# A22: Подмена или искажение адаптеров дообучения (LoRA) (LoRA/adaptor tampering)

> Сторонний адаптер дообучения меняет поведение базовой модели и может оказаться слабым звеном в цепочке доверия. Компания получает скрытое ухудшение безопасности модели, которое не видно при обычной приёмке.

- Канонический HTML: [/threats/a22-lora-adaptor-tampering](https://ai-first.tech/threats/a22-lora-adaptor-tampering)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Модель и цепочка поставки

## Как проявляется риск

Команда подключает сторонний адаптер (LoRA, PEFT), чтобы настроить языковую модель под предметную область, и не проверяет его происхождение и поведение. Базовая модель при этом остаётся прежней и уже проверенной, поэтому изменение воспринимается как незначительное. На деле адаптер меняет ответы модели: снижает защищённость, вносит предвзятость, порождает вредные ответы или адресную утечку сведений. Граница доверия нарушается там, где небольшой внешний файл получает право менять поведение системы, прошедшей проверку без него.

## Влияние на бизнес

- **Безопасность.** Защитные свойства проверенной модели незаметно ослабевают после подключения адаптера.
- **Данные.** Возможна адресная утечка сведений через ответы модели на определённые темы.
- **Репутация.** Предвзятые или вредные ответы попадают к клиентам и сотрудникам от имени компании.

## Где риск наиболее вероятен

- Отраслевая настройка LLM сторонним адаптером
- Ассистенты с адаптерами от подрядчиков
- Открытые модели с адаптерами из публичных каталогов
- Частая смена адаптеров в экспериментах

## Кому и что решать

- **ИТ-директор.** Включить адаптеры в реестр моделей как самостоятельные объекты с версией, владельцем и возможностью отката.
- **Директор по кибербезопасности.** Требовать подтверждения происхождения и поведенческой проверки каждого адаптера до подключения к рабочей модели.
- **Владелец бизнес-процесса.** Считать подключение адаптера изменением продукта, а не технической мелочью, и согласовывать его как изменение.

## Признаки для службы мониторинга

- Источник адаптера неизвестен или не подтверждён
- Контрольная сумма файла адаптера не проверена или не совпадает с заявленной
- Поведение модели заметно меняется после слияния с адаптером
- Странные ответы на запросы с отраслевыми терминами
- Адаптер подключён без записи о рассмотрении изменения

## Меры защиты

- **Рассмотрение изменений модели** (организационная). Подключение и замена адаптера проходят согласование с владельцем модели и службой безопасности.
- **Подтверждение происхождения адаптера** (техническая). Принимать только адаптеры с известным источником, подписью и проверенной контрольной суммой.
- **Поведенческая оценка после подключения** (техническая). Повторять набор проверок качества и безопасности на модели с адаптером и сравнивать с эталоном.
- **Изолированное тестирование и откат** (техническая). Испытывать адаптер в отдельной среде и сохранять возможность быстро вернуть прежнюю конфигурацию.
- **Контроль сдвига поведения** (мониторинг). Отслеживать изменения ответов рабочей модели после каждого обновления адаптера.

## Вопросы команде и поставщику

- Какие адаптеры подключены к нашим моделям и откуда они получены?
- Проверялось ли поведение модели после подключения каждого из них?
- Кто согласует подключение нового адаптера?
- Можем ли мы откатить адаптер за часы, а не за недели?

## Показатели контроля

- Доля адаптеров с подтверждённым происхождением и подписью
- Доля подключений, прошедших поведенческую оценку до эксплуатации
- Время отката к предыдущей конфигурации модели

## Первые 30 дней

- Составить перечень всех адаптеров в рабочих и тестовых средах
- Проверить источник и контрольные суммы адаптеров у моделей в эксплуатации
- Ввести обязательный прогон проверочного набора после слияния

## Классы решений

- Безопасность цепочки поставок AI
- Реестр моделей

## Сопоставления

- OWASP: LLM03, LLM04
- MITRE: ATLAS: ML Supply Chain
- NIST: NIST AI 100-2: Poisoning

## Первоисточники

- [OWASP: LLM03:2025 Supply Chain](https://genai.owasp.org/llmrisk/llm032025-supply-chain/) — Цепочка поставки моделей, данных и зависимостей.
- [OWASP: LLM04:2025 Data and Model Poisoning](https://genai.owasp.org/llmrisk/llm042025-data-and-model-poisoning/) — Отравление данных и моделей.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.