Проверяю безопасность ИИ-систем и инфраструктуры, которые уже работают
В проверку входят ИИ-агенты, поиск по документам (RAG), MCP-серверы и инфраструктура. Работаю по OWASP LLM Top 10 — это перечень главных уязвимостей ИИ-систем.
Проверяю, можно ли подменить инструкции модели (по-английски prompt injection), то есть подсунуть ей чужую команду, которую она выполнит. Ещё смотрю, можно ли отравить документы в поиске по базе знаний, подменить инструменты MCP и раздуть счёт за запросы
Сам держу 10+ ИИ-систем в постоянной работе. Управлял рекламным бюджетом $1,34 млн и видел рекламные системы изнутри
Штраф при повторной утечке персональных данных — 1–3% выручки, но не менее 20 млн ₽. Ограничения на иностранное ПО по КИИ касаются владельца значимого объекта
Три формата: от быстрой диагностики до постоянного сопровождения
Экспресс-диагностика показывает, насколько серьёзны проблемы. Полный аудит нужен, когда риски высокие и важно выполнить требования закона. Сопровождение помогает держать защиту в порядке: новые способы атак появляются постоянно.
Разбор о персональных данных и нейросетях: что проверяют в такой диагностике, какие штрафы записаны в законе (со ссылками на статьи) и как за двадцать минут проверить главное самому.
Экспресс-диагностика
Быстрая первая проверка: сокращённый чек-лист, одна атака вживую и отчёт в PDF с пятью главными рисками. После неё понятно, нужен ли полный аудит.
- Созвон-знакомство на 60 минут: как устроена система, какие языковые модели и интеграции в ней работают, где хранятся персональные данные
- Шесть часов проверки по сокращённому чек-листу
- Показываю вживую одну атаку: подмену инструкций модели, ошибку в настройках DNS или SSL либо открытый файл .env с ключами
- Отчёт на 4–6 страниц: пять главных проблем по срочности, уровень риска, конкретные команды и код для исправления
- Разбор результатов — 30 минут
Полный аудит безопасности
Пробую взломать систему по четырём направлениям: ИИ и языковые модели, инфраструктура, персональные данные, бизнес-логика. Отчёт на 30–50 страниц, показ атак вживую и 30 дней ответов на вопросы.
- Проверка по всем пунктам OWASP LLM Top 10 (редакция 2025 года)
- Доля направлений в работе: ИИ и языковые модели — 40%, инфраструктура — 25%, персональные данные — 20%, бизнес-логика — 15%
- Итоговый отчёт на 30–50 страниц с доказательствами и сверкой с требованиями закона
- Показываю вживую 1–2 самые опасные атаки на вашей системе
- Разбор отчёта — 90 минут, потом 30 дней отвечаю на вопросы по исправлениям
Цена — от 400 тыс. до 1,1 млн ₽. Она зависит от объёма работ и числа ИИ-агентов в системе
Постоянное сопровождение
Новые способы атак на ИИ появляются постоянно. Пока идёт сопровождение, я слежу за новыми угрозами для вашей системы и регулярно проверяю её заново.
- Базовый, 52 тыс. ₽: ежемесячная перепроверка, оповещения о новых уязвимостях (CVE) в Telegram, 2 часа консультаций в месяц
- В базовом также: раз в квартал — отчёт о том, как меняются риски
- Расширенный, 130 тыс. ₽: проверяю новые ИИ-функции до выпуска, до двух в месяц
- В расширенном также: один день в неделю работаю вместе с вашей командой
- В расширенном также: присылаю сводку по новым угрозам и реагирую на критические находки в течение суток
19 проверок по четырём направлениям
Проверка ИИ опирается на OWASP LLM Top 10 (редакция 2025 года). Инфраструктура — основа: если она не защищена, остальные меры не помогут. 152-ФЗ обязателен для всех, кто работает с персональными данными, 187-ФЗ — для владельцев объектов КИИ. Отраслевые проверки касаются рекламных кабинетов и интернет-магазинов.
