AI Supply Chain Security Assessment
Проверка того, что пришло по цепочке: open-source компоненты, датасеты, LoRA-адаптеры, скрытые триггеры.
Срок 4–6 недель · Отчёт, профиль состава ПО и рекомендации · обсудить задачу
Что это такое
Модели почти никто не пишет с нуля. Система собирается из чужих частей: базовая модель из открытого репозитория, датасет оттуда же, LoRA-адаптер из чужой коллекции, библиотеки, обёртки, готовые проверки. Каждая часть разумна по отдельности — и каждая могла быть изменена до того, как попала к вам.
Supply chain assessment отвечает на вопрос «из чего собрана система и что мы про эти части знаем». Не «есть ли закладка» — доказать её отсутствие нельзя ничем. А вот показать состав, происхождение, историю изменений и то, что именно проверено, — можно.
Отдельная проблема — адаптеры. LoRA-адаптер весит десятки мегабайт, обучается на чужих данных и подключается одной строкой; при этом он меняет поведение модели так же сильно, как замена части весов. Скрытые триггеры («на определённой фразе — определённое действие») живут ровно здесь.
Когда это нужно
- Вы используете открытые модели и датасеты. Возраст компонента и число авторов заранее неизвестны, а происхождение влияет на риск;
- Подключаете LoRA-адаптеры из внешних источников. Это самый частый путь для скрытых триггеров;
- Нужно знать состав системы — для внутреннего учёта, заказчика или проверки. «Профиль состава» стал нормой в разработке, для ИИ его почти никто не делает;
- Готовитесь к аудиту или меняете поставщика. Отчёт показывает, что было проверено до вас и что проверили вы.
Как проходит работа
- Цепочка. Собираем карту поставки: откуда базовая модель, кто автор, какие библиотеки и обёртки, что подключается при сборке.
- Данные. Происхождение датасетов и адаптеров: кто опубликовал, когда, менялось ли содержимое, есть ли описание состава.
- Проверка. Сверяем хеши и версии, разбираем подозрительные компоненты, гоняем тесты на типовые триггеры. Где возможно — воспроизводим поведение на контрольных фразах.
- Риски. Для каждого компонента — что известно и чего не хватает: нет происхождения, нет описания данных, нет истории версий. Это и есть профиль риска.
- Отчёт. Профиль состава ПО (аналог SBOM для ИИ-компонентов), находки, рекомендации: что заменить, что закрепить по версии и хешу, что запретить к подключению.
Что на выходе
- Профиль состава: список компонентов с версиями, хешами, источником и датой проверки — документ, который можно обновлять;
- Отчёт по находкам с указанием, что именно проверялось и каким способом;
- Профиль риска по компонентам: «происхождение подтверждено», «не подтверждено», «недоступно» — честная шкала вместо одного вердикта;
- Рекомендации: что заменить, что зафиксировать по версии, что запретить;
- Границы проверки: что осталось непроверенным и почему.
Сроки и от чего зависит стоимость
Срок — 4–6 недель. Разброс определяется тремя вещами:
- число компонентов и наборов данных — карта поставки растёт быстро, особенно там, где сборка автоматическая;
- глубина проверки — сверка версий и хешей или ручной разбор подозрительных адаптеров;
- требуемая доказательная база — нужен ли отчёт, пригодный для передачи заказчику и регулятору, или достаточно внутреннего резюме.
Стоимость называем после сбора карты цепочки: до этого её не из чего считать.
Чего мы не делаем
- Не обещаем отсутствия закладок. Доказать отрицание нельзя — можно показать, что и насколько глубоко проверено;
- Не даём юридических заключений по лицензиям. Лицензионные риски отмечаем в отчёте как факт, но правовую оценку делает юрист;
- Не проверяем чужие системы без законного основания и письменного разрешения;
- Не публикуем найденные закладки и уязвимости без согласования;
- Не заменяем сертификацию по требованиям регулятора: наш отчёт — технический документ, а не сертификат.
Об ограничении по регистрации. Институт в процессе государственной регистрации: ОГРН и ИНН пока нет, договоры мы не заключаем. Обсуждаем задачу, границы и план; порядок договоров появится после регистрации.
Частые вопросы
Что такое LoRA-адаптер и почему он опасен?
Это компактная надстройка над моделью: десятки-сотни мегабайт вместо гигабайтов. Её подключают одной строкой, и она меняет поведение модели. Проверить её так же подробно, как исходную модель, обычно никто не берётся — там и прячутся скрытые триггеры.
Нужен ли доступ к весам?
Для профиля состава — нет, достаточно сведений о компонентах. Для глубокой проверки адаптеров и тестов на триггеры — да, понадобится среда, где они запускаются. Объём доступа согласуем заранее.
А если компонент закрытый?
Тогда в отчёте он попадает в строку «происхождение не подтверждено» с пометкой, почему именно. Это не обвинение поставщика, а честное состояние доказательной базы.
Другие услуги — в таблице услуг.