# A09: Секреты в запросах и контексте модели (Secrets in prompts and context)

> Разработчики ради удобства интеграции иногда помещают ключи API, строки подключения и внутренние адреса прямо в инструкции и контекст модели. Это прямой риск компрометации внешних API, CRM и ERP, векторных баз, хранилищ и внутренних приложений.

- Канонический HTML: [/threats/a09-secrets-in-prompts-and-context](https://ai-first.tech/threats/a09-secrets-in-prompts-and-context)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Защита данных и RAG

## Как проявляется риск

Системная инструкция или контекст инструмента содержит токен доступа. Всё, что находится в контексте, может оказаться в ответе, журнале или трассировке запроса. Граница доверия нарушается тем, что секрет покидает защищённое хранилище и попадает в среду, где его видят модель, средства наблюдения и их пользователи. Долгоживущий токен с широкими правами делает ущерб длительным.

## Влияние на бизнес

- **Безопасность.** Раскрытый ключ даёт доступ к сервисам и внутренним приложениям в обход ассистента.
- **Данные.** Под угрозой оказывается содержимое CRM, ERP, хранилищ и векторных баз.
- **Финансы.** Чужое использование платных внешних API оплачивает компания.
- **Операции.** Срочная замена ключей останавливает связанные интеграции.

## Где риск наиболее вероятен

- Прототипы и пилоты, перешедшие в эксплуатацию
- Агенты с подключением к внешним API
- Интеграции с CRM и ERP
- Системы с подробной трассировкой запросов

## Кому и что решать

- **ИТ-директор.** Обязать команды получать учётные данные из хранилища секретов и запретить их размещение в инструкциях.
- **Директор по кибербезопасности.** Обеспечить поиск секретов в шаблонах и журналах, короткий срок жизни и узкие права токенов.
- **Владелец бизнес-процесса.** Учитывать при приёмке AI-решений от подрядчиков требование об отсутствии секретов в контексте модели.

## Признаки для службы мониторинга

- В шаблонах инструкций обнаружены ключи или строки подключения
- Секреты присутствуют в журналах и трассировках запросов
- Используются токены с длительным сроком действия
- AI-сервис не подключён к хранилищу секретов
- Ключ используется с нетипичных адресов

## Меры защиты

- **Централизованное хранилище секретов** (техническая). Выдавать учётные данные сервисам из защищённого хранилища в момент обращения, минуя контекст модели.
- **Короткоживущие ограниченные токены** (техническая). Использовать токены с малым сроком действия и узкими правами. Раскрытый токен быстро теряет ценность.
- **Маскирование секретов в журналах** (техническая). Автоматически скрывать ключи и токены в журналах и трассировках.
- **Правило инструкций без секретов** (организационная). Закрепить запрет в стандартах разработки и проверять его при приёмке.
- **Поиск секретов в артефактах** (мониторинг). Регулярно проверять шаблоны, репозитории и журналы на наличие ключей и оповещать владельцев.

## Вопросы команде и поставщику

- Где хранятся ключи, которыми пользуются наши AI-сервисы?
- Есть ли секреты в инструкциях, журналах или трассировках?
- Каков срок жизни и объём прав токенов?
- Как быстро мы заменим раскрытый ключ?

## Показатели контроля

- Число секретов, найденных при проверке шаблонов и журналов
- Доля AI-сервисов, подключённых к хранилищу секретов
- Доля токенов с ограниченным сроком действия

## Первые 30 дней

- Проверить шаблоны инструкций и журналы на секреты
- Заменить найденные ключи и перенести их в хранилище
- Включить маскирование в журналах и трассировках

## Классы решений

- Шлюз AI
- Безопасная разработка (DevSecOps)
- Управление секретами

## Сопоставления

- OWASP: LLM02, LLM08
- MITRE: ATLAS: Exfiltration
- NIST: NIST AI 100-2: Privacy

## Первоисточники

- [OWASP: LLM02:2025 Sensitive Information Disclosure](https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/) — Риски раскрытия чувствительной информации через LLM.
- [OWASP: LLM07:2025 System Prompt Leakage](https://genai.owasp.org/llmrisk/llm072025-system-prompt-leakage/) — Утечки системных инструкций и границы контроля.
- [CISA: Joint Guidance on Deploying AI Systems Securely](https://www.cisa.gov/news-events/alerts/2024/04/15/joint-guidance-deploying-ai-systems-securely) — Безопасное внедрение AI-систем.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.