MLSecOps-сканирование находит ИИ-активы в репозитории до релиза: недели ручной работы не нужны

Привычная защита кода закрывает четыре направления. SAST проверяет исходный код, SCA сторонние библиотеки, сканер секретов ищет утёкшие ключи, DAST тестирует работающее приложение. Как только в продукте появляется ИИ-компонент, эти инструменты перестают отвечать на вопрос, из чего состоит система и какие у неё дефекты. Решение предлагает материал о платформе INFERA AI.SafeCode: встроенный в неё MLSecOps-скан проверяет безопасность всего, что окружает модель машинного обучения.

ИИ-актив, по определению разработчиков, это любой артефакт в репозитории, который участвует в работе ИИ-системы. Помимо файла с весами (числами, в которых хранятся «знания» нейросети), к ним относятся:

• адаптеры, то есть небольшие надстройки для дообучения модели под задачу;
• промпты, то есть текстовые инструкции для модели;
• MCP-серверы, через которые ИИ-агент (программа, действующая от имени модели) получает инструменты;
• настройки инференса, то есть работы модели, когда она отвечает на запросы;
• обучающие данные и библиотеки машинного обучения;
• ноутбуки, то есть рабочие тетради разработчика с кодом и результатами в файлах .ipynb;
• пайплайны (цепочки автоматических шагов) и векторные хранилища (базы, где ИИ ищет документы по смыслу).

Разброс по местам хранения выглядит так: модель лежит в объектном хранилище, адаптер в соседней папке, промпт в конфиге, датасет во внешнем сервисе. Собрать такую картину вручную, по оценке авторов, займёт недели, и к моменту завершения она уже устареет. Отсюда и задача инструкции ниже, MLSecOps-сканирование: как найти все ИИ-активы в репозитории и проверить их до релиза.

Что понадобится для скана?

• Репозиторий проекта: по данным материала, для запуска нужен только он.
• Доступ к INFERA AI.SafeCode. Цены и условия подключения в материале не названы.
• Список мест, где веса лежат вне репозитория: платформа их не скачивает.
• Время на разбор находок. Сроки работы скана разработчики не называют.

Шесть шагов от репозитория до проверенного реестра

1. Запустите скан. Он детерминированный, то есть читает код и конфигурации по заданным правилам и на одном и том же коде даёт одинаковый результат. Скан наполняет реестр «ИИ-активы» и одновременно заводит находки в разделе «Уязвимости» с типом MLSEC.
2. Проверьте атрибуты в реестре. У каждого актива указаны имя и путь, тип, версия и дайджест (цифровой отпечаток файла), источник, подпись, лицензия, риск и проект. Источником может быть внутренний реестр, площадка моделей HuggingFace, объектное хранилище, файл, репозиторий или внешний сервис.
3. Найдите статус «не проверялось». Реестр различает пять состояний, и этот статус не означает «подписи нет»: проверка просто не дотянулась до файла, например до весов вне репозитория.
4. Разберите карточку актива. В ней собраны места объявления в файлах, связи и журнал изменений. Блок «Как развёрнут» показывает открытые наружу порты и метки: «аутентификация выключена», «доверие коду модели», «CORS открыт всем» (сервис принимает запросы с любых сайтов), «секрет в конфигурации».
5. Закрывайте находки по уровню риска. Шкала такая: критический, высокий, средний, низкий, справочно. Связи в реестре показывают, что заденет дефект: агент использует модель, берёт инструменты у MCP-сервера и читает из векторного хранилища.
6. Повторите скан перед релизом. Для промпта платформа хранит длину и слепок текста, поэтому следующий скан заметит, что инструкцию модели поменяли.

Скан проверяет окружение модели, вот перечень

Эндпоинт ниже означает адрес, по которому к модели обращаются. Pickle это формат Python, который при загрузке способен запустить код.

Агенты и MCP-серверы
[ ] инструмент выполняет команды оболочки
[ ] необратимое действие без подтверждения человека
[ ] ослаблены разрешения агента
[ ] инструмент ходит по произвольному адресу
[ ] скрытые указания модели в описании инструмента
[ ] не закреплена версия MCP-сервера
[ ] нет перечня разрешённых инструментов
[ ] учётные данные в описании сервера
Инференс и векторные хранилища
[ ] эндпоинт без аутентификации
[ ] доверие к коду из репозитория модели
[ ] база документов доступна без ключа
Обвязка, ноутбуки, промпты
[ ] открыты реестр моделей и оркестратор
[ ] чувствительные значения в выводе .ipynb
[ ] шаг пайплайна пишет в каталог моделей
Файлы модели
[ ] формат исполняет код при загрузке
[ ] опасные импорты в pickle

Что делать с этим прямо сейчас, по ролям

Руководителю ИБ. Различие «проверили» и «не дошли» даёт честную картину для внутреннего аудита. Начните со строк со статусом «не проверялось».

Разработчику. Если продукт подключён к YandexGPT или GigaChat по API, проверьте, не лежит ли ключ в файле развёртывания: такие места сканер помечает меткой «секрет в конфигурации».

Предпринимателю в РФ и СНГ. Поля «лицензия», «лицензионный риск» и «откуда лицензия» показывают ещё до релиза, на каких условиях взяты открытые модели. Внутренний реестр моделей учитывается как отдельный источник.

Автору Дзена и маркетологу. Заказываете чат-бота у подрядчика? Спросите, есть ли у него реестр ИИ-активов и сколько позиций в статусе «не проверялось».

Начните с одного репозитория, где уже есть агент: первый же реестр покажет, сколько ИИ в продукте никто не объявлял.