# A23: Компрометация модели при слиянии и конвертации (Model merge/conversion compromise)

> При конвертации форматов, слиянии моделей или обработке артефактов сторонними сервисами модель может быть подменена или получить вредное поведение. Компания рискует вывести в эксплуатацию уже скомпрометированную модель и потерять воспроизводимость результатов.

- Канонический HTML: [/threats/a23-model-merge-conversion-compromise](https://ai-first.tech/threats/a23-model-merge-conversion-compromise)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Модель и цепочка поставки

## Как проявляется риск

Модель проходит техническое преобразование: смену формата, слияние с другой моделью или обработку во внешнем сервисе. Если инструмент не проверен, на выходе получается артефакт, поведение которого отличается от эталона. Команда считает операцию служебной и не повторяет приёмочные проверки. Граница доверия нарушается на промежуточном шаге жизненного цикла: проверялась исходная модель, а в эксплуатацию попадает результат преобразования, целостность которого никто не подтвердил. Дополнительный риск возникает, когда чувствительная модель передаётся на обработку вовне.

## Влияние на бизнес

- **Безопасность.** Модель оказывается скомпрометированной ещё до эксплуатации, в обход проверок на входе.
- **Операции.** Теряется воспроизводимость: невозможно точно восстановить, как получен работающий артефакт.
- **Репутация.** Падает доверие к результатам модели у внутренних заказчиков и клиентов.

## Где риск наиболее вероятен

- Перевод моделей в формат для локального запуска
- Слияние нескольких моделей в одну
- Сжатие и оптимизация во внешних сервисах
- Перенос моделей между платформами

## Кому и что решать

- **ИТ-директор.** Перевести преобразования моделей в воспроизводимый конвейер с фиксированными инструментами вместо ручных операций.
- **Директор по кибербезопасности.** Обеспечить подпись артефактов на каждом этапе и запрет внешней обработки чувствительных моделей без согласования.
- **Владелец бизнес-процесса.** Требовать подтверждения, что в эксплуатацию передаётся именно та модель, которая проходила приёмку.

## Признаки для службы мониторинга

- Контрольная сумма артефакта не совпадает с ожидаемой
- Необъяснимое изменение точности или показателей безопасности после преобразования
- Журналы конвертации отсутствуют или непрозрачны
- Чувствительная модель передавалась на обработку во внешний сервис
- Повторная сборка из тех же исходных данных даёт другой результат

## Меры защиты

- **Правила использования внешних сервисов** (организационная). Определить, какие модели запрещено передавать на стороннюю обработку и кто даёт исключения.
- **Воспроизводимый конвейер преобразований** (техническая). Выполнять конвертацию и слияние только зафиксированными версиями инструментов с детерминированным результатом.
- **Подпись артефактов на этапах** (техническая). Подписывать исходную модель и результат каждого шага, чтобы подмена обнаруживалась при проверке.
- **Изолированная среда конвертации** (техническая). Запускать инструменты преобразования в отдельной среде без доступа к рабочим данным и секретам.
- **Автоматическое сравнение с эталоном** (мониторинг). Встроить в конвейер проверки качества и безопасности, сравнивающие результат с исходной моделью.

## Вопросы команде и поставщику

- Какими инструментами и где преобразуются наши модели?
- Повторяются ли приёмочные проверки после конвертации или слияния?
- Передавались ли наши модели во внешние сервисы обработки?
- Можем ли мы воспроизвести сборку рабочей модели с нуля?

## Показатели контроля

- Доля рабочих моделей с полной подписанной историей преобразований
- Доля преобразований, выполненных в утверждённом конвейере
- Число расхождений с эталоном, выявленных до эксплуатации

## Первые 30 дней

- Описать все шаги преобразования моделей и используемые инструменты
- Сверить контрольные суммы рабочих моделей с записями реестра
- Добавить сравнение с эталоном как обязательный этап перед выпуском

## Классы решений

- Реестр моделей
- Безопасность цепочки поставок AI
- Безопасная эксплуатация ML (MLSecOps)

## Сопоставления

- OWASP: LLM03, LLM04
- MITRE: ATLAS: ML Supply Chain
- NIST: NIST AI 100-2: Poisoning

## Первоисточники

- [OWASP: LLM03:2025 Supply Chain](https://genai.owasp.org/llmrisk/llm032025-supply-chain/) — Цепочка поставки моделей, данных и зависимостей.
- [NIST: AI 100-2e2025: Adversarial Machine Learning](https://csrc.nist.gov/pubs/ai/100/2/e2025/final) — Таксономия атак и mitigations для adversarial ML.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.