ИИ-угрозы

В 2025 году объём корпоративных данных, которые сотрудники отправляют в публичные нейросети, вырос в 30 раз — такие данные приводят аналитики ГК «Солар» по результатам анализа трафика 150 российских организаций. У 60% этих компаний нет формализованной политики работы с ИИ-сервисами, поэтому поток остаётся практически неконтролируемым. Сотрудники копируют документы, код и рабочую переписку в чат нейросети, чтобы сэкономить время, и почти никто не задумывается, куда уходят эти данные.

Для ИБ-отдела это слепая зона: CASB, DLP и сетевые фильтры видят устройства и каналы связи, но не содержимое, которое сотрудник вводит в окно чата. С автономными ИИ-агентами, которые сами подключаются к почте, CRM и репозиториям, эта слепая зона становится ещё шире.

В статье разберём, как теневой ИИ устроен, какие громкие инциденты он уже вызвал (от Samsung и Amazon в 2023 году до утечек через ИИ-агентов в 2026-м) и какие меры реально помогают взять его под контроль.

Главное о теневом ИИ за 30 секунд

1. Большинство сотрудников уже используют ИИ в работе. Официально это разрешено далеко не во всех компаниях, поэтому значительная часть остаётся вне поля зрения ИБ.
2. Классические CASB, DLP и сетевые фильтры теневой ИИ не видят. Утечка идёт через содержимое промпта, а не через неучтённое устройство или заблокированный канал.
3. Агентный теневой ИИ опаснее чата. Автономный ИИ-агент с доступом к почте, CRM или репозиторию открывает всю связанную систему, а не отдельный промпт с чувствительными данными.
4. Опасным ИИ-агента делают три условия одновременно: доступ к закрытым данным, работа с непроверенным внешним контентом и возможность отправить результат наружу. Уберите любое из трёх, и риск заметно снижается.
5. Хроника инцидентов 2023–2026 годов показывает рост масштаба. Путь идёт от одного сотрудника и одного чата до массовой утечки через ИИ-агентов и первого официального раскрытия такого инцидента перед регулятором рынка ценных бумаг.
6. Самый опасный канал утечки — пароли, API-ключи и токены. Они открывают доступ к самой системе, а значит, утечка секрета превращается в потенциальное проникновение в инфраструктуру.
7. Штраф за утечку персональных данных в России доходит до 500 млн ₽ при повторном нарушении. Оборот уже украденных данных подпадает под уголовную статью.
8. Полный запрет не работает: сотрудники переходят на личные устройства. Работает связка из трёх мер: политика, технический контроль канала и легальная альтернатива, которая не уступает по скорости.

Что такое теневой ИИ и чем он отличается от теневых ИТ

Теневой ИИ (Shadow AI) — так называют ситуацию, когда сотрудники применяют генеративный ИИ и большие языковые модели (large language model, LLM) для рабочих задач без одобрения ИТ- или ИБ-отдела: через личные аккаунты в публичных сервисах, в обход корпоративных политик.

По данным опроса «Пачки», ИИ используют 88% сотрудников российских компаний, и только 24% ответили, что ИИ внедрён в компании официально — разрыв в 64 пункта показывает, что бизнес в среднем не видит и не контролирует основную часть этой активности.

Термин часто путают с теневыми ИТ (shadow IT), но разница принципиальная, и от неё зависит, кто и как отвечает за риск. Теневые ИТ — это неучтённое оборудование и софт: личный ноутбук в рабочей сети, самовольно поставленное приложение, забытый облачный диск с рабочими файлами. Риск здесь в самом факте существования канала, который никто не видит и не проверяет.

Теневой ИИ устроен иначе. Утечка происходит не через инфраструктуру, а через содержимое, которое сотрудник вводит добровольно и осознанно — просто не задумываясь, куда оно уходит дальше. Это меняет и то, кто замечает проблему первым: утечку через теневые ИТ обычно находит служба ИТ-поддержки (неучтённое устройство в сети, странный трафик, незнакомое приложение в реестре). Утечку данных через теневой ИИ чаще всего не находит никто, пока не случится инцидент.

