В банке данных угроз безопасности информации ФСТЭК России (БДУ) есть отдельный подраздел «Угрозы безопасности информации систем искусственного интеллекта» (bdu.fstec.ru/threat/ai). Он делит угрозы на две группы — в инфраструктуре разработчика и в инфраструктуре оператора — и перечисляет способы их реализации: от отравления обучающих данных до специальных запросов через RAG и изменения системного промпта агента. Прежние отдельные угрозы УБИ.218–222 помечены как утратившие актуальность в связи с появлением подраздела.
Коротко
- Где: подраздел БДУ «Угрозы безопасности информации систем искусственного интеллекта», bdu.fstec.ru/threat/ai.
- Две группы: инфраструктура разработчика (3 угрозы, 6 способов реализации) и инфраструктура оператора (4 угрозы, 7 способов реализации).
- Агенты названы прямо: среди объектов оценки у оператора — агенты ИИ, API-интерфейсы и системы цензуры (фильтрации входных и выходных данных).
- Чего нет: угрозы, связанные с качеством моделей, подраздел не рассматривает — ошибка агента без нарушителя в нём не описана.
- Как применять: оценивать по Методике оценки угроз безопасности информации ФСТЭК России от 05.02.2021, а негативные последствия для приказа № 117 определять на основе БДУ.
Что такое БДУ ФСТЭК?
Банк данных угроз безопасности информации — открытый реестр угроз и уязвимостей, который ведёт ФАУ «ГНИИИ ПТЗИ ФСТЭК России». На 14.10.2026 в нём 227 угроз и 97 562 уязвимости. Операторы государственных систем опираются на него при моделировании угроз: по п. 11 Требований, утверждённых приказом ФСТЭК № 117, негативные последствия определяются оператором на основе информации из банка данных угроз.
Какие угрозы ИИ внесены в БДУ?
Подраздел рассматривает угрозы конфиденциальности, целостности и доступности информации в системе ИИ, которые создают внешние и внутренние нарушители. Угрозы самих компьютеров, серверов, сетей и системного ПО оцениваются по общему банку; в подразделе — только специфичные для ИИ.
Инфраструктура разработчика (разработка и обучение модели). Объекты: ПО разработчика с фреймворками и библиотеками; среда разработки API-интерфейсов, агентов и систем цензуры; входная модель; наборы обучающих данных; выходная модель и её веса. Угрозы:
- утечка конфиденциальной информации из инфраструктуры разработчика — например, из обучающих данных или о параметрах обучения;
- несанкционированное копирование (кража) модели;
- нарушение функционирования (искажение поведения) обучаемой модели.
| Способ | Как реализуется у разработчика |
|---|---|
| СП.1 | Уязвимости и недекларированные возможности ПО разработчика, фреймворков, библиотек |
| СП.2 | Уязвимости и недекларированные возможности входной модели |
| СП.3 | Недостатки наборов обучающих данных |
| СП.4 | Несанкционированная модификация ПО или конфигурации среды разработки |
| СП.5 | Несанкционированная модификация (отравление) обучающих данных |
| СП.6 | Несанкционированная модификация весов модели, LoRA и данных RAG |
Инфраструктура оператора (эксплуатация). Объекты: ПО оператора, агенты ИИ, API-интерфейсы, системы цензуры; вспомогательное ПО, включая средства защиты и автоматизации; обученная модель и её расширения (LoRA, RAG). Угрозы:
- утечка конфиденциальной информации из системы ИИ — модели, RAG, LoRA, системного промпта, агента;
- несанкционированное копирование (кража) модели;
- нарушение функционирования системы ИИ;
- отказ в обслуживании системы ИИ.
| Способ | Как реализуется у оператора |
|---|---|
| СП.1 | Большое количество запросов к интерфейсам — отказ в обслуживании |
| СП.2 | Специальные запросы, в том числе через RAG или внешние источники дополнения запросов, — получение конфиденциальной информации или нарушение работы |
| СП.3 | Запросы, выявляющие недостатки модели, — состязательная атака |
| СП.4 | Изменение весов модели |
| СП.5 | Изменение конфигураций модели и агентов, например системного промпта |
| СП.6 | Массовые запросы для обучения другой модели — кража модели |
| СП.7 | Исчерпание квоты обращений (токенов) пользователя — отказ в обслуживании |
Если оператор сам дообучает модель, обучает её непрерывно, создаёт LoRA или данные RAG, он должен учитывать и угрозы инфраструктуры разработчика.
Что стало с угрозами УБИ.218–222?
