ИИ находит, люди чинят · 3/5 https://set.ki/post/CaZhnCy

В США общего закона с обязательным сроком раскрытия уязвимостей нет. В Китае поставщик продукта обязан в течение двух дней сообщить об уязвимости в государственную платформу. В ЕС производитель с 11 сентября 2026 года в течение 24 часов предупреждает об уязвимости, которую уже используют в атаках.

Числа нельзя сравнивать напрямую: часы идут от разных событий, а получатели и охват разные.

США. Раскрытие в основном добровольное: координирует CISA (агентство кибербезопасности), а по указу № 14409 создан Gold Eagle, платформа приёма сообщений об ИИ-находках. Обязательные режимы есть лишь для федеральных агентств и производителей медицинских киберустройств.

Девяносто дней в политике скоординированного раскрытия (CVD) Anthropic — срок нашедшего уязвимость до публикации, а не перед регулятором. Для непроверенных человеком находок её сервиса OSS Scanner (поиск уязвимостей в open source) окна нет: по её FAQ, 90 дней на них не ставят.

Китай, правила 2021 года. Обязан поставщик: сообщить в платформу министерства промышленности и информатизации (MIIT); срок идёт с момента, когда он узнал об уязвимости. Нашедшим нельзя публиковать сведения до исправления без согласования с поставщиком и уведомления властей, выкладывать вредоносные инструменты и передавать неопубликованные сведения за рубеж, кроме поставщика; сообщать они не обязаны. Применимость к иностранным поставщикам официально не разъяснена.

ЕС, регламент о киберустойчивости (CRA), статья 14. Обязан производитель продукта с цифровыми элементами на рынке ЕС, в том числе зарубежный, а не любой пользователь open source. Часы запускают надёжные свидетельства эксплуатации.

Сроки: предупреждение в течение 24 часов, уведомление в течение 72 часов с того же момента, итоговый отчёт не позднее чем через 14 дней после исправления или смягчающей меры. Сообщают через единую платформу национальной группе реагирования (CSIRT) и ENISA (агентство ЕС по кибербезопасности). Запрета или срока публикации для нашедших в праве ЕС нет. Штрафы (до 15 млн евро или 2,5% оборота) формально применяются с 11 декабря 2027 года, позже обязанности; возможны ли санкции раньше, вопрос юристу.

Различается не то, кто обязан (в Китае поставщик, в ЕС производитель: роль та же), а получатель, триггер, охват и подход. ИИ-сканер нашёл дыру, свидетельств эксплуатации нет: в ЕС, по моему прочтению, часы не идут; в Китае поставщик, узнав, сообщает в MIIT в течение двух дней; в США решает политика компании.

Это не юридическая консультация. Если вы выпускаете продукт для ЕС или Китая, кто в команде знает, обязаны ли вы сообщать об уязвимости в нём, кому и когда?

—

Ранее (2/5): что Anthropic заявила про сервис и три вопроса, которые стоит задать самой программе - https://set.ki/post/fuR9y4q

Дальше (4/5): как читать громкие заявления об ИИ-находках: три заголовка и три оговорки - https://set.ki/post/MZ3A9uR