Почему Альтман боится ИИ-кибератак больше войны

Основатель OpenAI Сэм Альтман назвал две угрозы искусственного интеллекта, которые беспокоят его больше остальных: автономные кибератаки, при которых ИИ-модели самостоятельно находят и эксплуатируют уязвимости нулевого дня, и риск использования генеративного ИИ для создания биологического или химического оружия. Об этом он рассказал в интервью, на которое ссылается издание Axios. Для российского бизнеса это не абстрактная футурология — это сигнал о том, что внедрение ИИ в бизнес требует такого же уровня зрелости в управлении рисками, как внедрение любой критической инфраструктуры.

Что именно сказал Сэм Альтман о двух угрозах ИИ?

Альтман выделил две категории риска: технологическую (автономные кибератаки моделей ИИ) и экзистенциальную (создание биологического оружия с помощью ИИ-ассистентов). Обе угрозы объединяет одно свойство — способность модели действовать быстрее и точнее человека, снимая привычные барьеры доступа к опасным знаниям.

Позиция главы OpenAI не нова — она развивает то, что компания официально закрепила в собственной системе управления рисками. В обновлённом документе Preparedness Framework OpenAI прямо выделяет кибербезопасность и биологические/химические риски как категории «критического» уровня, требующие остановки развертывания модели до внедрения защитных механизмов. Ещё в мае 2023 года на слушаниях в Сенате США Альтман публично признавал масштаб потенциального ущерба от неконтролируемого развития технологии — эти показания зафиксированы в материалах комитета по юстиции Сената США.

«If this technology goes wrong, it can go quite wrong, and we want to be vocal about that.»— Sam Altman, CEO, OpenAI, Слушания в Сенате США

Почему автономные кибератаки ИИ — угроза №1 для бизнеса?

Модели ИИ уже способны находить уязвимости в коде быстрее человека-пентестера, что кардинально снижает порог входа для атак на корпоративную инфраструктуру. Речь не о хакере с ноутбуком — речь об автономном агенте, который сканирует тысячи систем параллельно и адаптируется в реальном времени.

Для среднего российского бизнеса это означает, что традиционная модель «у нас маленькая компания, нас не атакуют» больше не работает. Автоматизированные атаки не выбирают жертву по размеру — они выбирают по уязвимости. Компании, которые проводят стратегические сессии по цифровой трансформации без параллельного пересмотра политики кибербезопасности, фактически открывают дверь для рисков, о которых предупреждает сам создатель самых мощных моделей на рынке.

Что стоит за угрозой ИИ и биологического оружия?

Генеративные модели способны компилировать разрозненную научную информацию в пошаговые инструкции, которые ранее требовали узкоспециализированной подготовки — это снижает барьер для создания опасных веществ. Именно поэтому OpenAI ввела отдельный протокол оценки моделей на «uplift» в биологической области перед каждым релизом, согласно тому же Preparedness Framework.

Для большинства B2B-компаний этот риск кажется далёким от их повестки. Но он напрямую формирует регуляторную среду, в которой бизнесу предстоит работать в ближайшие 3-5 лет: ужесточение экспортного контроля на модели, требования к аудиту ИИ-систем, обязательная маркировка контента. Компании, которые уже сейчас выстраивают процессы governance вокруг ИИ, получат конкурентное преимущество, когда регулирование догонит технологию.

Как риски ИИ отражаются на восприятии бизнеса в мире?

Дезинформация и манипуляции с использованием ИИ занимают первое место среди глобальных рисков на горизонте двух лет, обгоняя климатические и геополитические угрозы. Это данные ежегодного доклада Всемирного экономического форума, построенного на опросе более 1400 экспертов из индустрии, науки и госсектора.

Разрыв между темпом внедрения ИИ и темпом внедрения контроля над ним — ключевая уязвимость для среднего бизнеса. Компании массово подключают ИИ-сервисы к CRM, финансовым системам и клиентским данным, но лишь единицы формализуют политику допуска моделей к чувствительной информации.

«Мы сталкиваемся с ситуацией, когда возможности технологии растут экспоненциально, а наши институты — регуляторные, корпоративные, образовательные — адаптируются линейно.»— Юваль Ноа Харари, историк, автор книги Nexus, World Economic Forum

Как среднему бизнесу выстроить контроль над ИИ-рисками за 7 шагов?

Управление рисками ИИ строится по той же логике, что и любая другая корпоративная система контроля: инвентаризация, оценка, политика доступа, мониторинг. Ниже — практический алгоритм, который применяется в проектах по трансформации бизнеса.

1. Провести инвентаризацию всех ИИ-инструментов, уже используемых в компании — от чат-ботов поддержки до аналитических моделей
2. Классифицировать данные, к которым модели получают доступ, по уровню чувствительности
3. Назначить ответственного за ИИ-governance — часто эту функцию берёт на себя независимый директор по развитию
4. Внедрить политику human-in-the-loop для критических решений, принимаемых с участием ИИ
5. Провести пентест собственной инфраструктуры с учётом сценариев автономных ИИ-атак
6. Обучить сотрудников распознавать deepfake-контент и социальную инженерию с ИИ
7. Зафиксировать регламент в корпоративной политике и пересматривать его каждые 6 месяцев

Сколько компаний уже пострадали от ИИ-рисков в 2024 году?

