ИБ как основа цифровизации
Стремительное развитие искусственного интеллекта стало продолжением цифровой трансформации бизнеса. Но началась она задолго до появления генеративных моделей. Ситуация, когда экономика была готова перейти на цифру, в целом сложилась к концу прошлого десятилетия. И с наступлением ковидного 2019 г. весь мир вынужденно, сильным и неожиданным толчком в спину полетел в сторону цифры. За считанные месяцы компании перевели сотрудников на удаленную работу, открыли доступ к корпоративным системам через интернет и цифровизировали взаимодействие с клиентами и партнерами. Одновременно резко расширился цифровой периметр и выросло количество кибератак, поскольку раньше всех перешедшие на цифру хакеры постарались воспользоваться возникшим дисбалансом в своих интересах.
Тогда стало очевидно, что цифровая трансформация невозможна без системного обеспечения информационной безопасности. Если раньше ИБ нередко воспринималась как вспомогательная функция, то теперь она стала одним из ключевых элементов устойчивости бизнеса. Организации оказались вынуждены инвестировать не только в средства защиты, но и в повышение киберграмотности сотрудников, развитие корпоративной культуры безопасности и совершенствование процессов управления рисками. Фактически этот период стал переломным: информационная безопасность превратилась из технической функции в инструмент корпоративного управления, и именно ИБ стала определять возможности цифровизации.
По мере накопления практического опыта менялись и подходы к обеспечению безопасности. На первом этапе основной задачей было обнаружение атак и минимизация их последствий. Затем компании перешли к системному управлению рисками, оценивая не только вероятность отдельных инцидентов, но и их влияние на непрерывность бизнеса, финансовые показатели и выполнение нормативных требований.
Наиболее зрелые организации пошли еще дальше. Их целью стало не устранение всех возможных угроз, что нереально, а поддержание приемлемого уровня защищенности с учетом потенциального ущерба и стоимости защитных мер.
При этом оказалось, что именно российская индустрия ИБ совершенствуется наиболее быстрыми темпами, если говорить о минимизации последствий внешних целевых атак. Злоумышленники всех мастей, включая мощные хакерские группировки, осознали, что Россия представляет собой мишень, атака на которую если и не будет напрямую спонсироваться правительствами недружественных государств, то по крайней мере может осуществляться с их молчаливого согласия. Страна стала приоритетным полигоном для апробации новых технологий атак – а значит, и защиты. Развитие средств защиты стимулирует развитие всей российской отрасли ИБ.
Черный лебедь ИИ
Появление больших языковых моделей (LLM) стало новым этапом развития цифровых технологий. Если предыдущая волна цифровизации меняла способы ведения бизнеса, то генеративный ИИ начал менять сами подходы к созданию программного обеспечения, анализу данных и принятию решений. Компании внедряют ИИ-агенты, тестируют большие языковые модели, автоматизируют разработку, поддержку клиентов и внутренние процессы.
Вместе с новыми возможностями появляются и новые риски. Современные ИИ-системы получают доступ к корпоративным данным, анализируют внутренние документы, формируют рекомендации, а иногда способны самостоятельно выполнять операции от имени пользователей. Каждое такое полномочие увеличивает поверхность атаки.
Не менее важен выбор модели. Применение зарубежных LLM предполагает передачу корпоративной информации внешнему поставщику при ограниченном контроле над ее дальнейшим использованием. Российские модели облегчают соблюдение требований законодательства о персональных данных, но пока не всегда сопоставимы по функциональности с продуктами мировых лидеров. Максимальный контроль обеспечивает развертывание собственной модели в корпоративном ЦОДе, однако этот вариант требует значительных вычислительных ресурсов и инвестиций.
Одновременно изменился и характер киберугроз. Дело в том, что генеративный ИИ — обоюдоострое оружие. Одни и те же технологии одинаково эффективно помогают как специалистам по информационной безопасности, так и злоумышленникам. Любая система, способная ускорять анализ информации или автоматизировать принятие решений, неизбежно начинает работать в интересах обеих сторон.
Если раньше организация сложной кибератаки требовала высокой квалификации и многолетнего опыта, то генеративные модели существенно снизили порог входа в «профессию». Сегодня они помогают проводить разведку, готовить фишинговые кампании, анализировать найденные уязвимости и генерировать программный код. В результате преступные группы получили возможность быстрее масштабировать свою деятельность, привлекая исполнителей без глубокой технической подготовки.
Риски AI-first-разработки
Еще одним следствием распространения генеративного ИИ стало широкое применение в создании программного обеспечения подхода AI-first, при котором искусственный интеллект становится основой всей производственной цепочки. Инструменты генерации кода — Claude Code, Cursor, Codex и другие — позволяют создавать приложения значительно быстрее, чем несколько лет назад. Автоматическая генерация кода становится привычной частью процесса разработки наряду с традиционными интегрированными средами (Integrated Development Environment, IDE) и системами контроля версий.
