Войти
Что именно изменил Vanguard On-Demand
С 24 июня 2026 года Riot Vanguard может запускать драйвер вместе с игрой и выгружать его после завершения сессии. Но шампанское из системы охлаждения вынимать рано: доступ к ядру никуда не делся. Изменилось не место службы караульного, а способ проверить, кто шатался по казарме до его прихода.
Представьте обычное утро владельца ПК. Windows проснулась. Мышь обнаружилась. Discord немедленно потребовал обновления. Защитник Windows бодро осмотрел собственные ботинки. А Riot Vanguard — впервые с 2020 года — может продолжить спать.
Новый режим называется Vanguard On-Demand. Он добровольный и доступен только на защищённых компьютерах с Windows 11 25H2, TPM 2.0, Secure Boot, VBS, HVCI и IOMMU. Если компьютер не проходит Vanguard Pre-Check, ничего драматического не происходит: античит продолжает жить по старому распорядку, являясь на работу раньше хозяина машины.
Как Vanguard работал раньше
Драйвер — системный компонент Vanguard с доступом к ядру Windows — загружался при включении компьютера и оставался в системе до его выключения. При этом загруженный драйвер и активная античит-сессия — не одно и то же.
Как объясняла Riot, до запуска игры драйвер не обращался к серверам и не выполнял полный набор защитных проверок. Он следил за целостностью окружения, а после запуска игры клиент активировал необходимые функции и создавал античит-сессию.
Что означает режим On-Demand
Теперь на подходящем ПК драйвер Vanguard загружается при запуске VALORANT, League of Legends или другой игры Riot и завершает работу вместе с ней. Чтобы включить этот режим, компьютер должен пройти добровольную проверку Vanguard Pre-Check. Требования и переключатель появляются в приложении Vanguard после обновления.
Если проверка не пройдена или игрок не хочет менять настройки компьютера, сохраняется прежняя схема с загрузкой драйвера при старте Windows. Именно так Riot описала запуск Vanguard On-Demand: меняется время работы драйвера, а не его полномочия во время игры.
Казалось бы, простейшая вещь: зачем охраннику сидеть в магазине ночью, если магазин закрыт? Потому что к утру кто-нибудь мог спрятать продавца в холодильнике, переодеться кассовым аппаратом и сказать пришедшему охраннику: «Здесь всё нормально, гражданин начальник». Шесть лет Vanguard решал проблему самым прямолинейным способом — ночевал в магазине. Теперь Windows выдала ему заверенную опись ночных посетителей.
Почему Vanguard раньше запускался вместе с Windows
Почему пользовательский античит не видит всё ядро
Обычное приложение работает в пользовательском режиме. Оно может проверять игровые файлы, память процесса, подключённые библиотеки и подозрительные манипуляции вокруг клиента. Но над ним находится ядро операционной системы — тот самый машинный Олимп, который управляет памятью, устройствами и правами.
Если чит тоже забрался в ядро, пользовательский античит оказывается в положении участкового, которому преступник лично печатает ориентировки. Запрос можно перехватить, результат подменить, вредоносный компонент спрятать. Поэтому античит на уровне ядра — не уникальная религия Riot: драйверные компоненты используют и другие защитные системы.
Проблема «кто загрузился первым»
Особенность Vanguard заключалась в раннем старте. Уязвимый, но корректно подписанный драйвер мог загрузиться до игры, открыть проход в ядро, а затем выгрузиться. Поздно явившийся античит увидел бы чистую прихожую, вытертый пол и записку «никого не было».
Эту задачу называют Who Loads First — «кто загрузился первым». Vanguard решал её, появляясь одним из первых и сверяя драйверы с локальным списком известных уязвимых компонентов. Если опасный драйвер успевал загрузиться, Vanguard прекращал работу и не подтверждал доверенное состояние системы.
Это было технически понятно и социально восхитительно примерно как предложение поселить пожарного у вас под кроватью: пожарный полезен, но спокойнее от его сопения почему-то не становится.
Как Windows позволяет проверить прошлое без постоянно работающего Vanguard
Что записывает Runtime Driver Attestation Report
Главный герой истории — не Vanguard, а Runtime Driver Attestation Report, появившийся в Windows 11 25H2. Это подписанный отчёт Secure Kernel о загруженных драйверах и состоянии механизмов целостности кода. Приложение получает его через системный API, а сервер может проверить подлинность.
В запрос добавляется одноразовое значение nonce — случайная последовательность, защищающая от повторного предъявления старого отчёта. Иначе злоумышленник мог бы достать из кармана прежнюю справку о безупречном поведении и показать её после свежего погрома. Состав отчёта и обязательные функции безопасности перечислены в документации Microsoft.
