← Блог · 24 августа 2026 г.

OpenAI: ИИ-атаки стали рутиной — как защитить бизнес

Директор по информационной безопасности OpenAI публично заявил: атаки с использованием искусственного интеллекта перестают быть экзотикой и становятся рутинной операционной практикой злоумышленников. Для российского бизнеса это не абстрактная угроза из другой юрисдикции — это сигнал к пересмотру подхода к кибербезопасности уже в 2025 году, пока внедрение ИИ в защитные процессы не стало догоняющей мерой.

Что означает заявление OpenAI о рутинных кибератаках с ИИ?

Рутинная AI-атака — это кибератака, где генеративный искусственный интеллект автоматизирует разведку, написание фишинговых писем, генерацию вредоносного кода или создание дипфейков голоса и видео, снижая затраты злоумышленника в разы. Речь не о единичных экспериментах хакеров-энтузиастов, а о промышленном масштабировании атак: то, что раньше требовало команды из нескольких специалистов и недель подготовки, сегодня выполняется одним оператором с доступом к языковой модели за считанные часы.

Именно об этом предупреждает представитель OpenAI: компания официально зафиксировала и заблокировала более двух десятков скоординированных операций, где акторы из разных стран пытались использовать её модели для написания malware-скриптов, автоматизации фишинговых кампаний и обхода модерации (OpenAI, «Disrupting malicious uses of AI»). Это первый случай, когда крупный разработчик ИИ публично и системно раскрывает масштаб злоупотреблений собственной технологией.

"Мы наблюдаем, как использование ИИ для разведки, социальной инженерии и написания эксплойтов переходит из категории редких инцидентов в категорию повседневной практики злоумышленников"— Дэйн Стаки, директор по информационной безопасности, OpenAI, OpenAI

Сколько теряет бизнес от кибератак с применением ИИ в 2025 году?

Средняя стоимость одной утечки данных в мире составила $4,88 млн в 2024 году — на 10% выше показателя предыдущего периода, а компании, где атаку не смогли обнаружить сразу, теряли в среднем на 1,76 млн долларов больше. Эти данные приводятся в ежегодном отчёте IBM, который остаётся одним из самых цитируемых индикаторов ущерба от киберинцидентов (IBM Cost of a Data Breach Report 2024).

Для российского рынка прямых официальных цифр по AI-атакам меньше, но тренд подтверждают отраслевые исследования: Positive Technologies регулярно фиксирует рост доли атак с использованием социальной инженерии и автоматизированного сканирования уязвимостей в квартальных отчётах Cybersecurity Threatscape (Positive Technologies). Малый и средний бизнес часто ошибочно считает себя неинтересной целью — но именно отсутствие выделенной службы безопасности делает такие компании приоритетной мишенью для автоматизированных ИИ-атак, которые не разбирают размер жертвы, а масштабируются по количеству доступных email-адресов и мессенджеров.

Почему генеративный ИИ снижает порог входа для киберпреступников?

Генеративный ИИ убирает главный барьер прошлых лет — необходимость технической экспертизы: теперь написать убедительное фишинговое письмо на грамотном русском языке, сгенерировать голосовой дипфейк директора или собрать эксплойт под конкретную CMS может человек без профильного образования. Это фиксируют и международные аналитики.

"Генеративный искусственный интеллект резко снижает порог входа для киберпреступников: то, что раньше требовало команды разработчиков, теперь доступно одному человеку с промптом"— Jeremy Jurgens, управляющий директор, World Economic Forum, Global Cybersecurity Outlook 2025

Практическое следствие для российских компаний — рост «качества» фишинга. Раньше письма с ошибками легко фильтровались сотрудниками интуитивно. Сегодня ИИ-сгенерированные сообщения имитируют стиль конкретного руководителя, ссылаются на реальные внутренние процессы (собранные через открытые источники или утечки) и приходят в мессенджеры, а не только на почту.

Какие типы AI-атак угрожают российским компаниям в первую очередь?

Четыре сценария несут наибольший риск для отечественного среднего бизнеса: голосовые дипфейки под видом руководителя с требованием перевести деньги, автоматизированный фишинг в Telegram и на почте, генерация фальшивых юридических документов для мошенничества с контрагентами и автоматическое сканирование уязвимостей сайтов и CRM.

• Vishing с дипфейк-голосом. Клонирование голоса руководителя по записи из публичного выступления или созвона занимает несколько минут при доступе к современным сервисам синтеза речи.
• Массовый персонализированный фишинг. ИИ анализирует открытые профили сотрудников в деловых сетях и генерирует письма под конкретного адресата.
• Поддельные договоры и счета. Мошенники используют ИИ для имитации фирменного стиля документов контрагента, включая реквизиты, похожие на реальные.
• Автосканирование инфраструктуры. Боты на базе ИИ непрерывно ищут открытые порты, устаревшие CMS и уязвимые формы обратной связи на сайтах малого бизнеса.

Как малому и среднему бизнесу защититься от ИИ-атак: 7 практических шагов

Базовая защита от рутинных AI-атак строится не на дорогих SOC-центрах, а на семи организационных и технических мерах, доступных компании с любым бюджетом. Ниже — последовательность, которую мы рекомендуем внедрять участникам сообщества.

1. Введите правило устного «второго подтверждения» для любых финансовых операций сверх установленной суммы — звонок на заранее сохранённый номер, а не ответ на входящий контакт.
2. Обучите сотрудников распознавать признаки дипфейк-звонков: неестественные паузы, эмоциональное давление, требование срочности.
3. Внедрите автоматическую проверку договоров и контрагентов перед подписанием — так закрывается риск поддельных юридических документов.
4. Настройте анализ входящих звонков отдела продаж и поддержки на признаки социальной инженерии и мошенничества.
5. Обновите CMS сайта и CRM минимум ежемесячно, закрывая известные уязвимости до того, как их найдут автоматизированные сканеры.
6. Централизуйте протоколы встреч и внутренние регламенты в защищённой базе знаний, чтобы утечка одного канала не давала мошенникам полную картину бизнес-процессов.
7. Проведите тестовую фишинговую атаку силами внутренней команды раз в квартал и фиксируйте динамику по отделам.

