Факт обращения
Кто-то в сети сходил к ИИ-сервису. Это видно по DNS и журналам прокси — дёшево и быстро.
Безопасность ИИ · открытые материалы
Shadow AI: как найти теневой ИИ в компании
Shadow AI — это ИИ-сервисы, модели, агенты и интеграции, которыми сотрудники пользуются без согласования, а часто и без ведома компании. Сотрудник открывает чат в браузере, ставит ИИ-помощника в редактор кода, добавляет расширение, вызывает модель по API или подключает незнакомый MCP-сервер. Приказ о запрете это не отменяет — он только уводит происходящее из поля зрения.
Что здесь сложного
Увидеть соединение легко. Понять, что именно ушло, — нет
Три задачи выглядят как одна, но решаются разными средствами и стоят разных денег.
Кто и чем
Событие нужно связать с человеком, устройством и процессом. Уже требует агента на рабочей станции или разбора TLS.
Что именно ушло
Самое ценное и самое дорогое. Без разбора содержимого «сотрудник пользовался ИИ» для расследования почти бесполезно.
Полностью увидеть все обращения нельзя: телефон с мобильным интернетом не проходит через ваши средства защиты. Цель — не тотальный контроль, а понятная картина по управляемым устройствам и каналам.
Где искать
Семь источников данных и слепая зона каждого
По отдельности не спасает ни один. Работает сложение: то, что пропустил один слой, обычно видит соседний.
01
DNS
Журналы корпоративных DNS-серверов и Secure DNS: обращения к доменам известных ИИ-сервисов и провайдеров моделей. Самый дешёвый способ получить первый список за один день.
Слепая зона: DoH и DNS в обход корпоративного резолвера. Содержимое запроса не виден вовсе — только сам факт обращения.
02
NGFW с разбором TLS
Видно приложение, учётную запись и содержимое запроса: не «адрес сходил к сервису», а «Иванов из браузера отправил фрагмент внутреннего документа».
Слепая зона: закреплённые сертификаты, личные устройства, трафик мимо периметра.
03
SWG и CASB
Отвечают на вопрос «какими SaaS- и ИИ-приложениями пользуется организация» списком приложений, а не доменов, и дают статус каждому.
Слепая зона: сенсор видит только тот трафик, который через него проходит.
04
DLP на рабочей станции
Смотрит не только куда идёт трафик, но и откуда берутся данные: копирование из репозитория в буфер обмена, а оттуда в окно браузера.
Слепая зона: пересказ своими словами, скриншот, диктовка голосом.
05
Ключи и репозитории
Shadow AI, который вообще не открывает браузер: ключ провайдера модели в приватном репозитории, а через час — вызовы из сборочного конвейера.
Слепая зона: ключ, который живёт только на ноутбуке разработчика.
06
Финансы
Неожиданно хороший детектор: выписки по корпоративным картам и счета за подписки показывают отделы, которые оплатили ИИ-сервисы сами. Запрашивается у финансовой службы, а не техническими средствами.
Слепая зона: бесплатные тарифы и личные карты сотрудников.
07
NDR и NTA
Второй эшелон: отвечает на вопрос «что необычного происходит в сети», ловит нетипичные объёмы и направления.
Слепая зона: не отвечает на главный вопрос — какой пользователь и какой процесс передал какие данные.
Каждый слой с командами, примерами событий и тем, что именно настраивать, — в статье «Как находить Shadow AI».
Как это собрать
Слой 1
Слой 2
Слой 3
Слой 4
Четыре слоя наблюдения вместо одного запрета
Discovery
Какие ИИ-приложения, API, модели, MCP-серверы и агенты вообще есть в инфраструктуре. Источники: DNS, прокси, NGFW, рабочие станции, SaaS-discovery.
Привязка к человеку
Событие связывается с учётной записью, устройством и процессом. Не «адрес обратился к API», а «Иванов, ноутбук, редактор кода, API провайдера модели».
Содержимое
Что именно передано. «Иванов пользовался ИИ» для SOC почти бесполезно; «37 совпадений с исходным кодом проекта» — уже инцидент.
Статус сервиса
Каждый найденный сервис получает статус, и только после этого решается, что с ним делать: разрешить, ограничить классы данных или закрыть.
разрешёнтерпимограничензапрещённеизвестен
Что дальше
Список собран. Дальше начинается работа
Реестр AI-BOM
Что запущено, кто владелец, какие данные используются, какие инструменты и права доступны агенту.
Права агентов
Найденный ИИ-агент опаснее найденного чата: у него есть руки. Дальше — наименьшие привилегии, изоляция и перехват вызовов инструментов до исполнения.
Безопасность ИИ-агентов: раздел целиком →
Контроль действий агентов →
Правила для людей
Регламент, который говорит, что можно отправлять в ИИ, а что нельзя, и куда идти за разрешённым инструментом.
Частые вопросы
Что спрашивают про теневой ИИ
Не проще ли просто заблокировать ИИ-сервисы
Заблокируете один сервис — сотрудник перейдёт на другой, заблокируете десяток — на расширение браузера или личный телефон. Нейросетями продолжат пользоваться, только вы этого больше не увидите. Порядок нужен обратный: сначала увидеть, потом дать разрешённый инструмент и только после этого закрывать то, что осталось.
Можно ли обойтись одним DNS
Как первый шаг — да, за день получите список сервисов. Но DNS не показывает ни человека, ни содержимое, а при DoH перестаёт показывать и сам факт обращения. Это вход в тему, а не решение.
Чем Shadow AI отличается от Shadow IT
Масштабом ущерба от одного действия. Несогласованное файловое хранилище — это утечка того, что туда положили. Несогласованный ИИ-агент с правами на рабочей станции сам читает файлы, вызывает команды и ходит в сеть, а инструкцию для него может подложить посторонний в тексте письма или заявки.
С чего начать, если ничего не настроено
С инвентаризации инструментами, а не опросом: журналы DNS и прокси, установленные пакеты и расширения, ключи в репозиториях, счета за подписки. Результат складывается в реестр, и уже по нему пишется политика.
Разобрать вашу ситуацию
Помогу собрать картину и написать правила
Инвентаризация ИИ-сервисов и агентов, статус каждому, регламент для сотрудников и обучение команды. Начнём с короткого разговора о том, что у вас уже есть.