Как следует из совместного исследования Ассоциации разработчиков программных продуктов (АРПП) "Отечественный софт" и ООО "AppSec Solutions", представленного на Pro DevSecOps Conf 2026, из 100% компаний-разработчиков ПО, использующих ИИ, базовые меры контроля безопасности внедряют лишь 23%. Опрос, охвативший 54 компании, показал, что 67% создают собственные ИИ-решения, большие языковые модели применяют 81%, а ИИ-агентов используют 72%.

Согласно исследованию, восемь базовых мер контроля безопасности ИИ в среднем внедрены на 23%. У каждой третьей компании - нет ни одной. По данным исследования, ИИ-агентов используют 72% компаний - это второй по распространенности класс после больших языковых моделей. Агенты исполняют все решения автономно.

Согласно опросу АРПП и AppSec Solutions, 22% компаний эксплуатируют агентов в продуктивной среде, 52% - на стадии тестирования, но лишь 42% контролируют телеметрию по токенам. По данным отчета, оценку угроз провели 9%, политику взаимодействия с внешними инструментами имеют только 26%. Технологию внедряют в восемь раз чаще, чем оценивают угрозы.

Компании внедряют ИИ-агентов как инструмент продуктивности и забывают, что это новый субъект доступа с правами и выходом к API, сказал ComNews директор по международному бизнесу ООО "Innostage" Дмитрий Шепелявый. Агенту выдают полномочия сотрудника, но не применяют обязательные процедуры - согласование прав, журналирование и отзыв доступа.

"Особенно опасно предоставлять доступ к корпоративным системам, исходя только из качества ответов модели", - сказал ComNews системный архитектор АО "Angara Security" Александр Могила. Решение о запуске принимают по качеству ответов, но устойчивость к атакам не проверяют, добавил он.

Руководитель Дирекции ИИ ООО "Первый Бит" Николай Абрамов привел пример угрозы - slopsquatting (слопсквоттинг, захват "галлюцинированных" имен пакетов. - Прим.): модель выдумывает название библиотеки, злоумышленник публикует под ним вредоносный пакет, а агент загружает его автоматически. "Способность модели рассуждать не гарантирует соблюдения ограничений, - подчеркнул он. - В стресс-тестах Anthropic агенты выбирали шантаж или передачу данных ради результата".

Слепая зона: нет датчиков - нет атак

С атаками на ИИ, как следует из исследования, столкнулись 4% компаний. 74% ответили, что атак не было. Согласно данным опроса, 91% не проводили оценку угроз. Как отмечается в отчете, 69% компаний заявляют об отсутствии атак, но угрозы не оценивали.

Директор по безопасности ИИ AppSec Solutions Юрий Шабалин подчеркнул, что ключевые атаки - инъекция промпта, утечка системного промпта, извлечение данных через ответы модели - не оставляют следов в телеметрии. Они выглядят как валидный запрос с валидным ответом, и без фильтрации на шлюзе организация не отличит работу модели от атаки.

"Ответ "атак не было" без оценки угроз ничего не измеряет: он лишь показывает, что датчиков нет, - сформулировал Дмитрий Шепелявый. - Ложное чувство безопасности опаснее подтвержденного инцидента - оно убирает тему из повестки руководства и из бюджета".

Отсутствие атак мало говорит о защищенности без понимания, какие события контролирует компания, пояснил Александр Могила. "Агент может передать документ постороннему без взлома, и инцидент сочтут ошибкой пользователя", - отметил он.

Инциденты в ИИ не выглядят как классический взлом, отметил председатель совета Координационного совета Негосударственной сферы безопасности России (КС НСБ России) по противодействию технологическим правонарушениям Игорь Бедеров. "Это медленные утечки через легитимные каналы. Без мониторинга такие атаки не фиксируются", - добавил он в комментарии ComNews.

Данные уходят, а ответственного нет

Все компании, по данным исследования, подтвердили: сотрудники пользуются внешними ИИ-сервисами - 59% "частично", 41% "массово". Инвентаризация - у 43%. При этом 46% не назначили ответственного за безопасность ИИ - это самый частый ответ в опросе.

"Бизнеса без ИИ, связанного с разработкой, уже не существует, - констатировал генеральный директор AppSec Solutions Юрий Сергеев. - Рынок осознанно принимает непокрытый риск, не располагая ни экспертизой, ни процессами, чтобы его измерить".

Теневой ИИ - следствие отсутствия владельца, указал Дмитрий Шепелявый. Без корпоративной альтернативы сотрудник понесет данные во внешний сервис, и запрет не поможет - управлять нужно каналом. Внешние сервисы могут находиться в юрисдикциях, где данные передаются третьим лицам, отметил Игорь Бедеров. Отдельная должность необязательна, считает Александр Могила, но должно быть понятно, кто вправе остановить нарушение.

Кадровый голод сильнее дефицита инструментов

По данным исследования, 70% компаний называют главным барьером нехватку ИБ-экспертизы в ИИ. "Нет подходящих решений" - лишь 9%. 82% компаний, назвавших нехватку экспертизы барьером № 1, обучение не ведут. Программа - лишь у 19%.

Дефицит знаний порождает фобии, считает старший управляющий директор ООО "Swordfish Security" Антон Башарин. Рабочие группы при Министерстве цифрового развития (Минцифры) систематизируют угрозы и определяют, для каких задач риск высокий, а для каких минимальный.

"Даже подходящий инструмент нужно правильно встроить в процессы: определить допустимые действия агента, ограничить доступ к данным, - объяснил Николай Абрамов. - Нужны специалисты, которые понимают, где возникает риск и как его снизить".

Наличие защитного решения не означает, что компания умеет его применять, отметил Александр Могила. Средства защиты ИИ появляются быстрее, чем специалисты для работы с ними, резюмировал Дмитрий Шепелявый. Разрыв закрывают переобучение кадров и опора на OWASP и требования Федеральной службы по техническому и экспортному контролю (ФСТЭК).

Приказ ФСТЭК № 117 и методика 2026 г. определяют ориентиры для безопасности ИИ, подчеркнул исполнительный директор АРПП "Отечественный софт" Ренат Лашин. "Задача Ассоциации - помочь разработчикам освоить этот каркас", - добавил он.