Есть и третий вариант, который в таблицу не попал: теневой агентный ИИ (Agentic Shadow AI). Это автономные ИИ-агенты, которых сотрудники подключают к рабочим системам без ведома ИТ и ИБ. Агент не только получает текст от человека, но и сам обращается к почте, репозиториям, облачным хранилищам и внешним API по выданным ему токенам и ключам. Утечка в этом случае идёт уже не через промпт, а через действия агента. Поэтому его риски мы разберём отдельно, ниже в статье.

Из различий между теневыми ИИ и ИТ следует и разный технический ответ. Теневые ИТ закрывают многоуровневым стеком контроля:

• CASB (брокер безопасности облачного доступа) выявляет несогласованные SaaS-сервисы и ограничивает передачу данных в них.
• NGFW (межсетевой экран) и SWG (защищённый веб-шлюз) фильтруют трафик на уровне сети.
• MDM, EMM и UEM (системы управления мобильными устройствами) задают конфигурацию устройств и блокируют установку стороннего софта.
• NAC (контроль доступа к сети) не пускает в сеть неучтённое оборудование.

Это преимущественно задача ИТ-отдела: контроль устройств, трафика и приложений.

Теневой ИИ этот стек не останавливает. CASB и SWG видят факт обращения к публичному ИИ-сервису, но действуют на уровне приложения и URL, а не содержимого запроса. Если сайт разрешён, а крупные публичные нейросети редко блокируют целиком, чтобы не мешать работе, трафик проходит как обычный веб-сёрфинг, а сам промпт остаётся вне поля зрения этих систем.

Громкие инциденты теневого ИИ: от одного сотрудника до сотен организаций

Теневой ИИ прошёл путь от разовых загрузок кода в чат-бот до утечек, о которых компании вынуждены сообщать регуляторам.

2023: начало. Компании впервые сталкиваются с ChatGPT

В 2023 году корпорации увидели, что сотрудники уже работают с публичными нейросетями, а контроля над этим нет.

• Samsung. Инженеры загрузили в ChatGPT исходный код. После этого компания запретила генеративный ИИ на рабочих устройствах (Anti-Malware.ru).
• Amazon. Юристы предупредили сотрудников в корпоративном чате не делиться конфиденциальной информацией с ChatGPT. Ответы бота «близко совпадали» с внутренними материалами компании (Habr).
• Apple. Компания ограничила использование ChatGPT и ИИ-ассистента для кода из-за риска утечки данных (Fortune).
• JPMorgan. Ограничили доступ сотрудников к ChatGPT как часть стандартного контроля стороннего ПО (CNN).
• Verizon. Закрыла доступ к ChatGPT с корпоративных систем, сославшись на риск потери контроля над данными клиентов (Verizon Newsroom).

Реакция: запрет. Уже тогда он казался временной мерой.

Июнь–август 2025: чужие диалоги с ИИ оказались в открытом доступе

Утечки перестают зависеть от одного сотрудника. В июне 2025 года лента Discover в приложении Meta AI (Meta признана экстремистской, деятельность запрещена в РФ) показывала личные запросы пользователей: медицинские вопросы, юридические письма, домашние адреса. Многие не знали, что их переписка стала публичной (eWeek).

В июле–августе та же история повторилась с функцией «поделиться» в ChatGPT и Grok. Google проиндексировал общие ссылки на диалоги, и часть переписки стала доступна через обычный поиск. OpenAI отключила функцию в течение суток после огласки. Это были легальные функции ИИ-инструментов, не взлом: утечка данных возникла из-за механики работы сервисов и того, что пользователи не понимали их настроек (eWeek, Fortune).

Январь 2026: служебные документы загружены в публичный ChatGPT руководителем ведомства

И.о. директора американского Агентства по кибербезопасности и безопасности инфраструктуры (CISA) загрузил в публичную версию ChatGPT документы с пометкой «для служебного пользования». Даже в ведомстве, которое отвечает за кибербезопасность страны, правило «не нести рабочие данные в публичные ИИ» не удержалось на уровне руководства (3DNews, Anti-Malware.ru).

