Промт-инъекции, взломы аккаунтов и ИИ-инструменты с правами: как бизнесу не сломать себе инфраструктуру

Рынок защиты ИИ будет расти не потому, что появилось «ещё одно модное направление кибербеза», а потому что ИИ слишком быстро стал интерфейсом к данным и действиям.

Как компаниям не сломать собственную инфраструктуру, рассказывает Александр Быстров, руководитель по внедрению ИИ «Слетать.ру».

Компании массово подключают нейросети к коммуникациям, аналитике, контенту, внутренним базам знаний — и часто делают это быстрее, чем успевают выстроить контроль качества и регламенты безопасного применения. Генерируется много контента, используется сразу несколько ИИ-инструментов, а проверка результатов отстаёт. Чем сильнее масштабируется применение, тем дороже обходится любая ошибка — от утечки данных до сбоя процессов и прямых финансовых потерь.

Сегодня атакуют не «модель» в вакууме. Атакуют то, что вокруг неё: аккаунты, контекст и инструменты. Именно поэтому защита ИИ отличается от традиционной кибербезопасности: раньше ключевыми зонами были сеть, устройства и периметр инфраструктуры. Теперь добавился ещё один слой — слой действий, которые ИИ может инициировать, и данных, которые он видит и перерабатывает.

Аккаунты в ИИ-сервисах стали новой «лёгкой точкой входа»

Мошенников привлекают аккаунты в ИИ-сервисах, потому что это нередко быстрый доступ в более широкий цифровой контур человека или компании. Для регистрации часто используются иностранные номера, домены, VPN, зарубежные карты — такие учётки обычно менее прозрачны с точки зрения контроля и восстановления доступа. После взлома злоумышленники получают не только переписку, но и чувствительные данные: персональную информацию, рабочие документы, планы поездок, API-ключи, IP-адреса серверов, логины и другие данные доступа, которые люди по ошибке вставляют в диалоги с ИИ. Это уже не просто «утечка чата», это риск проникновения в ИТ-инфраструктуру и дальнейшей компрометации сервисов.

Отсюда первый практический вывод: защита ИИ начинается не с «защитим модель», а с базовой цифровой гигиены и политики доступа. Двухфакторная аутентификация, работа только со своими почтами и номерами, регулярная проверка активных сессий, запрет на передачу в ИИ паролей, ключей и любых конфиденциальных данных — это скучно, но именно на этом чаще всего и ломаются реальные компании.

Второй слой — контекст и контент как часть периметра

В традиционном ИТ периметр — это инфраструктура и данные «внутри». В мире GenAI периметр расширяется: модель может работать с файлами, подтягивать фрагменты из базы знаний, получать подсказки из внутренних систем, видеть переписку или «память» процесса. И если раньше атака была попыткой проникнуть в систему напрямую, то теперь появляются сценарии, где злоумышленник действует через контекст: подсовывает вредоносную инструкцию в документ, провоцирует модель раскрыть лишнее или принять неправильное решение. Это тот самый класс угроз, который принято называть prompt injection, включая «косвенные» инъекции через документы и источники данных. Не нужно углубляться в технику: смысл простой — модель можно вынудить действовать не так, как задумано, если ей подсунуть правильный набор входов.

Третий, самый важный слой — инструменты и права

Пока нейросеть просто пишет текст, риски чаще всего репутационные: неверный совет, «галлюцинация», конфликтный тон, утечка через ответ. Но как только ИИ получает доступ к инструментам — корпоративным API, таск-трекеру, базе заявок, CRM, коммуникациям — начинается другая лига. Здесь риск не в том, что ИИ «ошибся в тексте», а в том, что он способен инициировать действия внутри систем: создать или изменить сущность, отправить сообщение, добавить комментарий, подтянуть данные из чувствительных источников. Для бизнеса это может означать утечки, ложные операции, сбои процесса или компрометацию цепочки «ИИ → действие → последствия».

Именно поэтому в защите ИИ важна новая дисциплина: управление правами и уровнями действий. Логика может быть предельно понятной даже не-технарям: у инструмента должно быть ясно, что он делает и насколько опасен. Внутри архитектуры это часто формализуют как разделение на уровни:

• read — только чтение данных,

• propose — подготовка черновика или предложения без выполнения,

• execute — реальное действие/запись в систему (и такие инструменты должны проходить отдельное согласование).

Такой подход решает сразу несколько проблем. Во-первых, он снижает «радиус поражения»: даже если модель спровоцировали, она не сможет сделать критическое действие без подтверждения. Во-вторых, он повышает управляемость: становится ясно, какие сценарии автоматизируются полностью, а где ИИ остаётся помощником и предлагает вариант решения. В-третьих, он помогает бизнесу не «перекрывать кислород»: вместо запрета ИИ как класса технологий появляется контролируемый режим использования.

Второй фундамент защиты в этом слое — наблюдаемость. Если вы не видите, кто и как вызывает инструменты, какие данные затрагиваются и где растут затраты — вы не управляете риском. В современных подходах наблюдаемость становится обязательным уровнем: логирование вызовов инструментов (кто, когда, какой инструмент, какие параметры), метрики использования по пользователям и подразделениям, контроль затрат, а также возможность анализировать логи и выявлять аномалии.

Это важно не только для безопасности, но и для управленческой экономики внедрения: многие инциденты начинаются как «мелкая странность» в поведении — необычно много запросов, странные типы действий, резкий рост обращений к чувствительным источникам.

Если говорить о том, где рост рынка защиты ИИ будет наиболее заметен, то это те же области, где цена ошибки максимальна. Финансы — потому что это прямое влияние на деньги людей и высокий масштаб мошенничества. Государственные сервисы — потому что важна устойчивость социальных процессов и доверие к сервисам: массовая ошибка, дезинформация или компрометация могут приводить к системным последствиям. В других сферах фокус будет смещаться к защите персональных данных и противодействию дезинформации: ИИ сделал создание убедительных подделок и «правдоподобного шума» дешёвым и быстрым, а значит, бизнесу придётся строить процессы проверки и ответственности за результат.

Отдельно стоит проговорить про роль государства. Интерес к теме будет усиливаться: выгоды от внедрения ИИ очевидны, но история с другими технологическими волнами показывает, что контроль всегда сложнее, чем кажется на старте. В ИИ этих сложностей больше — из-за скорости изменений, многообразия моделей и того, что «ошибка» может выглядеть правдоподобно.

Поэтому логично ожидать шагов по регулированию использования, появлению требований к безопасному применению, и, возможно, реестров или подходов к классификации безопасных решений в критических сферах. Одновременно потребуется рост общей осведомлённости: обучение сотрудников и населения работе с ИИ, формирование экспертизы внутри компаний, появление ролей и функций, которые отвечают не за «промты», а за качество, безопасность и контроль применения технологии.

В итоге защита ИИ — это не про один продукт и не про «поставили коробку и забыли». Это про дисциплину: как вы управляете аккаунтами и доступами, как вы контролируете контекст и данные, и как вы ограничиваете инструменты, которые ИИ может вызывать. В 2026 году главный вопрос уже не в том, используете ли вы ИИ, а понимаете ли вы, что именно он может сломать — и как вы это контролируете.