»; отклонённый запрос никогда не достигает модели. Команды безопасности и комплаенса используют Inference hooks для применения политик в отношении данных непосредственно в потоке обработки, а разработчики создают сервер безопасности ИИ, который оценивает каждый запрос.

Поскольку хук выполняется на серверах Anthropic — после того как запрос покидает клиент и до того как запускается модель, — он единообразно применяется к каждому контролируемому запросу во всех продуктах Claude в вашей организации, и на устройствах пользователей ничего не нужно устанавливать или развёртывать.

Существует два события хуков. prompt срабатывает один раз для каждого контролируемого запроса на инференс, до начала инференса. tool_call срабатывает, когда ответ Claude содержит вызовы инструментов, до выполнения любого из них, в организациях, где включена опция Validate tool calls (проверять вызовы инструментов).

Как работают хуки инференса

Пользователь отправляет подсказку на контролируемой поверхности.
Anthropic отправляет HTTPS-запрос POST на настроенную конечную точку сервера безопасности ИИ вашей организации. Тело запроса содержит транскрипт разговора, и каждый запрос подписывается в соответствии со спецификацией Standard Webhooks, как только ваша организация сгенерирует свой секрет подписи, чтобы ваш сервер мог убедиться, что запрос поступил от Anthropic.
Ваш сервер безопасности ИИ оценивает содержимое и отвечает вердиктом в пределах тайм-аута вердикта, настроенного вашей организацией (по умолчанию 5 секунд).
При allow инференс продолжается в обычном режиме. При deny запрос отклоняется, и пользователь видит сообщение о блокировке политикой, составленное из двух частей: причины для конкретного запроса, которую ваш сервер безопасности ИИ указал в поле deny_reason вердикта, за которой следует постоянное сообщение, настроенное вашими администраторами (например, к кому обратиться или где запросить исключение). Если ваши администраторы его не настроили, встроенное сообщение по умолчанию направляет пользователя обратиться к ним. Каждый отказ также записывается в Activity Feed (ленту активности) вашей организации.

На следующей диаграмме показан один пример (запрос в Cowork, в котором Claude также вызывает инструмент O365), иллюстрирующий, какие части потока перехватываются хуками. Точки перехвата — это шаги 1, 2 и 3 на диаграмме, где поступает подсказка, Claude вызывает инструмент и возвращается результат инструмента. В каждой из них ваш сервер безопасности ИИ возвращает вердикт, прежде чем поток продолжится. Шаг 2 перехватывается только при включённом параметре Validate tool calls, и один вердикт на нём охватывает все вызовы инструментов в ответе.

Вердикт — это небольшой объект JSON: {"action": "allow"} позволяет запросу продолжиться, а отказ содержит причину, отображаемую пользователю. Полную схему вердикта см. в разделе Возврат вердикта.

Ваш сервер безопасности ИИ видит то же, что видит пользователь: текст транскрипта, вызовы инструментов и их результаты, а также текст, извлечённый из вложений. Он никогда не получает необработанные байты файлов или изображений, системные подсказки или внутренний контекст Anthropic.

Система хуков инференса не хранит собственную копию содержимого подсказок или ответов. Она хранит только конфигурацию ваших хуков и метаданные об активности хуков, такие как вердикты, временные метки и идентификаторы запросов. Используемый вами продукт Claude хранит подсказки и ответы в соответствии со своими собственными правилами хранения данных, независимо от того, включены хуки или нет. Например, сообщение, заблокированное хуком в claude.ai, остаётся в разговоре.

Если ваш сервер безопасности ИИ недоступен, возвращает ошибку или не отвечает в пределах тайм-аута, результат определяется настройкой обработки сбоев вашей организации: заблокировать запрос или разрешить его выполнение без проверки. Продолжительные сбои, вызванные вашим сервером, приводят к срабатыванию «circuit breaker» (автоматического выключателя): Anthropic прекращает обращаться к серверу и применяет вашу настройку обработки сбоев к каждому запросу, а затем автоматически сбрасывает выключатель, как только обнаруживает, что ваш сервер снова возвращает вердикты; см. Размыкатель.

Контроль можно внедрять в удобном для вас темпе, так что никого не придётся блокировать в первый же день: теневой режим наблюдает за вердиктами на реальном трафике, ничего не блокируя, процент развёртывания проверяет выбранную долю запросов, а исключения полностью освобождают участников выбранных ролей. См. Настройка хуков инференса.

Полные схемы запросов и ответов, проверку подписи и эксплуатационные подробности см. в разделе Разработка интеграции с хуками инференса.

Продолжение разговора после отклонённого запроса

Каждый запрос включает весь разговор, поэтому отклонённое сообщение отправляется повторно с каждым последующим сообщением. Если ваш сервер безопасности ИИ оценивает весь транскрипт, он отклонит и эти запросы. Чтобы продолжить, пользователь удаляет отклонённое содержимое из того, что приложение отправит далее, включая любой файл, который Claude прочитал бы снова.