Почему накопительную запись нельзя незаметно переписать
По объяснению Riot, при загрузке драйвера сведения о нём добавляются в накопительную криптографическую цепочку, связанную с TPM. Новую запись внести можно, а незаметно удалить старую — нет: изменится итоговый хеш и нарушится проверяемая последовательность.
Это не видеокамера, рассматривающая семейные фотографии, а скорее книга посещений, где вместо почерка гостя остаётся криптографический отпечаток его подошвы.
При запуске игры Vanguard получает подписанный отчёт и спрашивает не «чист ли компьютер сейчас?», а «что происходило с момента загрузки?». Если сомнительный драйвер успел прийти, открыть потайную дверь и уйти, его визит всё равно останется в цепочке. Поэтому Vanguard больше не обязан лично сторожить прошлое.
Почему аттестация не заменяет сам античит
Отчёт подтверждает состояние системы до игры, но не защищает сам матч. После проверки драйвер Vanguard всё равно загружается в ядро: ему нужно ограждать игровой процесс от вмешательства и следить за угрозами с тем же уровнем привилегий.
Windows играет архивариуса; Riot по-прежнему присылает вооружённого ревизора. On-Demand означает «не постоянно», а не «не на уровне ядра».
Зачем нужны Windows 11 25H2, TPM, Secure Boot, VBS, HVCI и IOMMU
Runtime Driver Attestation Report формируется только при включённом HVCI, а действительный отчёт требует также TPM 2.0, Secure Boot, VBS и IOMMU. Тестовая подпись драйверов и режим отладки должны быть выключены. Каждая деталь здесь делает свою скучную, но необходимую работу.
Windows 11 25H2 и отчёт о драйверах
Более ранние версии Windows не поддерживают механизм Runtime Driver Attestation Report, на который опирается Vanguard On-Demand. Поэтому обновление до Windows 11 25H2 — базовое требование, а не просто попытка Riot подтолкнуть всех к свежей системе.
TPM 2.0 и Secure Boot
Secure Boot проверяет загрузочные компоненты и мешает подменить Windows ещё по дороге с диска в память. Это нормальный замок на двери, хотя производители материнских плат иногда прячут ключ в UEFI-меню, составленном отставным шумерским жрецом. UEFI — современная замена BIOS, хотя в быту эти названия часто используют как синонимы.
TPM 2.0 — аппаратный модуль для защищённой работы с криптографическими ключами и измерениями состояния системы. Вместе с Secure Boot он формирует корень доверия: сервер получает не простое заверение Windows, что всё хорошо, а криптографически проверяемое свидетельство.
VBS и HVCI
VBS с помощью аппаратной виртуализации создаёт изолированную область памяти для критических механизмов безопасности. Внутри этой среды HVCI проверяет целостность кода, которому разрешено исполняться в ядре.
Для конфигурации Vanguard Pre-Check включение этих функций также задействует блокировку известных уязвимых драйверов Microsoft. Здесь безопасность способна вступить в рукопашную с древним сканером, звуковой картой царя Гороха или фирменной утилитой для материнской платы, последний раз обновлявшейся при Брежневе.
IOMMU
IOMMU регулирует доступ устройств к оперативной памяти. Это защита от DMA-читов — отдельного оборудования, способного читать память в обход обычного процессорного контроля.
Вместо прямого доступа устройство вынуждено работать через таблицы разрешённых адресов. Это позволяет ограничить чтение игровой памяти. Не магия, но весьма качественный турникет: дорогое аппаратное устройство внезапно обнаруживает, что его билет ведёт только к чёрному экрану.
Похожие требования появляются не только у Riot. Microsoft называет TPM, Secure Boot, VBS и удалённую аттестацию общей основой доверенной игровой среды в Windows 11. С 19 февраля 2026 года Fortnite требует Secure Boot, TPM и IOMMU от участников всех турниров на ПК. Это не копия On-Demand, но признак общего движения к аппаратно подтверждаемой защите.
Что новый режим означает для владельца ПК
Если компьютер проходит Pre-Check
По данным Riot на момент запуска, около 35% игроков уже соответствовали всем требованиям. На таких компьютерах появляется возможность добровольно переключить Vanguard в режим On-Demand. После этого драйвер не загружается вместе с Windows и работает только во время запущенной игры Riot.
Если проверка не пройдена
Около 3% еженедельных игроков Riot использовали оборудование, на котором полного набора функций нет. Большинство остальных находились между этими группами: нужное железо у них есть, но Windows, прошивку или параметры UEFI ещё требуется обновить.
Переход остаётся необязательным. Если компьютер не проходит проверку, Vanguard продолжает работать по прежней схеме. Менять оборудование только ради On-Demand не требуется, пока Riot сохраняет объявленную политику.