Май 2026: утечка через теневой ИИ стала поводом для раскрытия перед регулятором

Сотрудник американского банка CB Financial Services загрузил в неодобренное ИИ-приложение имена, номера социального страхования и даты рождения клиентов. Он делал это с личного устройства и личного аккаунта, пока готовил макет презентации. При этом у банка уже был одобренный ИИ-инструмент.

Банк узнал об инциденте 5 мая, признал его существенным 7 мая и 11 мая подал форму 8-K (отчёт о существенном событии, который публичные компании в США обязаны подавать в Комиссию по ценным бумагам и биржам, SEC, в течение четырёх рабочих дней) по пункту 1.05 — он как раз отведён под инциденты кибербезопасности. Это первый такой отчёт, где существенный инцидент прямо отнесён на теневой ИИ.

Утечка запустила три обязательства сразу: раскрытие информации регулятору рынка ценных бумаг, уведомление банковского надзорного органа в течение 36 часов и уведомление клиентов по американскому закону о защите финансовой тайны. Действовавшие в банке DLP-политики не сработали: загрузка шла через авторизованный браузерный канал (American Banker).

Июль 2026: Россия. Суд признал законным увольнение за выгрузку отчётов в DeepSeek

Директор по продажам инженерной компании «Энергопроф» загрузила в DeepSeek внутренние отчёты с данными о зарплатах и бюджетных планах. Бабушкинский районный суд Москвы признал её увольнение законным, квалифицировав это как разглашение коммерческой тайны. Загрузка в нейросеть была одним из оснований увольнения, но не единственным (Право.ру, Коммерсантъ).

Сентябрь 2026: ИИ-агенты сами выложили 13 000 внутренних скриншотов в открытый GitHub

Разработчики просили ИИ-агентов проверить исправление интерфейса. Агент не мог прикрепить скриншот к закрытому pull request (запросу на слияние изменений в общий код). Загрузить картинку в такой запрос можно только через браузер, а агент работал из командной строки и такого доступа не имел. Чтобы показать скриншот рецензентам, агент сам создавал публичный репозиторий и выкладывал данные туда. Нашлось более 13 000 изображений из 900+ репозиториев в 343 организациях по всему миру, среди них несколько компаний из американского рейтинга Fortune 500.

Среди утёкшего: биллинговые записи коммунальной компании, консоль казначейства и экран вывода средств финансовой компании, 1000+ скриншотов нерелизных функций ИТ-вендора. Агент работал на ноутбуке сотрудника вне корпоративной структуры GitHub, поэтому служба безопасности ничего не видела (Help Net Security).

Что показывает хронология

Первые утечки делал человек. Последние делает агент, который сам решает, куда выложить данные, и сотрудник об этом может не знать.

Это общий тренд. По данным Verizon DBIR 2026, 67% пользователей входят в ИИ-сервисы с корпоративных устройств через личные аккаунты, а теневой ИИ стал третьим по частоте ненамеренным внутренним действием, и его доля выросла вчетверо за год.

В России ситуация та же: по данным Солара, почти 40% обращений к публичным ИИ-сервисам содержали конфиденциальную информацию (из анализа 12 000 взаимодействий). Из них 41% пришлось на исходный код и конфигурации, 30% на персональные и финансовые сведения, 18% на интеллектуальную собственность и 11% на пароли, токены и API-ключи. На команды разработки пришлось 43% таких событий. Отдельное исследование УЦСБ и «Солара» показало, что 42,4% из 102 опрошенных компаний подозревали утечки через ИИ, а 8,1% уже столкнулись с реальными инцидентами.

Почему сотрудники несут рабочие данные в нейросети

Сотрудники используют личные аккаунты нейросетей, потому что корпоративная альтернатива либо не выдана, либо работает медленнее привычного публичного сервиса. Задача горит, а согласование доступа к корпоративному ИИ-инструменту может занять неделю, которой ни у кого нет.

