ИИ над данными: сначала доступы, потом ИИ
Агент, который читает 13 баз, снимает защиту, державшуюся «сама собой»: чтобы узнать зарплату коллеги, раньше нужен был доступ в бухгалтерию, а теперь хватает вопроса на русском.
Это реальный проект для группы компаний, название не раскрываю. Вывод после него один: внедрение ИИ над корпоративными данными — сначала проект по управлению доступом, и только потом про ИИ.
Раньше барьеры держались неявно: нужного человека нет в списке, нужной базы он не видит. Агент эти барьеры схлопывает, поэтому защита строится слоями, и каждый слой закрывает свой класс риска.
• ролевая модель вместо россыпи индивидуальных прав
• запреты на зарплатные и кадровые данные на уровне кода, а не просьбой в промпте
• детектор обращений к чувствительным данным
• контур стоимости запросов и журнал аудита
• отдельные технические учётные записи для агента
Результат: утечек персональных данных через ИИ-контур — ноль, зарплатные базы закрыты для всех ролей, фактический доступ к кадрам и бухгалтерии не расширился. Наборов прав у сотрудников было 56, стало 10. Стоимость обращения из непредсказуемой стала понятной: порядка трёх долларов за пятьдесят содержательных запросов.
Проект я реализовал лично, от модели прав до журнала аудита. Но защита не идеальна: часть рисков остаётся открытой, и её надо видеть, а не делать вид, что её нет.
Какие барьеры у вас держатся только на том, что «никто не догадается спросить»?
Полный разбор с деталями кейса →
Кейсы: как бизнес зарабатывает на ИИ-агентах
НейроШтат — внедрение ИИ-агентов
