Контроль утечек при использовании ИИ-сервисов сотрудниками: прокси, маскирование и запрет на секреты
Изображение: recraft
Почему утечка данных через ИИ-сервисы стала проблемой и как ее решать без тотальных запретов?
ИИ – новая брешь в периметре
Корпоративные ИИ-ассистенты создали новые каналы для утечки данных. Исследования показывают, что генеративным ИИ активно пользуются 45% сотрудников крупных компаний, при этом две трети этой активности происходят через личные аккаунты, создавая новую «слепую зону» корпоративной безопасности. Этот скрытый, но массовый оборот данных заставляет более половины российских компаний опасаться утечек через ИИ. Неудивительно: исследование LayerX показало, что ИИ стал главным каналом утечки данных в 2025 году.
По данным исследователей HiveTrace, через prompt-инъекции атакующие могут обойти защиту большинства языковых моделей с вероятностью 96%. Под угрозой оказываются разные типы информации: персональные данные клиентов и сотрудников, коммерческая тайна, стратегии и финансовые отчеты. ИИ-ассистенты, обученные на внутренних базах знаний, могут выдать эти сведения по запросу.
Отдельную опасность представляют автономные ИИ-агенты. Показателен кейс, где агент Operator ChatGPT мог помочь злоумышленнику перехватывать личные данные пользователей через авторизованные сессии в браузере. Кодинг-ассистенты вроде GitHub Copilot также становятся вектором атаки, когда в их код из публичных библиотек попадают скрытые вредоносные инструкции.
Как утекают данные
Принято считать, что наиболее типичные сценарии утечек таковы:
- разработчик вставляет фрагмент базы данных в публичный ИИ для отладки запроса;
- юрист загружает в нейросеть конфиденциальный договор;
- аналитик просит ИИ обработать датасет с персональными данными клиентов.
Однако по данным LayerX, 77% случаев передачи конфиденциальной информации в ИИ-инструменты происходят даже не через загрузку файлов, а через простое копирование и вставку из буфера обмена. В среднем сотрудник совершает 14 таких операций в день, минимум три из которых содержат чувствительные данные. При этом традиционные DLP-системы, сфокусированные на контроле потоков почтовых сообщений, сети и файлов, часто не видят этого потока.
Итак, перед CISO в 2026 году встает новая комплексная задача: не блокируя полезные инструменты, включить их в контур безопасности. На наш взгляд, решение находится в комбинации технического контроля на уровне передачи данных, строгих организационных политик и пересмотра архитектуры безопасности. Как именно это сделать – рассмотрим в этой статье.
Три уровня стратегии защиты
Устранить угрозу полностью нельзя. Но можно создать многоуровневый контроль, чтобы минимизировать риски без остановки работы.
Пользователи компании могут обращаться к общедоступным ИИ сервисам из корпоративной сети двумя способами: напрямую (через браузер, агрегатор ИИ сервисов (например, Telegram-бот) или десктопный клиент) или централизованно (через разработанный в компании ИИ-агент).
Контролировать прямой доступ к внешним ИИ-сервисам крайне проблематично – нужно отслеживать регулярно появляющиеся новые ИИ-сервисы, сканировать пользовательские запросы к ним и ответы от них (отправлять на проверку в какой-то потоковый анализатор запросов, учитывающий контекст, например, проксировать трафик и отправлять его по протоколу ICAP в DLP или подобные системы), обеспечивать своевременное реагирование на опасные запросы в такие сервисы и т.д.
Либо можно разработать и внедрить в компании собственного ИИ-агента, который и будет обращаться для выполнения нужных задач к конкретным общедоступным ИИ-сервисам, и обеспечивать контроль обращения с чувствительной информацией, фильтруя общение сотрудников с этим ИИ-агентом и его ответы. Другими словами, если компания хочет обеспечить безопасность общения своих сотрудников с общедоступными ИИ-сервисами, ей необходимо иметь собственный ИИ-агент и на нем выстраивать централизованный мониторинг. И, конечно же, запретить все прочие способы взаимодействия сотрудников с ИИ-сервисами.
Эффективная стратегия строится на трех ключевых принципах.
- Централизованный контроль трафика через прокси
Все запросы сотрудников к внешним ИИ сервисам проходят через корпоративный шлюз. Этот шлюз анализирует контент на наличие вредоносных инструкций и попыток утечки, блокирует промпт-инъекции и скрытые команды. Специализированные системы вроде HiveTrace проверяют каждый запрос и ответ модели в реальном времени, в них можно написать собственные правила анализа и контроля обращений пользователей, способы реагирования (блокирование или оповещение администратора ИБ). Оптимально сначала запускаться в режиме мониторинга, а после отладки и проверки правил переключаться в режим блокировки.
- Маскирование данных
Когда запрос проходит проверку, система автоматически находит и заменяет в нем конфиденциальные фрагменты – при этом используются не только регулярные выражения или «захардкоженные» правила, но и «подкапотная» нейросеть, умеющая понимать контекст. Реальные имена клиентов, номера паспортов, телефоны и внутренние API-ключи заменяются на псевдонимы или служебные символы. Эта технология динамического маскирования интегрируется с DLP и корпоративными классификаторами данных, но может выступать и отдельным решением, т.к. DLP не очень эффективны в анализе потоковых данных (этот класс решений специализируется на проверке почтовых сообщений и файлов).