Мотивация предсказуема и почти всегда одна и та же: скорость. Разработчик вставляет строку подключения к базе данных в чат, чтобы модель помогла найти ошибку в запросе за минуту, а не за час чтения документации. Менеджер перед созвоном выгружает выдержку из клиентской базы в нейросеть, чтобы получить готовое саммари для презентации, вместо того чтобы собирать его вручную из трёх систем.

Умысел на утечку данных в этой картине почти не встречается. По данным SearchInform (2025), 66% инцидентов утечки происходят из-за ошибок и незнания базовых правил кибергигиены, а не намеренных действий. Сотрудник в момент вставки текста в промпт не думает о периметре компании и о том, где эти данные окажутся дальше. Он решает конкретную рабочую задачу самым быстрым из доступных ему способов.

Как данные утекают в нейросети: векторы утечки

Данные покидают периметр компании разными способами, и большинство из них не оставляет следов в классических системах контроля. По данным ГК «Солар», сотрудники загружают в нейросети фрагменты исходного кода, финансовую отчётность, юридические документы и клиентские базы, даже не считая это утечкой данных в привычном смысле слова.

Чат-окно веб-интерфейса

Самый прямой канал: сотрудник вставляет текст целиком, код, договор, переписку с клиентом. Часть публичных сервисов по умолчанию использует введённые данные для дальнейшего дообучения модели, если это явно не отключено в настройках аккаунта.

Загрузка файлов для анализа

Вместо копирования фрагмента текста в чат сотрудник прикрепляет файл целиком: презентацию, таблицу, скан договора. Модель обрабатывает документ полностью, включая метаданные, скрытые листы в таблицах и комментарии, которые автор забыл удалить.

Браузерные плагины с доступом к странице

Расширение для суммаризации или перевода получает доступ к содержимому открытой вкладки, включая внутренние порталы, CRM и почтовые клиенты, если сотрудник не выходит из системы перед активацией плагина. Разрешение выдаётся один раз при установке и дальше работает молча.

OAuth-доступ и ИИ-боты на звонках

Сотрудник одним кликом «Войти через...» открывает стороннему ИИ-сервису доступ к почтовому ящику или облачному диску целиком, а не к одному письму. Разрешение действует бессрочно, пока его не отозвать вручную. Похожая история с ИИ-ботами, которые присоединяются к видеозвонкам и сохраняют расшифровку переговоров на серверах, к которым у ИБ-отдела нет доступа.

Агенты и плагины с доступом к рабочим инструментам

ИИ-агент, подключённый к почте, календарю или таск-трекеру ради автоматизации рутины, читает содержимое этих систем как часть своей обычной работы. Периметр контроля здесь размывается: данные покидают компанию через инструмент, у которого формально есть легитимный, санкционированный доступ.

Неучтённые API-интеграции

Разработчик подключает нейросеть к внутреннему сервису через API-ключ ради эксперимента или пилота, минуя согласование с ИБ. Канал передачи данных при этом реально существует, просто нигде не задокументирован и не проверен на предмет того, куда именно уходят данные из ответа модели.

Обучение модели на пользовательском вводе

Часть бесплатных публичных сервисов по умолчанию использует переписку пользователей для улучшения модели. Введённые данные не просто покидают компанию единожды: они потенциально становятся частью обучающей выборки и могут всплыть в ответах модели другому пользователю в изменённом виде.

Опасность растёт с числом комбинаций

Один и тот же сотрудник за день может воспользоваться чатом для черновика письма, загрузить файл для перевода и одобрить доступ агенту в почту, даже не заметив, что каждое из этих действий открывает свой отдельный канал утечки. Контролировать нужно не «использование ИИ» как единое явление, а каждый канал по отдельности, потому что мера, которая закрывает чат, не остановит утечку через плагин с доступом к вкладке браузера.