До подраздела угрозы ИИ были отдельными позициями общего списка. Сейчас в карточке каждой из них указано, что сведения об угрозе утратили актуальность в связи с опубликованием подраздела «Угрозы безопасности информации систем искусственного интеллекта»; в ленте изменений БДУ эти карточки отмечены датой 19.12.2025.
| Номер | Название |
|---|---|
| УБИ.218 | Угроза раскрытия информации о модели машинного обучения |
| УБИ.219 | Угроза хищения обучающих данных |
| УБИ.220 | Угроза нарушения функционирования («обхода») средств, реализующих технологии искусственного интеллекта |
| УБИ.221 | Угроза модификации модели машинного обучения путём искажения («отравления») обучающих данных |
| УБИ.222 | Угроза подмены модели машинного обучения |
Модель угроз, в которой ИИ описан только этими пятью номерами, стоит пересмотреть по подразделу.
Что в подразделе относится к ИИ-агентам?
- Агенты — объект оценки. У оператора агенты ИИ перечислены рядом с моделью и API-интерфейсами; у разработчика — среда разработки агентов.
- Утечка через агента: в перечне источников конфиденциальной информации — системный промпт и сам агент.
- Специальные запросы через RAG и внешние источники (СП.2) — по сути промпт-инъекция, прямая и непрямая.
- Изменение конфигурации агента (СП.5) — например, подмена системного промпта.
- Системы цензуры — фильтры входных и выходных данных, то есть guardrails, — тоже объект оценки, а не только средство защиты.
Чего в подразделе нет: угроз, связанных с качеством моделей. Агент, который без всякого нарушителя удалил данные или провёл ошибочный платёж, — не угроза в смысле подраздела. Такие действия закрываются не моделью угроз, а правилами для агента и проверкой каждого действия до исполнения — см. ИБ 3.0.
Как учесть угрозы ИИ в модели угроз?
Подраздел требует, чтобы разработчик и оператор оценивали угрозы и применимые способы их реализации с учётом:
- инфраструктуры, где работает система ИИ: собственная, у провайдера услуг или через API;
- уровня значимости обрабатываемой информации — информация ограниченного доступа, персональные данные;
- функциональности системы: сама модель, агенты, дополнительное обучение;
- разделения ответственности между разработчиком, оператором и провайдером вычислительных услуг.
Оценка проводится по Методике оценки угроз безопасности информации, утверждённой ФСТЭК России 5 февраля 2021 года, и служит для выбора мер защиты. Для государственных систем эти меры затем сверяются с пп. 60–61 приказа № 117 и с проектом изменений об ИИ-агентах.
Что с этим делать
- Открыть подраздел bdu.fstec.ru/threat/ai и сверить с ним действующую модель угроз.
- Заменить ссылки на УБИ.218–222 угрозами и способами реализации подраздела.
- Определить, кто вы для системы ИИ — разработчик, оператор или оба (если дообучаете модель или ведёте RAG).
- Включить агентов в перечень объектов: их конфигурации, системные промпты, инструменты и права.
- Отдельно описать недопустимые действия агентов, которые подраздел не покрывает: удаление, платежи, выгрузку данных, — и правила, по которым они проверяются.
Частые вопросы (FAQ)
Есть ли в БДУ ФСТЭК угрозы для искусственного интеллекта?
Да. В БДУ есть подраздел «Угрозы безопасности информации систем искусственного интеллекта» (bdu.fstec.ru/threat/ai). Он описывает три угрозы в инфраструктуре разработчика и четыре в инфраструктуре оператора, а также 6 и 7 способов их реализации соответственно.
Какие номера УБИ относятся к ИИ?
Раньше это были УБИ.218–222: раскрытие информации о модели, хищение обучающих данных, «обход» средств ИИ, отравление обучающих данных и подмена модели. Сейчас в их карточках указано, что сведения утратили актуальность в связи с публикацией подраздела об угрозах систем ИИ.
Учитывает ли БДУ ФСТЭК ИИ-агентов?
Да. Агенты ИИ названы среди объектов оценки в инфраструктуре оператора, системный промпт и агент — среди источников утечки, а изменение конфигурации агента — среди способов реализации угроз (СП.5).
Как моделировать угрозы ИИ по методике ФСТЭК?
По Методике оценки угроз безопасности информации ФСТЭК России от 05.02.2021 с учётом подраздела об угрозах ИИ: определить инфраструктуру, значимость информации, функциональность системы (модель, агенты, дообучение) и разделение ответственности между разработчиком, оператором и провайдером.
Покрывает ли БДУ ошибки ИИ-агента?
Нет. Подраздел прямо исключает угрозы, связанные с качеством моделей, и рассматривает действия нарушителей. Ошибочные действия агента без нарушителя нужно закрывать правилами и проверкой действий до исполнения.
Источники
- ФСТЭК России, Банк данных угроз безопасности информации, подраздел «Угрозы безопасности информации систем искусственного интеллекта»: https://bdu.fstec.ru/threat/ai
- Карточки угроз УБИ.218–222: https://bdu.fstec.ru/threat/ubi.218 … https://bdu.fstec.ru/threat/ubi.222
- Приказ ФСТЭК России от 11.04.2025 № 117 (ред. от 08.05.2026), п. 11: http://publication.pravo.gov.ru/document/0001202506170011
Проверено: 16.10.2026