Охрана для бизнеса: как гонка за инновациями ставит под угрозу безопасность

По словам экспертов Wiz, стремление компаний к лидерству в сфере искусственного интеллекта приводит к игнорированию элементарных правил кибербезопасности. Анализ 50 крупнейших ИИ-компаний показал, что 65% из них допустили утечку секретных данных — от API-ключей до токенов доступа — в открытых репозиториях GitHub.

Многие из этих данных были спрятаны в коде, который стандартные системы защиты просто не проверяют.

Глин Морган, региональный менеджер Salt Security, назвал ситуацию «предотвратимой и вопиющей». По его словам, компании фактически оставляют злоумышленникам «золотой билет» к своим данным, моделям и инфраструктуре, нарушая базовые принципы управления и конфигурации безопасности.

Общая стоимость компаний, допустивших подобные утечки, превышает 400 миллиардов долларов — то есть речь идёт не просто о мелких ошибках, а о рисках планетарного масштаба.

В отчёте Wiz, основанном на данных компаний из списка Forbes AI 50, приводятся конкретные случаи:

• LangChain случайно раскрыл API-ключи Langsmith с правами управления организацией;
• В открытом файле ElevenLabs найден корпоративный ключ;
• Одна из компаний из AI 50 оставила токен HuggingFace, открывавший доступ к тысяче приватных моделей, а также ключи WeightsAndBiases с данными обучения.

Исследователи подчёркивают: стандартные методы сканирования безопасности больше не справляются с подобными угрозами.

Эксперты Wiz называют проблему «айсбергом»: видимая часть утечек — лишь малая доля угроз. Чтобы выявить скрытые риски, они применили собственную методологию анализа — «Глубина, периметр и охват».

• Глубина — изучение всей истории коммитов, включая форки и логи.
• Периметр — анализ участников проектов и их публичных репозиториев, где часто оказываются корпоративные данные.
• Охват — поиск новых типов секретов, связанных с ИИ, которые игнорируются стандартными сканерами.

Выяснилось, что многие компании не имеют официальных каналов для уведомления об утечках и не реагируют на предупреждения исследователей.

Wiz выделяет три первоочередные меры, необходимые для управления внутренними и внешними рисками:

1. Рассматривать сотрудников как часть поверхности атаки. Создать политику безопасности для пользователей систем контроля версий, требующую двухфакторной аутентификации и разделения личных и рабочих учётных записей.
2. Расширить сканирование секретов. Сделать обязательным поиск не только в репозиториях, но и в публичных VCS, используя подход Wiz «глубина, периметр, охват».
3. Контролировать цепочку поставок ИИ. Проверять безопасность партнёров и поставщиков, поскольку их ошибки могут привести к утечкам ваших данных.

Главное послание Wiz звучит как предупреждение: в погоне за инновациями компании рискуют утратить контроль над безопасностью. Разработка ИИ идёт стремительными темпами, но если безопасность не поспевает за прогрессом — последствия могут быть катастрофическими.

Быть защищённее в ИИ-шном мире внутри России проще, чем кажется. Особенно с нашим сервисом, ведь он автоматизирует задачи по кибербезопасности, подсказывает, как реагировать на инциденты, и всегда держит под рукой нужные инструкции. Люди могут быстро найти ответы на вопросы по безопасности, а важная информация доступна только тем, кому надо. Сервис легко подстраивается под новые угрозы и интегрируется с уже работающими системами, так что команда всегда действует быстро и слаженно.

Источник: AINews