Безопасность ИИ и языковых моделей
OWASP LLM Top 10 (2025) — 8 проверок
Прямая подмена инструкций
Модель уговаривают нарушить правила: через ролевую игру, настойчивые просьбы на протяжении нескольких сообщений или команды, закодированные в base64, Unicode и ROT13
Непрямая подмена инструкций: через документы, файлы, вебхуки
Атака приходит через данные, которые модель загружает сама.
Источник: EchoLeak CVE-2025-32711, CVSS 9.3
Утечка системной инструкции (LLM07:2025)
Из модели вытягивают её системную инструкцию. В ней часто лежат ключи доступа и внутренние адреса сервисов
Лишние права у агента (LLM06:2025)
Агент с правом записи в систему делает то, чего делать не должен.
Источник: CVE-2025-53773 GitHub Copilot RCE, CVSS 7.8
Неограниченный расход ресурсов (LLM10:2025)
Без лимита расходов счёт за модель может дойти до $10 тыс. в месяц: атакующий шлёт запросы один за другим.
Отравление MCP-сервера и подключённых инструментов
Атака через сторонний MCP-сервер: в описание инструмента прячут команды для модели.
Источник: CVE-2025-54136 · Claude Code CVE-2025-59536 · CVE-2026-21852 (Check Point Research)
Слабые места векторной базы (LLM08:2025)
Эмбеддинги — числовые отпечатки текста, по ним ИИ ищет похожие документы. Проверяю, можно ли восстановить исходный текст по векторам, узнать, был ли документ в базе, и подложить в поиск поддельные документы
Раскрытие чувствительных данных (LLM02:2025) и персональные данные в журналах
Проверяю, утекают ли персональные данные через ответы модели, журналы (логи) и трекеры ошибок. Для этого завожу вымышленного клиента с правдоподобными данными
Инфраструктура
6 проверок периметра и зависимостей
Настройки DNS и защита почты от подделки
SPF, DKIM, DMARC, CAA, DNSSEC. В DMARC часто стоит режим p=none, и тогда от вашего имени можно рассылать поддельные счета
Настройка шифрования SSL/TLS
Цель — оценка A+ в SSL Labs: HSTS preload, правильный набор шифров, OCSP stapling
Защитный экран (WAF) и CDN
Пробую обойти фильтр замаскированным запросом и найти реальный адрес сервера через историю DNS, SSL-сертификат и заголовки писем
Хранение секретов и ключей
Прогоняю gitleaks по всей истории репозитория. Ищу ключи доступа в коде страницы, открытую папку .git/ и файлы .env в резервных копиях
Уязвимости в сторонних библиотеках
Сверяю зависимости из npm, pip, go.mod и Cargo.lock с актуальной базой уязвимостей (CVE).
Источник: Shai-Hulud npm malware · Sonatype 454k+ malicious packages 2026
Резервные копии и восстановление
Проверяю на тестовом сервере, что данные действительно восстанавливаются из резервной копии
Персональные данные и требования российских законов
152-ФЗ · 187-ФЗ о КИИ · обезличивание персональных данных
Соответствие 152-ФЗ
Проверяю, хранятся ли данные граждан России на территории России, кому вы передаёте их дальше, есть ли вы в реестре операторов персональных данных Роскомнадзора. Штрафы по ст. 13.11 КоАП: за утечку — от 3 до 15 млн ₽ в зависимости от размера базы, за то, что об утечке не сообщили в Роскомнадзор, — 1–3 млн ₽, за повторную утечку — 1–3% выручки, но не менее 20 млн ₽
Готовность к требованиям по КИИ
Ограничения касаются только владельцев значимых объектов КИИ. Закупку и использование иностранного ПО ограничивает Указ Президента от 30.03.2022 № 166. С 1 сентября 2025 года на значимых объектах нужно применять ПО из реестра российских программ (58-ФЗ от 07.04.2025). Если ваш объект подпадает под эти требования, Cursor, Claude или OpenAI на нём — формальное нарушение. Из альтернатив можно рассмотреть GigaChat на своём оборудовании или YandexGPT. Подходят ли они вашему объекту, проверяем отдельно
Очистка запросов к модели от персональных данных
Завожу вымышленного клиента с правдоподобными данными и записываю каждый запрос, который уходит в OpenAI или Anthropic. Проверяю, пропускают ли фильтры ФИО, ИНН, телефон, почту и паспортные данные
Бизнес-логика и отраслевые проверки
Вход в систему и проверки под конкретную отрасль
Вход в систему и работа сессий
Смотрю, где хранятся токены сессии (в httpOnly-cookie или в localStorage) и как они обновляются. Проверяю, можно ли открыть чужие данные по прямой ссылке (IDOR), подписаны ли вебхуки, защищена ли система от повторной отправки запроса и от сбоев при одновременных платежах
Особенности рекламы и интернет-торговли
Проверяю, не подменяются ли страницы, которые видит посетитель, защищён ли трекер от мошеннического трафика и правильно ли срабатывают пиксели. Смотрю, подписаны ли данные в CAPI — так называется серверная передача конверсий в рекламную систему. Ещё проверяю, обновляются ли списки заблокированных адресов и не утекает ли отпечаток браузера через сторонние скрипты
Что может найти проверка
Примеры разложены по уровню риска — от критических до мелких.
