20 февраля эксперты AppSec Solutions приняли участие в международном форуме «Технологии и безопасность», посвященному выработке практических решений в сфере цифровой трансформации, технологий безопасности и обеспечению промышленного и технологического суверенитета России.
Константин Крючков, руководитель продукта AppSec.Track, и Михаил Черешнев, исследователь безопасности ИИ AppSec Solutions, представили доклад «Supply Chain Security в эпоху ИИ». Спикеры показали, как искусственный интеллект формирует новый контур цепочки поставок ПО и почему контроль моделей и данных становится таким же обязательным, как контроль исходного кода.
«ИИ переписал правила игры: создать прототип приложения можно за считанные часы, а злоумышленники получили новые возможности для автоматизации атак и разработки вредоносного ПО. Модели ИИ — это полноценные артефакты разработки, как код или сторонние компоненты, которые активно внедряются в продукты. Без прозрачности и контроля невозможно гарантировать, что такие модели заслуживают доверия и безопасны для использования», — отметил Константин Крючков.
Сегодня в продукте появляются новые элементы цепочки поставок: модели, датасеты, веса, промпты и ИИ-агенты. Модель становится самостоятельным артефактом разработки, а агент — новым узлом инфраструктуры. Это требует расширения подходов к управлению рисками и прозрачности процессов.
Эксперты подчеркнули, что традиционные инструменты SCA и SBOM пока не рассматривают AI-артефакты как полноценные объекты учета. Датасеты, модельные веса и промпты часто не включаются в инвентаризацию, из-за чего формируется зона неконтролируемых рисков. Существующие подходы к учету компонентов требуют доработки с учетом специфики AI. Комплексная инвентаризация моделей и данных, их происхождения и зависимостей становится ключевым условием построения управляемой и прозрачной цепочки поставок.
«AI-BOM — это логичный следующий шаг в развитии практик учета компонентов. Он позволяет зафиксировать состав модели, источники данных, зависимости и параметры обучения, обеспечивая прозрачность и прослеживаемость всего контура искусственного интеллекта», — подчеркнул Михаил Черешнев.
Также эксперты продемонстрировали возможности AppSec.Track, платформы для управления безопасностью цепочки поставок, обеспечивающую контроль open source-компонентов, проверку лицензий, обнаружение уязвимостей и вредоносных компонентов, и AppSec.GenAI, инструмента для анализа защищенности ИИ-моделей.