Бухгалтер поставил библиотеку, которой нет
Бухгалтер поставил библиотеку, которой нет ИИ-помощник посоветовал установить пакет, а под этим именем в реестре уже лежал чужой код. Недавний разбор: пять свежих нейросетей одинаково выдумывают имена 139 программных пакетов для Python и JavaScript. Из них 7 имён уже заняты. В одном из пакетов в декабре 2025 года нашли вредоносный код, реестр снял его через пять дней. Расскажу, как это выглядит на практике. Ко мне пришёл владелец небольшой производственной фирмы. Его сотрудник по совету ИИ-помощника поставил на рабочий компьютер библиотеку для обработки таблиц. Название звучало правдоподобно, команда установки прошла без ошибок. Только библиотека оказалась не той: под этим именем лежал чужой проект. Что он делал на компьютере, никто не проверял. Почему это касается не только программистов Раньше выдуманный пакет просто ломал сборку, и ошибка была видна сразу. Теперь на выдуманное имя можно повесить настоящий код. Кто-то регистрирует его заранее и ждёт, пока советом нейросети воспользуются. Ждать приходится недолго: одни и те же имена выдумывают разные модели, значит, под ударом пользователи любой из них. Для бизнеса без своего ИТ-отдела риск простой. Сотрудник или внештатный разработчик ставит пакет по совету ИИ, а вместе с ним на рабочую машину попадает чужой код. Дальше доступ к почте, файлам, 1С, паролям в браузере. Цена такого случая считается не в стоимости пакета, а в простое и в утечке клиентской базы. Что я сделал в той фирме 1. Проверил, что именно было установлено и откуда. Пакет оказался чужим проектом, но вреда на этот раз не нанёс. 2. Ввёл простое правило: любую библиотеку, которую назвал ИИ, сначала ищут в реестре и смотрят дату создания, число скачиваний и автора. 3. Закрыл установку пакетов на рабочих компьютерах без согласования с одним ответственным человеком. 4. Настроил уведомление руководителю в VK Teams: если на машине появляется новое ПО, он видит это сразу. Было: любой сотрудник ставил что угодно по совету нейросети, и узнать об этом можно было только после инцидента. Стало: новое ПО проходит проверку за пару минут, а руководитель в курсе без чтения логов. Всё это обошлось в разы дешевле, чем обходится одна неделя простоя после заражения. Нейросеть уверенно называет то, чего не существует, а злоумышленнику остаётся занять это имя первым. Вывод: совет ИИ про установку чего-либо нужно проверять так же, как совет незнакомого человека на форуме. Доверие здесь стоит дороже, чем кажется. А у вас кто решает, что можно ставить на рабочие компьютеры? #безопасность #ИИ #pypi Полный разбор с деталями кейса → Бесплатный аудит безопасности Сколько стоит взлом Канал в Telegram