Агентный ИИ против чат-интерфейса: разный масштаб утечки

Утечка через чат и утечка через ИИ-агента — разные по масштабу угрозы, хотя обе начинаются с нажатия на кнопку «разрешить». Чат передаёт только то, что сотрудник вписал вручную: один промпт, один файл, экран текста. Агент с доступом к сервисам компании, почте или репозиторию действует от имени всей системы: скомпрометированное подключение открывает всю связанную базу целиком.

Показательный пример: отдел продаж подключает стороннего ИИ-ассистента к CRM через общий API-ключ, чтобы автоматически готовить сводки перед звонками. Ключ открывает доступ ко всей базе клиентов, включая контакты за пределами зоны ответственности команды, а сама интеграция не попадает в поле зрения ИТ: трафик идёт между двумя системами.

Три условия, при которых ИИ-агент становится опасен

Разработчик Саймон Уиллисон предложил модель для оценки риска конкретного агента, которую в индустрии называют «смертельной триадой» (Lethal Trifecta). Агент опасен, если одновременно совмещает:

1. Доступ к закрытым данным — агент может читать секреты, внутренние документы, переписку или базы данных.
2. Непроверенный внешний контент — агент обрабатывает веб-страницы, письма, тикеты: текст, который не контролирует владелец агента.
3. Отправка данных наружу — у агента есть способ передать результат во внешний мир: запрос, письмо, публикация, вызов API.

Убрать любое из трёх условий и канал утечки для этого конкретного агента закрывается.

Как разворачивается атака через ИИ-агента

1. Злоумышленник прячет вредоносную инструкцию в источнике, которому агент доверяет: публичной веб-странице, входящем письме, тикете в поддержку. Это непрямая промпт-инъекция (indirect prompt injection): команда приходит не от пользователя агента, а через контент, который агент обрабатывает как часть обычной задачи.
2. Агент читает этот контент: суммирует письмо, разбирает тикет, ищет информацию на странице.
3. Модель обрабатывает текст наравне с настоящими инструкциями и выполняет скрытую команду как часть задания.
4. Команда предписывает агенту прочитать закрытые данные и передать их наружу: добавить в исходящий запрос, вставить в URL, вызвать внешний API.

Масштаб проблемы индустрия признала официально: в рейтинге OWASP Top 10 for LLM Applications за 2026 год категория «избыточная автономность» (excessive agency) поднялась с восьмого места на третье, а промпт-инъекция третий год подряд занимает первое.

Для теневого ИИ самый частый канал утечки — чат и загрузка файлов. Для агентного теневого ИИ специфический риск заключается в учётных данных, токенах и ключах, которые дают агенту доступ.

Утечка учётных данных и секретов через ИИ

Пароль, API-ключ или строка подключения к базе данных, вставленные в промпт, опаснее любого документа: документ раскрывает информацию, а секрет открывает канал доступа к системе.

Пример: разработчик не может понять причину ошибки подключения к базе и вставляет в чат нейросети весь фрагмент кода вместе со строкой подключения, логином и паролем. DevOps-инженер просит модель проверить конфигурационный файл, а в нём лежит токен доступа к облачному хранилищу. Администратор копирует лог с фрагментом SSH-ключа, чтобы нейросеть помогла разобрать ошибку авторизации на сервере.

В промпт не должны попадать:

Пароль, отправленный во внешнюю нейросеть, покидает периметр компании фактически безвозвратно: неизвестно, где он сохранился, попал ли в логи запросов и кто теоретически может получить к нему доступ на стороне поставщика модели.

Первопричина в том, что секретам часто буквально некуда деваться, кроме таблиц, конфигурационных файлов и личных заметок, откуда их и копируют в промпт при первой необходимости. Единое хранилище с контролем доступа устраняет причину, а не только следствие: если пароль от базы лежит в сейфе с ролевой моделью доступа (RBAC) и выдаётся через безопасный обмен, у разработчика нет повода держать его в открытом файле, который проще всего целиком скопировать.