Компромиссы VBS, HVCI и старых драйверов
«Теоретически можно включить» — прекрасная формулировка, ласково пахнущая субботой, безвозвратно проведённой в UEFI. Vanguard сам не может изменить большинство необходимых параметров. Старый драйвер периферии способен не пережить HVCI или блок-лист Microsoft.
VBS и HVCI также могут немного снижать частоту кадров, особенно на возрастных системах, а устаревшие драйверы иногда оказываются несовместимы с новым защитным стеком. Это возможная цена функций безопасности Windows, а не особый налог самого On-Demand. На эти практические ограничения также обращает внимание Tom’s Hardware.
Архитектурная диаграмма всегда выглядит спокойнее реального компьютера, где рядом живут RGB-утилита, старый ЦАП и драйвер геймпада, найденный на форуме в 2017 году. Перед изменением параметров UEFI стоит проверить документацию производителя платы или ноутбука.
Стал ли Vanguard менее привилегированным
Доступ к ядру сохранился
Нет. Во время игры Vanguard остаётся античитом уровня ядра с высокими системными полномочиями. Изменилось только окно его присутствия: на защищённом ПК драйвер можно не держать загруженным между игровыми сессиями.
Это важно и для безопасности самого компьютера. Чем меньше времени сложный привилегированный компонент находится в ядре, тем короче период, когда его потенциальная уязвимость или конфликт с другим драйвером может проявиться. Vanguard On-Demand действительно уменьшает этот недостаток прежней схемы, но не устраняет риски полностью.
Какие данные содержит отчёт Windows
Microsoft документирует сведения о загруженных драйверах, состоянии целостности кода, nonce и цифровой подписи отчёта. Riot отдельно утверждает, что используемые Vanguard данные о драйверах ограничиваются именами и хешами и не содержат персональной информации. Это заявление разработчика, а не заключение независимого аудита.
Какие опасения On-Demand действительно уменьшает
Постоянно загруженный драйвер больше не является обязательным для совместимых ПК. Это сокращает время его присутствия в системе и вероятность фоновых конфликтов.
Но главный договор остаётся прежним: во время игры пользователь доверяет Riot код с доступом к ядру. Тем, кто принципиально отвергает kernel-античиты, новый режим ничего не продал. Просто ключ от квартиры теперь выдают не на неделю, а на вечер. Это существенная разница — и всё ещё ключ.
А что с облачным геймингом
Vanguard On-Demand решает задачу локального ПК: проверяет историю загрузки Windows и защищает игру, запущенную на этой же машине. В облачном гейминге игра и её защитные компоненты работают на удалённом сервере, а устройство игрока получает видеопоток и отправляет команды управления.
Поэтому требования Pre-Check к домашнему компьютеру напрямую не описывают облачный сеанс. Однако доступность конкретной игры в облаке зависит от договорённостей издателя, архитектуры сервиса и совместимости античита с серверной виртуализацией. On-Demand сам по себе не подтверждает такую совместимость.
Может ли подход Riot стать стандартом для других античитов
Почему техническая основа масштабируется
Технически — вполне. Runtime Driver Attestation Report является механизмом Windows, а не закрытой функцией Vanguard. Microsoft прямо описывает его как инструмент для игр и других приложений, которым необходимо проверять целостность системы.
Издателям выгодно переложить проверку предыстории загрузки на Windows: античиту остаётся защищать матч, серверу — проверять аттестацию, читеру — искать новое дорогостоящее увлечение.
Что мешает массовому переходу
Практически всё упрётся в Windows 11 25H2, старые ПК, проблемные драйверы, включённые функции безопасности и серверную инфраструктуру для проверки отчётов. Разработчики с иной моделью угроз могут решить, что цена внедрения не оправдана.
Кроме того, аппаратная аттестация не отменяет гонку между защитой и разработчиками читов. Она закрывает часть загрузочных, уязвимых-драйверных и DMA-векторов, но не превращает компьютер в неприступную крепость. Поэтому говорить о новом отраслевом стандарте пока рано; перед нами убедительный прототип стандарта.
Итог для игроков
Vanguard On-Demand не вытащил античиты из ядра. Он сделал более важную и менее эффектную вещь: доказал, что постоянно загружаемый драйвер не является вечным законом природы. Караульный наконец может уходить домой, потому что Windows научилась вести проверяемый журнал происшествий.
Это хороший компромисс — не капитуляция Riot перед критиками и не окончательная победа над читами. Просто ПК стал чуть меньше похож на оккупированную территорию и чуть больше — на режимный объект с вахтёром, чёрным ящиком и крайне нервным турниром за стеной. В нынешней индустрии даже такое приходится считать счастливым финалом.