# База угроз AI Security

> 60 редакционно проверенных карточек угроз с защитными признаками, мерами и маппингами.

- Канонический HTML: [/threats](https://ai-first.tech/threats)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Карточки угроз

- [A01: Direct Prompt Injection](https://ai-first.tech/threats/a01-direct-prompt-injection.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A02: Indirect Prompt Injection via web pages](https://ai-first.tech/threats/a02-indirect-prompt-injection-via-web-pages.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A03: Indirect Prompt Injection via email, calendar and documents](https://ai-first.tech/threats/a03-indirect-prompt-injection-via-email-calendar-and-documents.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A04: Zero-click prompt injection in enterprise copilots](https://ai-first.tech/threats/a04-zero-click-prompt-injection-in-enterprise-copilots.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A05: Jailbreak guardrail bypass](https://ai-first.tech/threats/a05-jailbreak-guardrail-bypass.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A06: Multi-turn jailbreak / Crescendo-like behavior](https://ai-first.tech/threats/a06-multi-turn-jailbreak-crescendo-like-behavior.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A07: Multimodal prompt injection](https://ai-first.tech/threats/a07-multimodal-prompt-injection.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A08: System Prompt Leakage](https://ai-first.tech/threats/a08-system-prompt-leakage.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A09: Secrets in prompts and context](https://ai-first.tech/threats/a09-secrets-in-prompts-and-context.md) — Защита данных и RAG; Данные, контекст или embeddings обрабатываются за пределами разрешённой области доступа, целостности или использования.
- [A10: Sensitive Information Disclosure via model output](https://ai-first.tech/threats/a10-sensitive-information-disclosure-via-model-output.md) — Защита данных и RAG; Данные, контекст или embeddings обрабатываются за пределами разрешённой области доступа, целостности или использования.
- [A11: Prompt logs as sensitive datasets](https://ai-first.tech/threats/a11-prompt-logs-as-sensitive-datasets.md) — Защита данных и RAG; Данные, контекст или embeddings обрабатываются за пределами разрешённой области доступа, целостности или использования.
- [A12: Shadow AI data leakage](https://ai-first.tech/threats/a12-shadow-ai-data-leakage.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.
- [A13: RAG permission bypass](https://ai-first.tech/threats/a13-rag-permission-bypass.md) — Защита данных и RAG; Данные, контекст или embeddings обрабатываются за пределами разрешённой области доступа, целостности или использования.
- [A14: Cross-tenant vector leakage](https://ai-first.tech/threats/a14-cross-tenant-vector-leakage.md) — Защита данных и RAG; Данные, контекст или embeddings обрабатываются за пределами разрешённой области доступа, целостности или использования.
- [A15: Embedding inversion / reconstruction risk](https://ai-first.tech/threats/a15-embedding-inversion-reconstruction-risk.md) — Защита данных и RAG; Данные, контекст или embeddings обрабатываются за пределами разрешённой области доступа, целостности или использования.
- [A16: RAG content poisoning](https://ai-first.tech/threats/a16-rag-content-poisoning.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A17: Retrieval ranking manipulation](https://ai-first.tech/threats/a17-retrieval-ranking-manipulation.md) — Защита данных и RAG; Данные, контекст или embeddings обрабатываются за пределами разрешённой области доступа, целостности или использования.
- [A18: Data poisoning in training/fine-tuning](https://ai-first.tech/threats/a18-data-poisoning-in-training-fine-tuning.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A19: Model poisoning / backdoored model](https://ai-first.tech/threats/a19-model-poisoning-backdoored-model.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A20: Malicious model deserialization / pickle](https://ai-first.tech/threats/a20-malicious-model-deserialization-pickle.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A21: Typosquatted or fake model repository](https://ai-first.tech/threats/a21-typosquatted-or-fake-model-repository.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A22: LoRA/adaptor tampering](https://ai-first.tech/threats/a22-lora-adaptor-tampering.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A23: Model merge/conversion compromise](https://ai-first.tech/threats/a23-model-merge-conversion-compromise.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A24: Training data vendor compromise](https://ai-first.tech/threats/a24-training-data-vendor-compromise.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A25: Model extraction via API abuse](https://ai-first.tech/threats/a25-model-extraction-via-api-abuse.md) — Исполнение и инфраструктура AI; Нагрузка, endpoint или инфраструктурный ресурс AI используется в обход ограничений доступности, сегментации или доверия.
