Совместное исследование группы компаний «Солар» и системного интегратора УЦСБ выявило парадокс: хотя 80% компаний уже разрешают использование генеративного ИИ при разработке ПО, 40% респондентов оценивают связанные с этим риски безопасности как критичные. В опросе приняли участие 102 компании из телекоммуникационной, промышленной, финансовой, государственной и других отраслей.
Из тех, кто внедряет ИИ, половина (50,5%) предпочитает контролируемый формат — только сервисы внутри собственного контура (on-premise) с соблюдением требований информационной безопасности. Однако 32,2% организаций вообще не контролируют использование ИИ, что создаёт дополнительные риски. На этом фоне 86,9% компаний положительно оценивают перспективу внедрения закрытых корпоративных больших языковых моделей (LLM) для триажа уязвимостей, автоматического исправления кода и анализа безопасности. Из них 25,3% считают такой шаг необходимым уже сейчас, а 61,6% готовы к нему при подтверждении эффективности и защищённости решения.
«Бизнес готов инвестировать в закрытые LLM, но поставить модель внутри ИТ-периметра недостаточно. В приоритете — безопасность на уровне процессов: чёткие политики, автоматические проверки кода и регулярное обучение команд, — отметил Евгений Тодышев, руководитель направления безопасной разработки в УЦСБ. — Без постоянной подпитки свежими данными об уязвимостях закрытая LLM не сможет распознавать новые типы атак».
Использование публичных LLM и ML-моделей для поиска вредоносного кода сопряжено с иными рисками: утечка данных, накопление уязвимостей в коде, созданном ИИ, поверхностный анализ. По данным руководителя отдела развития бизнеса ПО Solar appScreener Владимира Высоцкого, на этапе триажа публичные LLM-модели пропускают от 40 до 50% уязвимостей. Кроме того, они не справляются с анализом проектов на сотни тысяч строк кода. Исследования «Солара» показывают, что в 75–80% массовых цифровых сервисов уже содержатся критические уязвимости, способные привести к утечкам данных.
Участники исследования выделили три направления, требующих дополнительных инвестиций: специализированные LLM для задач разработки и AppSec (45,5%), построение процессов безопасной разработки и эксплуатации моделей (MLSecOps) — 39,4%, а также аудит безопасности, red teaming и пентест ИИ-систем (37,4%). Это указывает на смещение фокуса рынка от простого внедрения ИИ к обеспечению управляемой и безопасной модели его использования. Насколько быстро компании смогут перестроить процессы и какие риски останутся в переходный период — пока остаётся открытым вопросом.