- Ключ доступа к OpenAI или Anthropic лежит в коде страницы: его можно вытащить за полминуты и за одну ночь набрать по нему большой счёт
- Через непрямую подмену инструкций можно выкачать данные, как в случае EchoLeak
- В системной инструкции модели лежат ключи доступа или внутренние адреса сервисов
- Персональные данные уходят в OpenAI без обезличивания — это нарушение закона о персональных данных
- Отравление MCP-сервера: скрытые команды в описании инструмента
- Нет ограничения на частоту запросов к модели: атакующий может раздуть счёт и уронить сервис
- Открыта папка .git: по ней можно восстановить исходный код сайта
- DMARC в режиме p=none: от имени компании можно рассылать поддельные счета
- Оценка B или C в SSL Labs, нет HSTS preload
- Восстановление из резервной копии не проверяли больше года
- Уязвимости в библиотеках не исправлены больше 90 дней, вебхуки без подписи
- Нет заголовков CSP
- Ошибки показываются со служебными подробностями
- Не выставлен X-Frame-Options, слишком открытая Referrer-Policy
Отчёт по полному аудиту — 30–50 страниц с доказательствами и планом работ
Отчёт понятен и директору, и инженеру, который будет исправлять ошибки. К каждой находке приложены доказательство, которое можно воспроизвести, и конкретная команда или код для исправления.
Выжимка для руководства
Для генерального и технического директора и совета директоров: в чём риски, чем они грозят бизнесу, сколько стоит исправление
Методика
OWASP LLM Top 10, 187-ФЗ, 152-ФЗ, ссылки на CVE: что проверялось и почему
Список находок
По каждой: номер, уровень риска, доказательство (скриншот или команда), к чему приводит, как исправить и как проверить исправление
План работ по срочности
Что исправить в первые 48 часов, что — в первый месяц, что — в течение квартала
Приложения
Полные журналы проверок, сверка с требованиями (152-ФЗ, OWASP, ISO 27001), по желанию — видеозапись атак
Четыре типа компаний, которым это нужно
Полный аудит и сопровождение рассчитаны на компании с выручкой от 1 млн ₽ в месяц. Если выручка меньше, начать разумнее с экспресс-диагностики за 45 000 ₽. Личные проекты и студенческие работы не беру. Проверяю системы, в которых есть ИИ.
Технические основатели B2B-сервисов на 20–100 человек
В продукте есть ИИ, впереди проверка инвесторов. Запустили чат-бота или поиск по документам, и он иногда «странно отвечает». MCP-серверы никто не проверял.
Одна утечка может погубить продукт
Рекламные агентства с бюджетом от $500 тыс. до $5 млн в месяц
ИИ-инструменты накапливают персональные данные покупателей, и на них распространяется 152-ФЗ. Трекер может выдать реальный адрес сервера через историю DNS. Без подписи данных в CAPI проходят поддельные конверсии. Эту кухню я знаю изнутри: сам управлял рекламным бюджетом $1,34 млн.