- Культура цифровой гигиены
Это набор четких инструкций и проведение регулярного обучения о том, какие данные нельзя использовать (передавать) в работе с ИИ и почему, какие есть правила обращения с корпоративными ассистентами. При этом на техническом уровне должна быть заблокирована передача чувствительных данных (категорий данных) компании как в локальный ИИ-агент (ассистент), так и из него в публичные ИИ-сервисы.
Комплексная защита от утечек информации компании при взаимодействии с ИИ сервисами достигается только когда:
— такой доступ для работников остается, но при этом обеспечивается технический контроль;
— проводится регулярное обучение сотрудников;
— проводится своевременный пересмотр и проверка новых ИИ-сервисов на безопасность и качество их ответов.
Инструменты и архитектура
Для внедрения стратегии трех уровней нужны правильные инструменты и четкая архитектура. Они превращают теорию в работающую систему защиты.
Как выбрать решение
Выбор инструмента начинается с оценки ключевых критериев. Поддержка русскоязычных атак критически важна, так как зарубежные аналоги часто их пропускают. Решение должно легко интегрироваться с вашей SIEM системой и корпоративными чат-ботами. Важна гибкость политик безопасности – это позволит адаптировать правила под нужды разных отделов.
Пример архитектуры защиты ИИ трафика
Базовая архитектура строится по принципу централизованного шлюза:
- запрос сотрудника к внешнему ИИ сначала попадает на корпоративный прокси;
- анализатор проверяет его на промпт-инъекции и вредоносный контент;
- затем модуль динамического маскирования находит и обезличивает конфиденциальные данные;
- после этого безопасный запрос передается в целевую LLM;
- ответ модели проходит обратный путь: анализ на вредоносный контент, маскирование выходной конфиденциальной информации от LLM, и дополнительная проверка на утечку системного промпта;
- вся цепочка фиксируется в системе аудита.
Такая архитектура легко интегрируется с SIEM для контроля доступа и с DLP для расширенного анализа контента.
Редтиминг, мониторинг и реагирование
Еще до запуска необходимо проверить систему на прочность в формате редтиминга. Регулярные тесты с использованием редтиминга помогают понять, насколько она устойчива. Специальные инструменты для редтиминга AI автоматически имитируют десятки разных атак – от простых до сложных многошаговых сценариев. Они позволяют найти слабые места до того, как их используют злоумышленники. Постоянный мониторинг трафика в реальном времени также помогает в процессе.
Также стоит разработать протокол реагирования на инциденты, который включает в себя время реагирования и план восстановления после сбоев, связанных с атаками на ИИ-сервисы. Помимо плана, нужно разработать шаблоны отчетов по анализу инцидентов,создать группу реагирования и наладить коммуникацию между ее членами.
Мировая практика показывает, что проведение периодических учений по отработке реагирования на инциденты – отличное решение.
Практические шаги для внедрения
- Проведите аудит и оцените риски
Начните с инвентаризации. Определите, какие ИИ-сервисы используют сотрудники. Выявите отделы с самым высоким риском: разработка, аналитика, юридический отдел и т.д. Проанализируйте, какая именно информация относится к конфиденциальной и может неконтролируемо передаваться в ИИ-сервисы.
- Запустите пилотный проект с прокси решением
Расчитайте и выделите необходимые ресурсы – человеческие и инфраструктурные. Выберите одно подразделение для тестирования. Разверните корпоративный шлюз для контроля ИИ-трафика. Шлюз должен контролироваться решением типа AI firewall, которое анализирует поток данных, выявляя промпт-инъекции, вредоносный контент и утечку данных. Настройте базовые политики блокировки очевидных угроз, например, передачу номеров кредитных карт. Пилот позволит оценить нагрузку на систему, уточнить рабочие процессы и продемонстрировать ценность безопасности бизнесу.
- Разработайте и внедрите политики маскирования данных
Настройте в системе правила динамического обезличивания для ключевых категорий, таких как персональные данные и коммерческая тайна. После этого разверните политики для всех сотрудников, кто работает с ИИ.
- Организуйте обучение и формализуйте правила
Без осознанности сотрудников технические меры неэффективны. Проведите обязательные тренинги по цифровой гигиене при работе с ИИ. Четко объясните, что можно и что нельзя загружать в модели. Внесите эти правила во внутренние регламенты и политики информационной безопасности компании.
- Настройте постоянный мониторинг и цикл улучшений
Запустите редтиминг для тестирования устойчивости вашей системы к новым типам атак. Настройте автоматические алерты в SIEM системе на подозрительные действия. Регулярно обновляйте правила маскирования и блокировки, адаптируясь к новым угрозам. Без этого этапа защита быстро устареет.
- Создайте практику реагирования
Разработайте план реагирования и шаблоны отчетов по инцидентам. Создайте группу реагирования. Запустите практику учений.
Врезка
“Запретить ИИ значит отстать. Разрешить бесконтрольное использование – значит рискнуть бизнесом. Задача современного CISO в том, чтобы найти технологичный компромисс, где безопасность встроена в рабочий процесс, а не блокирует его”, — Иван Василенко, директор по клиентской стратегии HiveTrace.
“Контроль обращений сотрудников к общедоступным ИИ сервисам и защита собственных ИИ агентов — обязательный шаг любой компании к обеспечению безопасности в новом ландшафте киберугроз”, — Антон Конопак, руководитель отдела DevSecOps “Инфосистемы Джет”.
Авторы:
Иван Василенко, директор по клиентской стратегии HiveTrace.
Антон Конопак, руководитель отдела DevSecOps “Инфосистемы Джет”.
