Согласно исследованию Ernst & Young (EY), примерно половина организаций уже испытала негативное воздействие уязвимостей в своих системах искусственного интеллекта.
В то же время лишь 14 % генеральных директоров уверены, что их ИИ-системы надёжно защищают конфиденциальные данные.
Кроме того, компании используют в среднем 47 различных средств киберзащиты, что создаёт фрагментированную «броню», которой трудно управлять.
Для компаний с высокой степенью цифровизации, в том числе в нефтегазовой, инженерной и энергетической сфере — эта тема становится стратегическим риском.
Ключевые показатели и тенденции
Ниже — таблица с основными цифрами и трендами, а также дополнительные актуальные данные.
| Показатель | Значение | Комментарий |
|---|---|---|
| Доля организаций, пострадавших от уязвимостей ИИ | ~50 % | Оценка EY. |
| CEOs, доверяющие безопасности ИИ-систем | 14 % | Критически низкий уровень уверенности. |
| Среднее число используемых средств безопасности | 47 | Высокая фрагментация защити. |
| Рост фишинга с голосовыми атаками (vishing) | +442 % во 2-й половине 2024 | По данным CrowdStrike, цитируемым в отчёте EY. |
| Среднее время «прорыва» (breakout time) после компрометации | ~ 48 мин (2024) → ~ 18 мин (средина 2025) | Значительное ускорение атак. |
Дополнительные цифры, заслуживающие внимания:
- 68 % организаций позволяют сотрудникам разрабатывать или запускать ИИ-агентов без утверждения на высоком уровне.
- 60 % организаций имеют формальные руководства по использованию ИИ-агентов.
Почему это особенно важно для вашего бизнеса
Исходя из вашего опыта в нефтегазовой отрасли, инженерных проектах, M&A и цифровой трансформации, следующие аспекты заслуживают особого внимания:
- Высокая привлекательность целей: Компании, работающие с критическими активами (например, добыча, переработка, цифровые решения) представляют собой особенно интересную мишень для атак ИИ-инструментов.
- Расширение поверхности атаки: При переходе на облачные платформы, IoT/IIoT, цифровое управление (что типично для digital oilfield) растут возможности для злоупотреблений.
- Интеграции и M&A: При поглощениях и слияниях часто возникают «тёмные зоны» безопасности — новые ИИ-инструменты могут быть развёрнуты без достаточной проверки.
- Операционные и репутационные риски: В случае успешной атаки воздействие на бизнес выходит далеко за рамки ransom-запроса — сбои, нарушение цепочек поставок, раскрытие данных, регуляторные последствия.
- Управленческая перспектива: Учитывая быстрое развитие угроз, защита ИИ-среды должна быть не только задачей IT-подразделения, но стратегическим направлением C-suite и совета директоров.
Практическая рамка для повышения устойчивости
1. Укрепление и профилактика
- Внедрение Zero Trust-модели — минимизация доверия по умолчанию.
- Обеспечение защиты данных, используемых при тренировке ИИ-моделей: контроль за тем, что попадает в датасеты, и что модели не становятся источником утечек.
- Аудит поставщиков ИИ-решений и цепочек поставок: интеграция безопасности ИИ-инструментов на ранних стадиях разработки.
- Централизованное управление инструментами и уменьшение фрагментации защиты (средств ~47).
2. Обнаружение и быстрая реакция
- Использование аналитики поведения (Behavioural Analytics) и ИИ-инструментов для обнаружения аномалий.
- Проведение упражнений и сценариев «атаки на ИИ» — как в таблице выше указывают данные о росте скорости прорыва (breakout) от 1 часа до 18 минут.
- Подготовка и тестирование плана инцидент-реагирования, включая ИИ-угрозы.
3. Управление и корпоративное руководство
- Выделение ответственности за ИИ-безопасность на уровне руководства.
- Формирование политики и контроля над ИИ-агентами: как показано выше, 68 % организаций позволяют сотрудникам запускать ИИ-агентов без утверждения.
- Интеграция ИИ-рисков в общий риск-менеджмент, обеспечение прозрачности для совета директоров и инвесторов.
Таблица: ключевые рекомендации от EY
| Этап | Рекомендации |
|---|---|
| Разработка и внедрение ИИ | Встроить безопасность на всех этапах жизненного цикла ИИ-решения. |
| Поставщики и цепочка | Гарантировать целостность и безопасность данных, моделей и поставщиков ИИ-инструментов. |
| Контроль доступа и использование ИИ | Утверждение политики по ИИ-агентам, ограничение несанкционированного использования. |
| Обнаружение и реагирование | Пересмотреть программы обнаружения угроз с учётом повышения скорости атак («breakout time» до 18 мин). |
| Приоритеты инвестиций | Сфокусироваться на «очевидной ценности» — т.е. тех областях, где ИИ-риск наиболее ощутим и вероятен. |
Заключение
Искусственный интеллект открывает новые возможности для бизнеса — но одновременно создаёт мощные точки уязвимости. Отчёт EY ясно показывает: уязвимости ИИ-систем уже затронули около половины организаций, а лидер-уровень (CEOs) почти не уверен в защите данных ИИ.
Для компаний с критическими операциями, высоким уровнем цифровизации и интеграцией ИИ-решений (в том числе в нефтегазовой сфере) это означает: время для реакции — сейчас. Успешная стратегия безопасности ИИ должна быть холистичной, охватывать технологии, людей, процессы и корпоративное управление.