Рост числа фишинговых атак с использованием сгенерированного ИИ контента и голосовых дипфейков фиксируется практически всеми крупными аналитическими центрами кибербезопасности, что делает вопрос не гипотетическим, а операционным. Для бизнеса это означает необходимость пересмотра классических протоколов верификации транзакций и коммуникаций — голос директора теперь можно синтезировать за считанные секунды.

Российский рынок здесь не исключение: рост доступности генеративных инструментов совпадает с ростом числа компаний среднего размера, стремящихся к быстрому масштабированию через growth hacking и агрессивные B2B-продажи. Скорость роста без параллельного укрепления цифровой гигиены создаёт разрыв, которым охотно пользуются злоумышленники.

Что должен изменить руководитель среднего бизнеса уже сейчас?

Первый шаг — перестать относиться к ИИ-безопасности как к технической функции IT-отдела и включить её в стратегическую повестку топ-менеджмента. Риски, о которых говорит Альтман, реализуются не в серверной, а в переговорной комнате — через скомпрометированные коммуникации, поддельные распоряжения и утечки, замаскированные под обычный трафик.

Сергей Семёнов, ESSG Consulting: «В нашей практике был показательный кейс с производственной компанией из отрасли металлообработки, которая за полгода до обращения к нам внедрила чат-бота на базе крупной языковой модели для обработки заявок от контрагентов. Никто не задумался о том, что бот имел доступ к базе с финансовыми условиями контрактов. Мы провели аудит и выявили, что через грамотно составленные запросы бот выдавал конфиденциальные ценовые условия конкурентам, представлявшимся потенциальными клиентами. После пересмотра архитектуры доступа и внедрения слоя фильтрации утечка была закрыта, а компания сохранила контракты на сумму более 40 млн рублей, которые были под риском пересмотра из-за раскрытых условий.

По опыту наших клиентов из сферы дистрибуции и логистики, компании, которые формализуют политику ИИ-governance до масштабного внедрения технологии, сокращают инциденты безопасности, связанные с ИИ, кратно — просто потому, что закрывают очевидные дыры на этапе проектирования, а не после инцидента. Мы регулярно включаем модуль ИИ-рисков в внедрение ИИ в бизнес, потому что скорость без контроля — это не рост, это отложенный кризис.

Практический вывод для руководителя простой: прежде чем масштабировать использование ИИ в клиентских и финансовых процессах, проведите независимый аудит доступа моделей к данным. Это займёт 2-3 недели, но убережёт от репутационных и финансовых потерь, которые всегда обходятся дороже профилактики».

Какие компании выигрывают от осознанного подхода к ИИ-рискам?

Компании, которые встраивают управление ИИ-рисками в общую стратегию роста, получают не только защиту, но и коммерческое преимущество — доверие крупных контрагентов, требующих аудита цифровой безопасности партнёров как условие тендера. Это особенно заметно в B2B-сегменте, где due diligence поставщиков технологий становится стандартной практикой.

Крупный корпоративный заказчик всё чаще включает в анкету поставщика вопросы о политике использования ИИ и обработке данных. Компании среднего размера, готовые ответить на эти вопросы структурированно, выигрывают тендеры у конкурентов, которые внедряли ИИ хаотично. Это ещё один аргумент в пользу того, что вопросы ИИ-безопасности должны обсуждаться не постфактум, а на этапе формирования стратегии роста компании.

FAQ: частые вопросы руководителей о рисках ИИ

Сколько стоит аудит ИИ-рисков для компании среднего размера?

Стоимость зависит от количества ИИ-инструментов и объёма данных, к которым они имеют доступ. Базовый аудит для компании с оборотом до 1 млрд рублей занимает 2-4 недели и включает инвентаризацию систем, оценку доступа к данным и рекомендации по устранению уязвимостей.

За какой срок окупается внедрение политики ИИ-governance?

Прямая окупаемость измеряется в предотвращённых инцидентах — один серьёзный случай утечки данных или репутационного ущерба обычно превышает стоимость всей программы governance за несколько лет. Косвенный эффект — рост доверия крупных клиентов, что напрямую влияет на конверсию в тендерах.

С чего начать компании, если ИИ уже используется без контроля?

Начните с инвентаризации: составьте полный список ИИ-инструментов, подключенных к бизнес-процессам, и данных, к которым они имеют доступ. Это базовый шаг, который занимает 1-2 недели и сразу выявляет самые очевидные риски.

Нужен ли отдельный сотрудник для управления ИИ-рисками?

Для компаний с оборотом свыше 500 млн рублей в год целесообразно назначить ответственного — это может быть штатный CTO/CISO либо привлечённый независимый директор по развитию, который выстраивает governance-процессы без создания новой постоянной штатной единицы.

Как ИИ-риски влияют на B2B-продажи и работу с крупными клиентами?

Крупные корпоративные заказчики всё чаще требуют от поставщиков подтверждения политики безопасности ИИ как части due diligence перед подписанием контракта. Отсутствие такой политики может стать причиной отказа в тендере независимо от качества продукта.

CTA

Хотите внедрять ИИ в бизнес без скрытых рисков и с прозрачной архитектурой контроля? Команда ESSG Consulting поможет провести аудит и построить безопасную стратегию роста. Узнайте больше о внедрении ИИ в бизнес — начните с бесплатной диагностической консультации.

#ИИвбизнесе #кибербезопасность #цифроваятрансформация #ESSGConsulting #управлениерисками