Централизованное хранение паролей и секретов, API-ключей, токенов и строк подключения в Пассворке решает именно эту задачу: журнал аудита фиксирует, кто и когда открывал сейф, а значит, при инциденте видно, у кого вообще был доступ к скомпрометированному секрету.

Проверьте, сколько паролей, ключей и токенов сейчас лежит в таблицах, конфигурационных файлах и переписке — и перенесите их в единое хранилище с разграничением доступа и журналом аудита. Попробуйте Пассворк бесплатно

Правовые и финансовые риски: 152-ФЗ, 420-ФЗ и ст. 272.1 УК РФ

Утечка персональных данных через нейросеть подпадает под те же нормы, что и любая другая утечка данных, а штрафы за неё за последний год выросли на порядок. Данные, введённые сотрудником в публичную модель, размещённую за пределами РФ, дополнительно попадают в контур трансграничной передачи данных по Федеральному закону № 152-ФЗ «О персональных данных».

С 30.05.2025 по Федеральному закону № 420-ФЗ штраф за утечку персональных данных по ст. 13.11 КоАП РФ достигает 15 млн ₽ за первое нарушение и до 500 млн ₽ оборотного штрафа при повторном. Оборотный штраф считается не от суммы причинённого ущерба, а от выручки компании целиком, что делает повторное нарушение риском совершенно иного масштаба, чем первое.

Отдельно действует уголовная ответственность за незаконный оборот уже похищенных персональных данных. С 11.12.2024 по ст. 272.1 УК РФ она достигает 10 лет лишения свободы. Норма касается оборота уже скомпрометированных данных, а не самого факта утечки, поэтому важно различать: утечка сама по себе, как правило, административное нарушение оператора, а оборот уже украденного (продажа или передача третьим лицам) — отдельный уголовный состав.

Масштаб проблемы виден и в статистике регулятора: за 2025 год Роскомнадзор зафиксировал 118 случаев компрометации баз персональных данных, свыше 52 млн записей. Теневой ИИ не единственный источник этой статистики, но пополняет её особенно трудно отслеживаемым каналом: утечка через промпт не оставляет файла, который можно найти при внутреннем расследовании инцидента.

Для компании, которая уже работает с персональными данными или относится к критической информационной инфраструктуре, теневой ИИ добавляет ещё один пункт в и без того длинный список требований к контролю утечек. Регулятора не интересует, как именно данные покинули периметр. Оператора персональных данных проверяют по факту утечки, а не по каналу, которым она произошла.

Почему запрет не работает и что делать вместо него

Полный запрет нейросетей на уровне компании не устраняет теневой ИИ, а переводит его на личные устройства сотрудников, где корпоративный контроль отсутствует полностью. Запрет закрывает задачу отчётности перед внутренним аудитом, но не задачу реальной безопасности данных.

Без документа, который прямо описывает, что можно вводить в нейросети, а что категорически нельзя, сотрудник действует по собственному усмотрению и почти всегда выбирает удобство.

Проблема не зависит от страны. По данным IBM Cost of a Data Breach Report (2026), международного исследования утечек данных, теневой ИИ стал фактором в 43% случаев из выборки: это больше чем вдвое по сравнению с годом ранее, а свыше двух третей организаций до сих пор не имеют процесса управления этим риском.

Рабочая альтернатива запрету строится на трёх элементах одновременно:

1. Политика использования ИИ описывает разрешённые сервисы и типы данных простым языком, без юридического канцелярита.
2. Технический контроль (от мониторинга сетевого трафика и облачных CASB-шлюзов до семантического анализа промптов и контроля буфера обмена в браузере) подсвечивает реальные действия пользователей, превращая слепые зоны политик безопасности в контролируемую среду.
3. Согласованная альтернатива, корпоративный ИИ или локальная модель, закрывает саму потребность в скорости, ради которой сотрудник вообще открывал внешний сервис.

Без последнего элемента первые два не работают: сотрудник неизбежно вернётся к личному аккаунту и теневому ИИ, если у него не будет разрешённого и такого же быстрого инструмента под рукой.