Порядок действий зависит от приложения:

claude.ai, включая Claude Desktop и мобильные приложения. Пользователь редактирует отклонённое сообщение или одно из предыдущих, а не отправляет исправленную копию как новое сообщение. В веб-версии и в Claude Desktop при редактировании вложения сообщения отправляются повторно, если пользователь их не удалит. Также можно начать новый чат.
Claude Code. Пользователь выполняет /rewind и выбирает подсказку, которая первой внесла это содержимое. При появлении запроса он выбирает Restore conversation, а затем редактирует или очищает подсказку, которая возвращается в поле ввода. /clear начинает всё заново. См. Checkpointing.
Cowork. Пользователь редактирует отклонённое сообщение, если оно является его последним сообщением. При редактировании прикреплённые файлы отправляются повторно, а Restart from here повторно отправляет всё сообщение без изменений. Если содержимое находится в файле или в более раннем сообщении, пользователь выбирает Новая задача.
Claude Tag. В Slack пользователь сначала редактирует отклонённое сообщение или удаляет его, если это ответ. Затем он отправляет отдельное сообщение @Claude !restart там, где отвечал Claude: в этой ветке или на верхнем уровне канала. Новый сеанс заново считывает сообщения, которые остаются в Slack, поэтому редактирование или удаление должно быть выполнено первым. См. команду !restart.

Сценарии использования

«Data loss prevention» (предотвращение утечки данных), или DLP. Пересылайте транскрипт вашему DLP-сканеру и отклоняйте подсказки, содержащие регулируемые или секретные материалы. Это наиболее распространённый вариант развёртывания.
Архивирование транскриптов в реальном времени. Архивируйте каждый транскрипт по мере поступления и всегда возвращайте allow — как push-альтернативу опросу Compliance API.
Телеметрия подсказок. Измеряйте, как ваша организация использует Claude, в момент использования.
Движки политик. Применяйте собственные правила до инференса: списки разрешённых моделей, ограничения на уровне проектов или контроль рабочего времени.

Текущие ограничения

Вложения представлены метаданными и извлечённым текстом. Необработанные байты файлов и изображений никогда не отправляются, поэтому содержимое, состоящее только из изображений (например, снимок экрана документа), не проверяется.
Вердикты — это «разрешить» или «отклонить». Переписывание или редактирование подсказки не поддерживается.
Организации Claude Platform (доступ к API через Platform) не входят в область применения.

Доступность

Хуки инференса доступны организациям Claude Enterprise. Для их настройки требуется разрешение organization:manage, которым обладают только роли «Владелец» и «Основной владелец».

Один хук контролирует разговоры во всех продуктах Claude в вашей организации Claude Enterprise, включая, помимо прочего, claude.ai, Cowork, Claude Code, Claude for Microsoft 365, Claude Tag и Claude in Chrome, независимо от того, выполняются ли они в веб-версии, в настольных или мобильных приложениях, в CLI или в Slack. Хуки инференса недоступны в Amazon Bedrock и Google Cloud.

Контролируемые запросы — это запросы инференса, лежащие в основе разговора или сеанса пользователя. Системные подсказки и определения инструментов никогда не включаются в отправляемые данные. В голосовом режиме подсказки и вызовы инструментов также отправляются на вашу конечную точку, хотя небольшая доля вызовов инструментов не отправляется, поэтому не полагайтесь на хуки инференса как на единственное средство контроля для голосового режима. Если ваша конечная точка запрещает запрос в голосовом режиме, голосовой вызов обычно завершается общим сообщением об ошибке, и ваша причина запрета не отображается.

При включённой опции Validate tool calls события tool_call могут не включать вызовы некоторых собственных инструментов claude.ai, например инструментов, которые выполняют следующее:

Выводят список, ищут или предлагают коннекторы, плагины или навыки
Предлагают начать исследование или включить веб-поиск
Ищут другие инструменты
Переключаются на более крупную модель
Завершают чат
Сообщают Claude местное время пользователя
Читают собственные прошлые чаты пользователя и сохранённую память

Эти вызовы и их результаты остаются в беседе, поэтому следующее событие prompt из этой беседы, если оно будет, включает их.

Некоторые функции, которые Anthropic выполняет для вашей организации, делают собственные вызовы модели. Ваша организация видит результаты этих вызовов, но не их транскрипты. Эти вызовы не являются контролируемыми запросами и не отправляются на вашу конечную точку. К ним относятся следующие:

Сканирования Claude Security (бета). Claude Security выполняет размещённые сканирования ваших подключённых репозиториев. Сеанс, который пользователь открывает для исправления найденной проблемы, и плагин Claude Security в Claude Code являются контролируемыми.
Code Review (исследовательская предварительная версия). Code Review выполняет проверки ваших pull request в GitHub. Проверка, которую пользователь запускает локально в Claude Code с помощью /code-review, является контролируемой.
Умные отчёты. Anthropic выполняет вызовы модели для построения умных отчётов вашей организации. То, что пользователь вводит или загружает при создании отчёта, является контролируемым.