# A49: Кража модели и вывод весов (Model theft / weights exfiltration)

> Веса, адаптеры, промпты, оценочные наборы данных и рецепты дообучения — активы высокой ценности. Их утрата означает потерю конкурентного преимущества: получивший их может создать замену или использовать модель во вред.

- Канонический HTML: [/threats/a49-model-theft-weights-exfiltration](https://ai-first.tech/threats/a49-model-theft-weights-exfiltration)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Модель и цепочка поставки

## Как проявляется риск

Артефакты модели лежат в реестре или хранилище с избыточно широкими правами доступа. Недобросовестный сотрудник или скомпрометированная учётная запись получает возможность их скачать. Выгрузка выглядит как обычная работа с хранилищем и не вызывает вопросов. Граница доверия нарушается там, где доступ к самому ценному активу не требует отдельного согласования. После выгрузки вернуть контроль над копией невозможно.

## Влияние на бизнес

- **Финансы.** Утрата конкурентного преимущества, в которое вложены средства на разработку и дообучение.
- **Данные.** Утечка интеллектуальной собственности: весов, промптов, наборов данных и рецептов дообучения.
- **Безопасность.** Похищенная модель может применяться злоумышленником в собственных целях.

## Где риск наиболее вероятен

- Собственные и дообученные модели в реестре
- Хранилища артефактов с общим доступом для команды
- Работа подрядчиков с весами и наборами данных
- Перенос моделей между средами

## Кому и что решать

- **ИТ-директор.** Выделить защищённое хранилище для артефактов моделей и включить их в перечень критичных активов.
- **Директор по кибербезопасности.** Обеспечить шифрование, согласование доступа и контроль выгрузок с анализом поведения пользователей.
- **Владелец бизнес-процесса.** Оценить стоимость модели как актива и определить, кому доступ действительно необходим.

## Признаки для службы мониторинга

- Выгрузка необычно большого объёма данных из хранилища моделей
- Обращение к артефактам от пользователя, ранее с ними не работавшего
- Появление новых токенов доступа к реестру без заявки
- Артефакты не имеют водяных знаков
- Хранилище моделей не охвачено средствами контроля утечек

## Меры защиты

- **Согласование доступа к артефактам** (организационная). Выдавать доступ к весам и наборам данных по заявке с подтверждением владельца и ограниченным сроком.
- **Защищённое хранилище моделей** (техническая). Держать веса и связанные артефакты в отдельном хранилище с шифрованием.
- **Ограничение выгрузок** (техническая). Запретить массовое скачивание артефактов без отдельного разрешения.
- **Водяные знаки для моделей** (техническая). Помечать модели, чтобы доказать происхождение копии при её обнаружении вне компании.
- **Анализ поведения пользователей** (мониторинг). Выявлять нетипичные обращения к хранилищу и новые токены, направлять их на разбор.

## Вопросы команде и поставщику

- Где хранятся веса наших моделей и кто имеет к ним доступ?
- Заметим ли мы выгрузку модели целиком?
- Сможем ли доказать, что найденная на стороне модель — наша?
- Какие подрядчики работают с нашими артефактами?

## Показатели контроля

- Число учётных записей с правом выгрузки артефактов моделей
- Доля артефактов, размещённых в защищённом хранилище
- Число нетипичных выгрузок, выявленных и разобранных за период

## Первые 30 дней

- Пересмотреть права доступа к реестру и хранилищу моделей
- Отозвать неиспользуемые токены доступа
- Включить оповещения о выгрузке больших объёмов из хранилища

## Классы решений

- Реестр моделей
- Защищённое хранилище AI
- Защита от утечек данных (DLP)
- Управление доступом (IAM)

## Сопоставления

- OWASP: LLM03, LLM04
- MITRE: ATLAS: ML Supply Chain
- NIST: NIST AI 100-2: Poisoning

## Первоисточники

- [OWASP: LLM03:2025 Supply Chain](https://genai.owasp.org/llmrisk/llm032025-supply-chain/) — Цепочка поставки моделей, данных и зависимостей.
- [NIST: AI 100-2e2025: Adversarial Machine Learning](https://csrc.nist.gov/pubs/ai/100/2/e2025/final) — Таксономия атак и mitigations для adversarial ML.
- [ITOREX: FoxOps vendor profile](https://itorex.ru/vendors/foxops) — AI-Vault и controlled corporate AI infrastructure.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.