Однако вместе с ростом производительности возникла новая проблема. Во многих проектах скорость разработки стала восприниматься как более важный показатель, чем безопасность создаваемого программного обеспечения. Это закономерно привело к росту числа ошибок, логических уязвимостей и небезопасных архитектурных решений в автоматически сгенерированном коде. Поэтому традиционные процессы безопасной разработки необходимо распространять и на продукты, создаваемые с помощью генеративного ИИ.
Практика последних месяцев подтверждает эту тенденцию. Современные модели уже способны автоматически находить ранее неизвестные уязвимости, а значит, аналогичные инструменты неизбежно будут использовать и злоумышленники.
Преимущество на стороне ИБ
Расширение возможностей злоумышленников вовсе не означает, что защитники проигрывают технологическую гонку. Отрасль информационной безопасности одной из первых начала использовать искусственный интеллект в «боевых» системах. Сегодня алгоритмы машинного обучения применяются для поведенческого анализа пользователей (UEBA), обнаружения аномалий, защиты конечных устройств (EDR/XDR), автоматизации работы центров мониторинга безопасности (SOC), выявления фишинга и дипфейков, интеллектуального анализа уязвимостей и предотвращения утечек данных средствами DLP нового поколения.
Во многих из этих направлений ИИ уже стал повседневным рабочим инструментом. Поэтому к моменту, когда генеративные модели начали массово внедряться в бизнес, отрасль ИБ подошла значительно более подготовленной, чем большинство корпоративных ИТ-подразделений. Более того, дальнейшая востребованность ИИ определяется текущими результатами и перспективами апробации его методов в информационной безопасности.
Одновременно бизнес начал формировать требования к безопасному использованию ИИ. На первый план вышли вопросы качества данных, управления доступом, проверки моделей, прозрачности принимаемых решений, участия человека в критически важных процессах (human in the loop), документирования жизненного цикла моделей и подготовки персонала.
Эти подходы постепенно закрепляются и в нормативной базе, однако для бизнеса важнее практический аспект: какие риски возникают уже сегодня, какие из них допустимы, а какие требуют обязательных инвестиций в усиление защиты. Ответы на эти вопросы все чаще определяют успех проектов цифровой трансформации.
Безопасность как конкурентное преимущество
Еще недавно многие компании без особых опасений использовали публичные языковые модели. Сегодня ситуация изменилась. Оказалось, что из анализа промптов можно узнать о бизнесе многое: каждый запрос к внешней модели потенциально раскрывает информацию о внутренних процессах организации, архитектуре информационных систем, особенностях разработки и технологических приоритетах бизнеса. Даже автоматически сгенерированный код способен содержать сведения о внутренней логике корпоративных приложений, что дает возможность воспользоваться скрытыми в нем уязвимостями.
Поэтому все больше крупных организаций делают выбор в пользу собственных или локально развернутых моделей искусственного интеллекта. Такой подход требует серьезных инвестиций, но позволяет сохранить контроль над корпоративными данными, обучением моделей и их дальнейшей эксплуатацией.
Одновременно меняется и подход к разработке цифровых продуктов. Если раньше средства обеспечения безопасности зачастую подключались уже после создания информационной системы, то в эпоху генеративного ИИ такой подход слишком рискован. Механизмы защиты должны закладываться одновременно с проектированием архитектуры, обучением моделей и разработкой бизнес-процессов.
Именно поэтому сегодня все большее значение приобретают принципы Secure by Design и Secure AI by Design, предполагающие учет требований безопасности на всех этапах жизненного цикла интеллектуальной системы.
В ближайшие годы искусственный интеллект станет такой же привычной частью корпоративной инфраструктуры, как сегодня облачные сервисы или мобильные приложения. Однако массовое распространение ИИ неизбежно повысит требования к защите данных, управлению доступом, безопасной разработке, контролю моделей и мониторингу новых типов угроз.
Преимущество получат не те компании, которые быстрее остальных внедрят генеративный ИИ, а те, кто сумеет сделать его использование управляемым и безопасным. Именно поэтому информационная безопасность перестает быть исключительно функцией защиты инфраструктуры и становится одним из факторов конкурентоспособности бизнеса.
Вопрос сегодня уже не в том, нужно ли внедрять искусственный интеллект. Для большинства организаций ответ очевиден. Главный вопрос теперь другой: сможет ли компания обеспечить безопасное использование ИИ раньше, чем те же технологии научатся эффективно применять злоумышленники. И ответ на этот вопрос в ближайшие годы станет одним из ключевых факторов успешной цифровой трансформации.
Алексей Гусев, старший советник банка «Центрокредит», старший преподаватель РУДН и НИЯУ МИФИ, резидент Кибердома