Если заблокируют рекламный кабинет на $200 тыс., пропадёт месяц работы
Интернет-магазины от 1000 заказов в месяц с ИИ в поддержке
ИИ-агент переписывается с покупателями, и их почта, телефон и адрес уходят в OpenAI. Голосового бота уговаривают выдать промокод на 99%.
Утечка данных покупателей грозит штрафом и бьёт по репутации
Госзаказчики, банки, финтех
С 1 сентября 2025 года на значимых объектах КИИ нужно применять ПО из реестра российских программ (58-ФЗ от 07.04.2025). Если ваш объект подпадает под это требование, Cursor, Claude или OpenAI на нём — формальное нарушение. В таких проектах я проектирую решение и консультирую. Проверки по линии ФСТЭК требуют лицензии, их я не провожу. С такими заказчиками работаю через юрлицо.
Требования по КИИ обязательны для владельца значимого объекта
Я проверяю ИИ-часть системы
Защитой всей сети и мониторингом событий занимаются компании по информационной безопасности. Моя работа — ИИ-часть системы и всё, что с ней связано. Вот кто за что отвечает:
Компании по информационной безопасности
Весь ИТ-периметр: защита сети, мониторинг событий, защита от целевых атак
Проверяю ИИ-часть системы: модели, поиск по документам, MCP-серверы. Полный аудит — от 400 тыс. до 1,1 млн ₽
Платформы bug bounty
Независимые исследователи ищут уязвимости в работающей системе, оплата — за каждую находку
Проверяю систему по плану и сам отвечаю за результат. Сдаю отчёт с рекомендациями и могу сопровождать дальше
Специалисты по тестированию на проникновение
Сеть, веб-приложения и инфраструктура: Burp, Nessus, nmap
Проверяю по OWASP LLM Top 10. Сам держу ИИ-системы в работе круглосуточно и видел подмену инструкций в живом трафике
Внутренние службы безопасности
Корпоративная ИТ-инфраструктура: домен, периметр, системы обнаружения вторжений
Смотрю на ИИ и автоматизацию со стороны и дополняю вашу службу безопасности
Почему эту проверку стоит доверить мне
У меня сошлись четыре вещи: разработка в крупных компаниях, собственные ИИ-системы в работе, закупка рекламы с большими бюджетами и знание российских требований.
Сам держу ИИ-системы в постоянной работе
У меня круглосуточно работают больше десяти собственных ИИ-систем. Я видел их сбои изнутри: перерасход бюджета при резкой смене условий, алгоритм, зависший на нетипичном случае, непрямую подмену инструкций через RSS-ленту, падение MCP-сервера в работе
Управлял рекламными бюджетами на $1,34 млн
Вёл закупку интернет-рекламы в двух крупных командах (названия под NDA). По ежедневной работе знаю, как устроены накрутки и мошеннический трафик, как работает трекинг и как защищать передачу данных через CAPI
7 лет в крупных компаниях
Балтийский завод, IPL Consulting, Asertiva Solutions. Знаю, как устроена безопасность в больших компаниях с долгими согласованиями, и говорю на одном языке с техническим директором и директором по безопасности
Смотрю глазами атакующего
Закупка рекламы — это ежедневная борьба с ботами, накруткой и мошенничеством в трафике. Я видел, как злоупотребляют рекламными и веб-системами, поэтому при проверке задаю себе вопрос: как бы я сам её сломал?
Читаю российские требования в первоисточнике
152-ФЗ, 187-ФЗ о КИИ, приказы ФСТЭК, разъяснения Роскомнадзора. Проверяю, выполнены ли требования на деле, в работающей системе
Начните с экспресс-диагностики
Она стоит 45 000 ₽ и занимает 1 рабочий день. Вы узнаете пять главных рисков и поймёте, нужен ли полный аудит.
Начните с аудита за 5 000 ₽: письменный отчёт и расчёт окупаемости
Расскажу, что автоматизировать в первую очередь, когда это окупится и нужен ли вашей задаче ИИ вообще. Иногда он не нужен.
Или просто задайте вопрос. В рабочее время отвечаю в течение 2 часов