Три этапа контроля теневого ИИ: план 30/60/90 дней

Три этапа контроля теневого ИИ разводят меры по срокам и по тому, что каждый из них закрывает:

• Первый этап даёт видимость и правила
• Второй этап добавляет технический контроль
• Третий этап закрепляет легальную альтернативу, которая снимает саму причину обхода политики

По данным исследования SearchInform, обучение сотрудников считают самой эффективной мерой 81% опрошенных компаний, и оно входит в каждый этап.

Этап 1 (0–30 дней): видимость и правила

Первый этап не требует бюджета на новые системы. Узнать, какие нейросети сотрудники уже используют, можно и без специализированных инструментов: отфильтруйте логи прокси или файрвола по доменам популярных ИИ-сервисов (chat.openai.com, claude.ai, gemini.google.com и подобным) — это сразу покажет, кто и как часто к ним обращается.

Если в компании уже развёрнут CASB, он даст более точную картину по объёму и направлению трафика именно в ИИ-сервисы, а не только в облачные приложения в целом. Стоит также проверить список установленных браузерных расширений на рабочих устройствах: часть сотрудников подключает ИИ-инструменты именно через них, в обход любого сетевого контроля.

Собрав эту картину, опишите правила простым языком. Объясняйте их на конкретных примерах: что нельзя вставлять в промпт (пароли, ключи API, персональные данные, фрагменты исходного кода). Общие слова про «безопасность данных» не работают.

Этап 2 (30–60 дней): технический контроль

Мониторинг сетевого трафика и CASB-шлюзы (Cloud Access Security Broker, посредник между пользователями и облачными сервисами) нужно настроить на публичные ИИ-сервисы, а не только на почту и флешки. Семантический анализ промптов и контроль буфера обмена показывают, какие данные и в каком объёме уходят наружу через браузер.

Отдельно: контроль секретов

Для секретов сетевой мониторинг часто оказывается слепым пятном. Пароль или ключ могут уйти в промпт после копирования из таблицы или заметки, и в трафике это выглядит как обычный текст.

Этап 3 (60–90 дней): санкционированная альтернатива

Третий этап замыкает цикл. Если легальной и достаточно быстрой альтернативы нет, сотрудники возвращаются к личным аккаунтам, а меры первых двух этапов остаются формальностью для аудита. Поэтому вместе с корпоративным ИИ или локальной моделью в контуре компании переведите учётные данные из таблиц и заметок в централизованное хранилище. Политику пересматривайте регулярно: сервисы и сценарии использования меняются быстрее, чем документы.

Можно ли запускать этапы параллельно

Этапы не обязаны идти строго по порядку для каждой команды. ИТ-отдел со зрелой культурой безопасности может запустить этап 3 параллельно с этапом 1, пока бухгалтерия только знакомится с политикой. Важно, чтобы ни один этап не выпал совсем.

Теневой ИИ нельзя запретить, но можно сделать управляемым

Полный запрет нейросетей проигрывает с самого начала: сотрудники всё равно найдут способ решить рабочую задачу быстрее, если корпоративного инструмента для этого попросту нет. Запрет решает отчётность перед аудитом, но не повышает безопасность, а разница между этими двумя задачами и есть то, что отличает компанию, пережившую инцидент без последствий, от компании, которая попала в заголовки СМИ вместе с CB Financial Services или инженерной компанией из Бабушкинского суда.

Закрытие самого опасного канала (учётных данных) вместе с легальной и такой же быстрой альтернативой взамен личных аккаунтов делает теневой ИИ управляемым. Три этапа из этой статьи работают только вместе: без последнего сотрудники вернутся к привычным сервисам, а без первых двух до последнего просто не дойдёт очередь.

Начните с инвентаризации: где сейчас лежат пароли и секреты, кто имеет к ним доступ и фиксирует ли это хоть какой-то журнал. Соберите их в хранилище с разграничением прав. Протестируйте Пассворк бесплатно

Часто задаваемые вопросы о теневом ИИ

Что такое теневой ИИ простыми словами?