- [A26: Model inversion / membership inference](https://ai-first.tech/threats/a26-model-inversion-membership-inference.md) — Защита данных и RAG; Данные, контекст или embeddings обрабатываются за пределами разрешённой области доступа, целостности или использования.
- [A27: Adversarial examples / evasion](https://ai-first.tech/threats/a27-adversarial-examples-evasion.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A28: Data drift exploited as security risk](https://ai-first.tech/threats/a28-data-drift-exploited-as-security-risk.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.
- [A29: Unbounded consumption / token exhaustion](https://ai-first.tech/threats/a29-unbounded-consumption-token-exhaustion.md) — Исполнение и инфраструктура AI; Нагрузка, endpoint или инфраструктурный ресурс AI используется в обход ограничений доступности, сегментации или доверия.
- [A30: Denial of ML service](https://ai-first.tech/threats/a30-denial-of-ml-service.md) — Исполнение и инфраструктура AI; Нагрузка, endpoint или инфраструктурный ресурс AI используется в обход ограничений доступности, сегментации или доверия.
- [A31: GPU local memory leakage / shared accelerator risk](https://ai-first.tech/threats/a31-gpu-local-memory-leakage-shared-accelerator-risk.md) — Исполнение и инфраструктура AI; Нагрузка, endpoint или инфраструктурный ресурс AI используется в обход ограничений доступности, сегментации или доверия.
- [A32: Unauthorized access to model endpoints](https://ai-first.tech/threats/a32-unauthorized-access-to-model-endpoints.md) — Исполнение и инфраструктура AI; Нагрузка, endpoint или инфраструктурный ресурс AI используется в обход ограничений доступности, сегментации или доверия.
- [A33: MCP/tool poisoning](https://ai-first.tech/threats/a33-mcp-tool-poisoning.md) — Безопасность AI-агентов; AI-агент получает или использует tools, память и автономность шире, чем необходимо для подтверждённой бизнес-задачи.
- [A34: Excessive agency / tool permissions](https://ai-first.tech/threats/a34-excessive-agency-tool-permissions.md) — Безопасность AI-агентов; AI-агент получает или использует tools, память и автономность шире, чем необходимо для подтверждённой бизнес-задачи.
- [A35: Confused deputy in agentic workflows](https://ai-first.tech/threats/a35-confused-deputy-in-agentic-workflows.md) — Безопасность AI-агентов; AI-агент получает или использует tools, память и автономность шире, чем необходимо для подтверждённой бизнес-задачи.
- [A36: Memory poisoning](https://ai-first.tech/threats/a36-memory-poisoning.md) — Безопасность AI-агентов; AI-агент получает или использует tools, память и автономность шире, чем необходимо для подтверждённой бизнес-задачи.
- [A37: Automatic agent invocation / cross-agent escalation](https://ai-first.tech/threats/a37-automatic-agent-invocation-cross-agent-escalation.md) — Безопасность AI-агентов; AI-агент получает или использует tools, память и автономность шире, чем необходимо для подтверждённой бизнес-задачи.
- [A38: Unsafe output handling into downstream systems](https://ai-first.tech/threats/a38-unsafe-output-handling-into-downstream-systems.md) — Безопасная разработка AI; Модельный вывод или AI-assisted development создают риск для downstream приложений, кода, секретов или зависимостей.
- [A39: AI-generated vulnerable code](https://ai-first.tech/threats/a39-ai-generated-vulnerable-code.md) — Безопасная разработка AI; Модельный вывод или AI-assisted development создают риск для downstream приложений, кода, секретов или зависимостей.
- [A40: AI hallucinated dependency / slopsquatting](https://ai-first.tech/threats/a40-ai-hallucinated-dependency-slopsquatting.md) — Безопасная разработка AI; Модельный вывод или AI-assisted development создают риск для downstream приложений, кода, секретов или зависимостей.
