# A50: Подмена в реестре моделей (Model registry tampering)

> Злоумышленник изменяет в реестре артефакт модели, её метаданные или указатель развёртывания. В результате промышленная среда начинает работать не с той моделью: с закладкой или непроверенной версией.

- Канонический HTML: [/threats/a50-model-registry-tampering](https://ai-first.tech/threats/a50-model-registry-tampering)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Модель и цепочка поставки

## Как проявляется риск

Реестр моделей определяет, какая версия считается промышленной. Метка промышленной версии переназначается на скомпрометированный артефакт. Конвейер развёртывания автоматически забирает то, на что указывает метка. Граница доверия нарушается, поскольку запись в реестре принимается без проверки подлинности и согласования. Бизнес-процесс продолжает работать, но решения за него принимает подменённая модель.

## Влияние на бизнес

- **Операции.** Промышленный сервис работает на непротестированной версии и выдаёт непредсказуемые результаты.
- **Безопасность.** В рабочий контур попадает модель с закладкой.
- **Право и комплаенс.** Невозможно подтвердить, какая версия модели принимала решения в конкретный период.

## Где риск наиболее вероятен

- Автоматическое развёртывание моделей из реестра
- Общий реестр для нескольких команд
- Частое обновление версий моделей
- Модели, влияющие на решения по клиентам

## Кому и что решать

- **ИТ-директор.** Ввести управление изменениями для реестра моделей наравне с промышленным кодом.
- **Директор по кибербезопасности.** Обеспечить подпись артефактов и проверку подписи перед развёртыванием; исключить изменение опубликованных версий.
- **Владелец бизнес-процесса.** Требовать согласования при смене версии модели в своём процессе и знать, какая версия работает.

## Признаки для службы мониторинга

- Контрольная сумма развёрнутого артефакта не совпадает с ожидаемой
- Версия модели в промышленной среде изменилась без заявки
- Развёртывание выполнено из неутверждённой фиксации в репозитории
- Метаданные модели изменены вне установленной процедуры
- Поведение сервиса изменилось после обновления, которого не было в плане

## Меры защиты

- **Управление изменениями реестра** (организационная). Любая смена промышленной версии проходит заявку и согласование.
- **Подпись артефактов моделей** (техническая). Подписывать артефакты при публикации и проверять подпись при развёртывании.
- **Неизменяемый реестр** (техническая). Запретить перезапись опубликованных версий и меток, чтобы изменение оставляло след.
- **Контрольные точки развёртывания** (техническая). Останавливать конвейер, если артефакт не прошёл проверки и не получил одобрения.
- **Сверка развёрнутых версий** (мониторинг). Регулярно сравнивать контрольные суммы работающих моделей с утверждёнными и разбирать расхождения.

## Вопросы команде и поставщику

- Кто может изменить промышленную версию модели и как это согласуется?
- Проверяется ли подлинность модели перед развёртыванием?
- Можно ли незаметно перезаписать опубликованную версию?
- Сможем ли мы восстановить, какая версия работала в заданный день?

## Показатели контроля

- Доля развёртываний с проверенной подписью артефакта
- Число изменений промышленной версии без согласованной заявки
- Число расхождений контрольных сумм, выявленных при сверке

## Первые 30 дней

- Сократить круг лиц с правом менять промышленные метки в реестре
- Включить журналирование всех изменений реестра
- Сверить контрольные суммы работающих моделей с утверждёнными версиями

## Классы решений

- Реестр моделей
- Безопасность жизненного цикла моделей (MLSecOps)
- Защита цепочки поставок AI

## Сопоставления

- OWASP: LLM03, LLM04
- MITRE: ATLAS: ML Supply Chain
- NIST: NIST AI 100-2: Poisoning

## Первоисточники

- [OWASP: LLM03:2025 Supply Chain](https://genai.owasp.org/llmrisk/llm032025-supply-chain/) — Цепочка поставки моделей, данных и зависимостей.
- [CISA: Joint Guidance on Deploying AI Systems Securely](https://www.cisa.gov/news-events/alerts/2024/04/15/joint-guidance-deploying-ai-systems-securely) — Безопасное внедрение AI-систем.
- [ITOREX: FoxOps vendor profile](https://itorex.ru/vendors/foxops) — AI-Vault и controlled corporate AI infrastructure.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.