Использование сотрудниками нейросетей и ИИ-сервисов без одобрения и контроля ИТ- или ИБ-отдела, обычно через личные аккаунты в публичных сервисах, в обход корпоративных политик. Возникает независимо от того, знает ли о нём руководство компании или нет.

Чем теневой ИИ отличается от теневых ИТ?

Теневые ИТ: неучтённые устройства и приложения. Теневой ИИ устроен иначе: утечка происходит не через уязвимость в системе, а через содержимое, которое сотрудник сам добровольно вводит в промпт нейросети, включая пароли и внутренние документы.

Чем утечка через ИИ-агента отличается от утечки через чат-бота?

Чат передаёт только то, что сотрудник ввёл вручную, и утечка ограничена объёмом одного промпта или файла. Агент с доступом к CRM, почте или репозиторию действует от имени всей системы: одно скомпрометированное или слишком широкое подключение открывает доступ ко всей связанной базе, а не к одному документу — такую утечку почти не видят DLP и CASB, настроенные на трафик браузера.

Какой штраф грозит за утечку персональных данных через нейросеть?

С 30.05.2025 по ст. 13.11 КоАП РФ (420-ФЗ) штраф достигает 15 млн ₽ за первое нарушение и до 500 млн ₽ оборотного штрафа при повторном. За незаконный оборот уже похищенных данных с 11.12.2024 действует уголовная ответственность по ст. 272.1 УК РФ, до 10 лет лишения свободы.

Можно ли просто запретить сотрудникам пользоваться ChatGPT?

Формально да, но запрет не устраняет использование, а переводит его на личные устройства сотрудников, где у компании нет контроля вообще. Рабочий подход сочетает политику использования, технический контроль канала и санкционированную корпоративную альтернативу.

Какие данные нельзя загружать в публичные нейросети?

В первую очередь пароли, API-ключи, токены, строки подключения к базам данных и SSH-ключи: их утечка даёт прямой доступ к системам, а не только к информации. Дальше идут персональные данные клиентов, коммерческая тайна, финансовая отчётность и исходный код.

Используются ли мои данные из ChatGPT для обучения модели?

Часть бесплатных публичных сервисов по умолчанию использует переписку пользователей для дообучения модели, если это не отключено в настройках аккаунта. Правила различаются между сервисами и тарифами, поэтому настройки использования данных стоит проверять для конкретного инструмента отдельно.

Как узнать, что сотрудники используют ИИ в обход политики?

Отправная точка — логи прокси или файрвола, отфильтрованные по доменам популярных ИИ-сервисов, и аудит браузерных расширений на рабочих устройствах: подробнее эти способы разобраны в разделе «Этап 1» плана 30/60/90 дней выше. Журнал аудита в хранилище паролей дополняет эту картину: он фиксирует, кто обращался к учётным данным незадолго до подозрительной сетевой активности, и помогает сузить круг при расследовании конкретного инцидента.

Программы-вымогатели (ransomware): статистика атак и защита

В 2025 году шифровальщики атаковали российские компании на 15% чаще, а рекордный разовый выкуп достиг 500 млн рублей. Разбираем механику, векторы и план защиты от ransomware.

Блог ПассворкаИлья Шелыгин

Почему опасно хранить пароли в браузере: риски, статистика и защита

Инфостилерам не нужно взламывать браузер — ключ шифрования и база паролей лежат в одной папке. В 2025 году так украли 3,3 млрд учётных записей. Разбираем архитектуру уязвимости в Chrome, Firefox, Safari и Edge, а также рабочую альтернативу для бизнеса.

Блог ПассворкаИлья Шелыгин

Постквантовая криптография: угрозы и стандарты — 2026

Квантовые компьютеры ещё не взломали ни одного шифра, но атаки уже идут. Разбираем HNDL-угрозу, глобальные дедлайны регуляторов, российские алгоритмы-кандидаты и первые промышленные пилоты QKD в России.

Блог ПассворкаИлья Шелыгин