Бот министерству не товарищ
Госорганам рекомендовали оградиться от зарубежных поисковых роботов
Федеральная служба по техническому и экспортному контролю (ФСТЭК России, подведомственна Минобороны) рекомендовала органам власти закрыть доступ к своим сайтам для иностранных поисковых ботов, например GPTBot от американской OpenAI. Пока, как убедился “Ъ”, рекомендации выполнили не все ведомства. Эксперты объясняют, что поисковые боты могут сканировать сайты для обучения нейросетей, а хакеры — использовать ИИ для проведения кибератак.
Фото: Александр Баранов, Коммерсантъ
Фото: Александр Баранов, Коммерсантъ
ФСТЭК разослала в федеральные органы исполнительной власти рекомендации по борьбе с поисковыми ботами, следует из письма службы от 20 августа, с которым ознакомился “Ъ”. В документе говорится, что зарубежные поисковые боты «собирают информацию о существующих уязвимостях информационных ресурсов органов государственной власти РФ и о персональных данных, чтобы использовать их в зарубежных моделях машинного обучения». Для предотвращения сбора этой информации ФСТЭК рекомендует ограничить доступ поисковых ботов, например GPTBot компании OpenAI, к файлам robots.txt веб-сайтов и серверов. “Ъ” направил запрос во ФСТЭК.
Роботы, посещающие веб-сайты, используются для их индексации поисковыми системами, в интернет-рекламе, при сборе данных для обучения нейросетей и т. п. Технически роботы могут мимикрировать под обычных посетителей сайтов, однако легитимные боты отправляют владельцам веб-сайтов идентификатор, позволяющий выявлять его предназначение. Например, «Яндекс» использует YandexBot для индексации сайтов в целом, YandexImages — для индексации изображений для поиска по картинкам и т. д.
Сама ФСТЭК, как обнаружил “Ъ”, к 2 сентября не последовала своей рекомендации: в файле robots.txt сайта службы нет запретительной директивы для GPTBot. Нет ее и на сайтах МЧС, Минздрава, Минцифры. А в файлах robots.txt сайтов Минюста и ФСБ имеется запрет для всех интернет-роботов в принципе.
В начале мая похожие рекомендации хостинг-провайдерам рассылал Центр управления связью общего пользования (ЦМУ ССОП) Роскомнадзора (см. “Ъ” от 2 мая). Центр рекомендовал провайдерам ограничить доступ иностранным ботам, в том числе компаний Google, OpenAI и Apple, к российским ресурсам.
Михаил Мишустин, премьер-министр, во время выступления на форуме Digital Almaty 2024 (цитата по «Интерфаксу»):
«В "мозгах" российского GigaChat и западного Chat`a, в частности ChatGPT, фактически разные картины мира. Разное понимание, что такое «хорошо», а что такое "плохо"».
«Основная задача таких поисковых ботов — сбор информации о функционирующих и доступных для подключения сетевых ресурсах в интернете»,— говорит руководитель отдела разработки департамента TI (Threat intelligence) экспертного центра безопасности Positive Technologies Андрей Схоменко.
При этом есть боты, которые целенаправленно сканируют сайты в поисках устаревших плагинов, ошибок конфигурации и незащищенных элементов, таких как формы обратной связи, в которые можно встроить вредоносный код, объясняет руководитель направления защиты на уровне веб-приложений DDoS-Guard Дмитрий Никонов. «Теоретически кто угодно, или бот, или хакер, может с помощью определенных команд выгрузить данные сайта»,— уточняет он.
«Боты действительно могут обнаруживать и уязвимости веб-ресурсов, анализировать информационную защищенность той или иной онлайн-системы,— подтверждает руководитель департамента расследований ИБ-компании T.Hunter Игорь Бедеров.— После автоматического анализа взлом может осуществлять уже человек. Однако, как правило, критичная для госорганов информация закрыта от индексирования ботами».
Тем не менее риски применения больших языковых моделей и нейросетей для кибератак на данный момент являются «скорее гипотетическими», говорит руководитель группы исследований и разработки технологий машинного обучения «Лаборатории Касперского» Владислав Тушканов. «Однако данная сфера развивается очень динамично, что требует постоянной оценки возникающих угроз. Существуют специализированные системы для поиска разнообразных внутренних сервисов, таких как подключенные к интернету камеры. И скрытие таких сервисов от поисковых ботов не сможет полностью решить саму проблему»,— добавляет он.