- [A41: Secret leakage through coding assistants](https://ai-first.tech/threats/a41-secret-leakage-through-coding-assistants.md) — Безопасная разработка AI; Модельный вывод или AI-assisted development создают риск для downstream приложений, кода, секретов или зависимостей.
- [A42: Threat-intelligence poisoning for AI SOC](https://ai-first.tech/threats/a42-threat-intelligence-poisoning-for-ai-soc.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.
- [A43: Prompt injection in cybersecurity AI tools](https://ai-first.tech/threats/a43-prompt-injection-in-cybersecurity-ai-tools.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A44: Hallucinated security guidance](https://ai-first.tech/threats/a44-hallucinated-security-guidance.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.
- [A45: False confidence in AI risk scoring](https://ai-first.tech/threats/a45-false-confidence-in-ai-risk-scoring.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.
- [A46: AI compliance gap / missing AI inventory](https://ai-first.tech/threats/a46-ai-compliance-gap-missing-ai-inventory.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.
- [A47: Third-party AI vendor risk](https://ai-first.tech/threats/a47-third-party-ai-vendor-risk.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.
- [A48: AI model/data residency violation](https://ai-first.tech/threats/a48-ai-model-data-residency-violation.md) — Защита данных и RAG; Данные, контекст или embeddings обрабатываются за пределами разрешённой области доступа, целостности или использования.
- [A49: Model theft / weights exfiltration](https://ai-first.tech/threats/a49-model-theft-weights-exfiltration.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A50: Model registry tampering](https://ai-first.tech/threats/a50-model-registry-tampering.md) — Модель и цепочка поставки; Модель, данные, adapter или dependency попадают в жизненный цикл без достаточной проверки происхождения и целостности.
- [A51: Prompt template tampering](https://ai-first.tech/threats/a51-prompt-template-tampering.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.
- [A52: Prompt injection through uploaded files](https://ai-first.tech/threats/a52-prompt-injection-through-uploaded-files.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A53: Malicious URL in prompt or retrieved content](https://ai-first.tech/threats/a53-malicious-url-in-prompt-or-retrieved-content.md) — Безопасность языковых моделей; Недоверенный ввод или внешний контент влияет на поведение модели, нарушая границы заявленной задачи.
- [A54: Over-permissive browser/computer-use agents](https://ai-first.tech/threats/a54-over-permissive-browser-computer-use-agents.md) — Безопасность AI-агентов; AI-агент получает или использует tools, память и автономность шире, чем необходимо для подтверждённой бизнес-задачи.
- [A55: Deepfake BEC / synthetic executive fraud](https://ai-first.tech/threats/a55-deepfake-bec-synthetic-executive-fraud.md) — Угрозы с применением AI; AI усиливает традиционные сценарии социальной инженерии, мошенничества или злоупотребления в пользовательской среде.
- [A56: AI-assisted phishing and social engineering](https://ai-first.tech/threats/a56-ai-assisted-phishing-and-social-engineering.md) — Угрозы с применением AI; AI усиливает традиционные сценарии социальной инженерии, мошенничества или злоупотребления в пользовательской среде.
- [A57: AI-assisted malware/ransomware operations](https://ai-first.tech/threats/a57-ai-assisted-malware-ransomware-operations.md) — Угрозы с применением AI; AI усиливает традиционные сценарии социальной инженерии, мошенничества или злоупотребления в пользовательской среде.
- [A58: AI-generated misinformation affecting security decisions](https://ai-first.tech/threats/a58-ai-generated-misinformation-affecting-security-decisions.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.
- [A59: Malicious or vulnerable AI browser extension/plugin](https://ai-first.tech/threats/a59-malicious-or-vulnerable-ai-browser-extension-plugin.md) — Угрозы с применением AI; AI усиливает традиционные сценарии социальной инженерии, мошенничества или злоупотребления в пользовательской среде.
- [A60: Overreliance on model self-policing](https://ai-first.tech/threats/a60-overreliance-on-model-self-policing.md) — Управление AI; Управление AI-системой, поставщиком, конфигурацией или принятием решения не даёт достаточной доказательности риска и контроля.

## Методика

Карточки предназначены для защитного анализа, приоритизации и подготовки пилотов. Технические обозначения OWASP, MITRE и NIST приведены для навигации к первоисточникам.