В декабре 2025 года Федеральная служба по техническому и экспортному контролю впервые включила риски, связанные с технологиями искусственного интеллекта, в банк данных угроз кибербезопасности. Новые положения должны учитываться при разработке программного обеспечения для государственных органов и объектов критической информационной инфраструктуры.

В обновленном перечне зафиксированы потенциальные уязвимости ИИ-систем, включая модели машинного обучения, обучающие датасеты, технологии Retrieval Augmented Generation и LoRA-адаптеры. Также описаны возможные сценарии атак, среди которых эксплуатация уязвимостей в ИИ-фреймворках, вмешательство в системные настройки и промпты, а также атаки, направленные на исчерпание ресурсов и лимитов запросов.

Изначально банк данных угроз создавался как справочный инструмент, однако сейчас он обязателен для использования при моделировании угроз в организациях, которые по закону должны обеспечивать защиту информации, включая обработку персональных данных. Новый раздел становится официальной основой для оценки рисков, связанных с применением ИИ, и определения требований к средствам защиты.

Обновление перечня напрямую затрагивает государственные структуры и операторов критической инфраструктуры, которым необходимо учитывать ИИ-риски при проектировании и модернизации систем безопасности. Заблаговременная адаптация процессов может повысить устойчивость ИТ-систем и снизить регуляторные и операционные риски.

Включение ИИ-угроз в банк данных связано с подготовкой отдельного стандарта по безопасной разработке ИИ-систем, который должен дополнить действующие требования к защите государственных информационных систем и конкретизировать меры по обеспечению безопасности моделей и данных.

Необходимость таких изменений подтверждается ростом использования ИИ в кибератаках. Международные исследования показывают резкий рост фишинговых рассылок, генерируемых с помощью языковых моделей, что существенно усиливает масштабы и эффективность цифровых угроз.

Источник