Что произошло
Готтумуккала руководил CISA в статусе исполняющего обязанности с мая 2025 года и вскоре после назначения запросил исключение для работы с ChatGPT, который для большинства сотрудников DHS был заблокирован. С середины июля по начало августа 2025 года он загрузил в публичный ChatGPT не менее четырёх документов с пометкой FOUO, содержавших сведения о контрактах. В первую неделю августа системы мониторинга зафиксировали несколько срабатываний, после чего DHS начало проверку на предмет ущерба для безопасности. Об инциденте 27 января 2026 года сообщило издание Politico. Представитель CISA заявил, что использование было кратковременным и ограниченным и проходило по временному разрешённому исключению.
Где нарушилась защита
Технической уязвимости не было: служебные документы ушли во внешний сервис, который не входил в перечень одобренных инструментов DHS. Механизм исключений позволил руководителю обойти действующий запрет, а контроль сработал только постфактум, на уровне оповещений системы мониторинга. Граница доверия нарушилась на выходе данных из контура организации в публичный AI-сервис.
Последствия
- Не менее четырёх документов с пометкой «для служебного пользования» оказались во внешнем публичном сервисе
- DHS провело внутреннюю проверку с участием юридической службы и руководителей ИТ
- Инцидент вызвал публичную реакцию членов Конгресса США
Реакция
DHS начало проверку возможного ущерба; CISA заявила, что использование ChatGPT было кратковременным, ограниченным и разрешённым по временному исключению, а по умолчанию сервис в агентстве заблокирован.
Уроки для бизнеса
- Исключения из запретов для руководителей создают наибольший риск, потому что у руководителей доступ к самым чувствительным документам
- Мониторинг, срабатывающий постфактум, фиксирует утечку, но не предотвращает её
- Сотрудникам нужен одобренный внутренний AI-инструмент, иначе они будут искать обходные пути
Меры, которые предотвратили бы инцидент
- Предоставить одобренный корпоративный AI-сервис с хранением данных внутри контура
- Блокировать загрузку размеченных документов во внешние AI-сервисы средствами DLP
- Выдавать исключения с ограниченным сроком, явными условиями и регулярным пересмотром
- Обучать руководителей правилам работы с AI наравне с остальными сотрудниками