Яндекс запустил ИБ-бренд Yandex Security: гибридная, локальная, мультиоблачная безопасность

Яндекс запустил направление Yandex Security, которое объединяет защиту облачной, локальной, гибридной и мультиоблачной инфраструктуры в единой платформе. Заодно компания расширила линейку беспарольным входом, поиском избыточных полномочий и защитой ИИ-систем. Анонс состоялся 24 сентября 2026 года, и по сути разрозненные облачные инструменты Яндекса превратились в крупную платформу корпоративной безопасности.

Проект рассчитан на компании, у которых сервисы разбросаны по нескольким площадкам, от собственных серверов до чужих облаков:

• собственный дата-центр;
• облако Yandex Cloud;
• мощности других облачных провайдеров.

Yandex Security должна собрать сведения о доступах, конфигурациях и рисках из всех этих мест в единый интерфейс, чтобы админы не скакали между разрозненными панелями. Интеграция с Yandex Security Deck, по данным компании, занимает несколько минут, а до конца 2026 года Яндекс планирует подключить несколько крупных облачных провайдеров в статусе партнёров.

В основу вошли ИБ-разработки Яндекса, в том числе созданные вместе с SolidLab. Раньше они защищали в основном облако самой компании, а теперь их натравят на инфраструктуры с любой архитектурой.

Интересно, что более 15 тыс. компаний уже защищают публичные облака сервисами с ИИ, а атакующие переключились с охоты за украденными паролями на уязвимые публичные приложения.

По данным Yandex B2B Tech за 1-е полугодие 2026 года, в российских облачных средах фиксировали попытки эксплуатации критической уязвимости React2Shell и багов ядра Linux с именами Copy Fail и Dirty Frag. Для российского бизнеса это уже не страшилки из зарубежных отчётов, а рабочая реальность, ведь публичные приложения торчат в интернет и сканируются круглосуточно.

Если в 1-й половине 2025 года 35% атак приходилось на ИТ-компании, то к середине 2026 года лидерство перехватил ритейл. По отраслям:

• ритейл — 39%;
• производственные предприятия — 29%;
• сектор ИТ — 20%.

Яндекс связывает это в том числе с ростом зрелости защиты в ИТ-бизнесе, то есть ломать айтишников стало сложнее. ИИ-агенты в облаках уже приоритизируют уязвимости, разбирают инциденты и проводят первичное расследование, а самые критичные проблемы пока закрывают вместе с человеком, так что джуны без работы не остались.

22 сентября Yandex B2B Tech представила AI-SPM — класс инструментов для контроля защищённости самих ИИ-систем. Он встроен в Yandex Security Deck, учитывает модели, агентов, MCP-серверы и подключения к внешним приложениям, а также анализирует хранилища данных, с которыми работают ИИ-компоненты.

Обычная корпоративная защита привыкла следить за серверами, компьютерами, учётными записями и приложениями. ИИ-агент ломает эту схему, потому что не просто отвечает на вопросы, а выполняет действия через подключённые инструменты. В российских компаниях, где ИИ-агентов внедряют в темпе спринта, у админов рискует вырасти целый слой инфраструктуры, о котором они и не подозревают.

Стоит обратить внимание, что ИИ-агент может одновременно иметь доступ к документам, внутренним базам и внешним сервисам, а значит любой лишний доступ превращается в дыру.

AI-SPM сам проводит инвентаризацию ИИ-активов, постоянно мониторит среду и ищет:

• избыточные полномочия у агентов и моделей;
• доступы к чувствительным данным;
• уязвимости в связке моделей, данных и серверной инфраструктуры.

В основе лежит методология AI-SAFE 2.0 от Yandex Cloud и SolidLab, которая связывает модели, данные и серверную инфраструктуру с возможными уязвимостями и мерами защиты. Директор по безопасности Yandex Cloud Евгений Сидоров заявил, что генеративный ИИ требует контролировать не только сами модели, но и всю инфраструктуру вокруг них, поэтому AI-SPM должен вести компании от реакции на отдельные инциденты к постоянному контролю ИИ-среды.

Gartner, на которого ссылается Яндекс, оценивает мировой рынок защиты ИИ в $2,8 млрд в 2026 году и в $4,8 млрд в 2027-м, то есть рост почти на 69% за год. Российский рынок пока скромнее и в 2026 году составляет от 1 до 4 млрд рублей, а к 2029–2030 годам может вырасти до 11–30 млрд рублей.

В Yandex Identity Hub планируется поддержка WebAuthn и FIDO2, так что сотрудник сможет подтверждать вход лицом, отпечатком пальца или аппаратным ключом. Администратор сможет управлять политикой беспарольного доступа вплоть до полного запрета входа по паролю, и пароль, который надо помнить, хранить и прятать от кражи, отправится на заслуженный отдых.

Из остальных новинок анонса стоит отметить:

• механизм JS-Challenge в Yandex Smart Web Security, который проверяет посетителей сайта на признаки ботов без обязательной капчи со светофорами;
• модуль Access Analyzer в Yandex Security Deck, который ищет лишние полномочия сотрудников, сервисов и учётных записей;
• подсказки Access Analyzer о замене слишком широких разрешений и о забытых сервисных аккаунтах.

JS-Challenge оценивает риск запроса незаметно для посетителя, а испытание появляется только при подозрительной активности, так что юзеров меньше бесят светофоры и автобусы.

Эксперты CISOCLUB отметили, что запуск Yandex Security бьёт по главной боли корпоративной защиты, когда инструментов набрано много, а единого обзора нет. Единая панель для локальных, облачных и мультиоблачных сред избавляет админов от беготни между консолями, и для российских компаний с гибридной инфраструктурой это полезный ход.

Отдельного внимания заслуживает AI-SPM, потому что ИИ-агенты с широкими правами превращаются в новые точки входа для атакующих, а классические средства защиты за ними не следят. Беспарольный вход на базе FIDO2 закрывает целый класс атак на пароли, но требует аккуратного внедрения и запасных вариантов восстановления доступа. Слабое место остаётся прежним, потому что инструмент, который находит лишние права, бесполезен, если результаты никто не разбирает.