Как ИИ-инструменты одновременно закрывают риски, которые они же создают?

Тот же класс технологий, который используют злоумышленники, применяется и для защиты: автоматическая проверка договоров, анализ звонков на признаки мошенничества и структурирование внутренних знаний компании сокращают окно уязвимости с недель до часов. Это не гипотеза, а рабочая практика: сервис AI-Юрист — договоры, риски, контрагенты проверяет входящие документы на признаки фальсификации и юридические риски до того, как документ попадёт на подпись руководителя.

Отдельный класс риска — телефонные и голосовые атаки на отдел продаж и финансовый департамент. Здесь помогает постоянный мониторинг разговоров: инструмент ИИ Слухач — анализ звонков и переписок отдела продаж распознаёт паттерны социальной инженерии в реальных диалогах менеджеров и клиентов, а не постфактум после инцидента.

Сколько стоит внедрение защитных ИИ-инструментов для среднего бизнеса?

Подписка на готовые ИИ-решения для проверки договоров, анализа звонков и хранения корпоративных знаний обходится российским компаниям в разы дешевле, чем содержание штатного специалиста по кибербезопасности, и запускается без привлечения команды разработки. Ключевое отличие качественных решений — работа на собственных ключах компании (GigaChat, YandexGPT, GPT, Claude) и в её облаке, когда конфиденциальные данные не покидают контур бизнеса.

Такой подход снимает второй по значимости страх руководителей — не только внешние атаки, но и риск утечки самих корпоративных данных через сторонние ИИ-сервисы. Обзор актуальных ИИ-угроз и практических решений еженедельно разбирается в формате «Радар недели» и разборов участников сообщества, что позволяет реагировать на новые схемы мошенничества быстрее, чем это делают отдельные компании самостоятельно.

Экспертный комментарий

Сергей Семёнов, ESSG Club — бизнес-сообщество по внедрению AI: «В нашей практике был показательный кейс с клиентом из сферы оптовой торговли строительными материалами: бухгалтерию атаковали через голосовой дипфейк, имитирующий генерального директора, с требованием срочно перевести оплату «новому поставщику». Сотрудница усомнилась из-за неестественной интонации и позвонила директору напрямую — атаку удалось остановить до перевода почти 2,3 млн рублей. После этого случая компания внедрила правило обязательного второго подтверждения и подключила автоматическую проверку контрагентов через AI-Юриста, что сократило время верификации новых поставщиков с двух дней до 40 минут.

По опыту наших клиентов из ритейла и сферы услуг, до 30% инцидентов социальной инженерии сегодня используют элементы ИИ — синтезированный голос, сгенерированный текст или поддельные документы, — и это доля продолжает расти квартал к кварталу. Компании, которые внедрили мониторинг звонков и проверку документов на базе ИИ ещё год назад, сейчас реагируют на новые схемы мошенничества за часы, а не недели.

Практический вывод для руководителя простой: не стоит ждать «созревания» угрозы, чтобы начать защищаться. Внедрение ИИ-инструментов защиты сегодня стоит дешевле одного успешного мошеннического перевода, а окупается уже на первом предотвращённом инциденте».

Какие ошибки чаще всего допускают компании при защите от AI-атак?

Три типичные ошибки: полное игнорирование темы («нас это не касается»), делегирование защиты одному ИТ-специалисту без обучения всей команды и покупка дорогих enterprise-решений без базовой гигиены процессов. Крупная лицензия на систему мониторинга бесполезна, если сотрудники не знают элементарных признаков дипфейк-звонка.

Второй по частоте провал — отсутствие регламента верификации платежей. Даже базовое правило «второй звонок на известный номер» останавливает большинство атак с голосовой имитацией, потому что злоумышленник рассчитывает на спешку и эмоциональное давление, а не на техническое превосходство.

Сколько стоит защита от ИИ-кибератак для малого бизнеса?

Базовый пакет ИИ-инструментов (проверка документов, мониторинг звонков, хранение знаний компании) обходится в среднем от нескольких тысяч рублей в месяц на компанию при подписке на готовую платформу, что кратно дешевле найма отдельного специалиста по информационной безопасности.

За какой срок окупаются инвестиции в защитные ИИ-инструменты?

На практике окупаемость наступает после первого предотвращённого инцидента — будь то остановленный мошеннический перевод или своевременно выявленный поддельный договор, что часто происходит в первые 1–3 месяца использования.

С чего начать компании без штатного специалиста по безопасности?

Начните с двух шагов: введите правило обязательного второго подтверждения платежей и подключите автоматическую проверку договоров и контрагентов, чтобы закрыть два самых частых вектора атак без найма новой команды.

Может ли искусственный интеллект сам защитить компанию от ИИ-атак?

ИИ-инструменты значительно сокращают время реакции и объём рутинной проверки, но финальное решение и обучение сотрудников распознавать манипуляции остаются обязательным элементом защиты — технология дополняет процесс, а не заменяет его полностью.

Какие инструменты помогают закрыть эти риски быстрее всего?

Быстрее всего эффект дают проверка документов и контрагентов, мониторинг звонков отдела продаж на признаки социальной инженерии и централизованная база знаний компании — эти три меры закрывают большинство типовых сценариев мошенничества с ИИ.

#ESSGClub #ИИдлябизнеса #Кибербезопасность #ВнедрениеИИ #ИИЮрист