ИИ — не ум, а инструкции: промпт не замок, пароль в США — риск
У меня самого пять сайтов — мультимедиа, яхты, кондиционеры, дизайн — легли. Не у меня лично, у клиентов. На этом фоне разговор про искусственный интеллект перестаёт быть абстрактным.
Мне не нравится само название искусственный интеллект. Это не интеллект. Языковая модель берёт символы, картинки, видео — по сути набор кода и последовательностей пикселей, — написанные кем-то и когда-то, и начинает считать их инструкцией. Она не понимает запрет. Она угадывает, что от неё хотят услышать. И если ей дали инструмент с правом записи, она этим правом пользуется.
Это не расследование и не утверждение, что Beget лёг из-за ИИ. Это попытка сформулировать тревогу, которая появилась задолго до 2 ноября.
Мой реальный пример — Codex. Был ограничительный промпт: ничего на сайте не стирать. Модели дали возможность добавлять информацию. Она не стёрла — она изменила данные. Формально не обошла запрет, просто сделала по-своему: вычитала в интернете что-то и применила к существующей странице. Для владельца сайта разница между стёр и изменил невелика. Данные уже не те.
Отсюда важный вывод: ограничительный промпт — это просьба, а не замок. Если у агента есть токен с правом write, никакая фраза не трогай его не остановит. Остановить может только read-only доступ, staging-копия, подтверждение человеком, бэкап и аудит. Всё остальное — надежда на вежливость статистической модели.
Когда вы даёте языковой модели логин и пароль от сайта — или даже просто API-ключ с правом записи, — вы передаёте контроль над своим ресурсом компании в другой юрисдикции. OpenAI, Anthropic, Google — американские компании. Они работают по американским законам, хранят данные на своих серверах и могут быть обязаны предоставить их властям или сами кому-либо передать.
Достать пароль оттуда не проблема — не потому, что вы кому-то нужны лично, а потому, что система так устроена. Вы не знаете, кто и когда получит доступ к вашему токену, как он хранится и что с ним произойдёт через год. Вы просто нажали подключить и отдали ключ. И ладно бы только ключ — часто отдают пароль от админки хостинга, от почты для генерации автоответов, от FTP.
Это не сотрудничество с ИИ, это добровольная передача доступа за границу без бэкапа и без ограничения прав. И когда я сказал клиенту: ты понимаешь, что по сути передал пароль от сайта в США? — это был не риторический вопрос. Это была констатация.
В ночь с 1 на 2 ноября 2026 года Beget подвергся кибератаке. По официальному сообщению, злоумышленники получили доступ к управляющему контуру всей архитектуры и запустили обнуляющие скрипты. Восстановление идёт до сих пор: почта была восстановлена примерно на 80%, виртуальный хостинг ещё проверяют, бинарные бэкапы VPS утеряны, в облаке — VPS, S3, Kubernetes — данные утрачены, сохранены только файловые бэкапы.
По сообщениям в соцсетях Beget, речь шла о сотнях тысяч сайтов, которые лежали с ночи 2 ноября. Цифра 350 тысяч гуляет в обсуждениях, независимого подтверждения нет. Но масштаб понятен: по некоторым оценкам, на Beget сидело около 15% сайтов Рунета. Среди клиентов называли РЖД, Честный Знак, Комус, DNS, Почту России, Белку и других.
Крупняк с собственными серверами и копиями поднялся быстрее — хотя и не сразу. Из относительно крупных, по наблюдениям, Онлайнтрейд поднял сайт только сегодня, судя по всему, выцарапав данные в том же Beget и подняв на старой копии.
Это не значит, что атака пришла через языковую модель. Публично Beget не заявлял о такой связи. Более того, описание атаки — доступ к управляющему контуру и запуск скриптов — больше похоже на компрометацию инфраструктуры и учётных данных, то есть доступ достала не модель, а человек, чем на то, что модель что-то удалила. Но хронология заслуживает внимания.
23 октября Beget гордо сообщил клиентам, что сотрудничает с GPT, Claude, Gemini, Grok, а также с китайскими DeepSeek и Qwen. Китайцев в виде API к сайтам я не подключал. А вот Codex я видел подключённым к сайту клиента — о чём писал выше.
Тогда я сказал клиенту простую вещь: ты понимаешь, что по сути передал пароль от сайта в США? И достать его оттуда — не проблема. Кому я нужен, — скажет он. Но вопрос не в том, нужен ли конкретно я. Вопрос в том, что мы массово выдали доступы к сайтам и почтам внешним сервисам, которые работают по своим правилам, в своей юрисдикции, со своими политиками хранения и обработки данных.
Я не утверждаю, что Beget лёг из-за LLM. Я утверждаю другое: мы создали класс рисков, который до конца не осознаём. И история с Beget — это не обязательно про ИИ, но это точно про концентрацию, права доступа и доверие.
Давайте представим не фантастику, а бытовую реальность. Сколько людей подключило свои сайты и почты к языковым моделям? Через плагины, расширения, API-ключи, умные конструкторы, интеграции в CMS. Сколько из них выдало не ограниченный токен, а логин и пароль? Сколько не сделало бэкап перед экспериментами? Сколько не проверило, какие права реально получил агент?
Теперь добавим вторую реальность: концентрацию. Если значительная часть малого бизнеса сидит на одном хостере, то одна атака — и лежит не один сайт, а сотни тысяч. Это уже произошло. И к ИИ это может не иметь прямого отношения. Но к архитектуре — самое прямое.
Реалистичные механизмы потери данных здесь не модель захочет. Они скучные: утечка токенов из плагинов и расширений; prompt injection через контент, который модель читает; ошибочная массовая операция агента с правом записи; компрометация интеграционной платформы; юридическая или геополитическая блокировка API; человеческий фактор — кто-то просто нажал подключить.
Полрунета потеряем — это гипербола. Но много малых сайтов и почт одновременно — вполне реалистичный сценарий. И он не требует злого умысла модели. Достаточно человека, который запросит у своей модели сайты из России, подключённые как API GPT, и схлопнет их, а если будет доступ к личному кабинету хостинга-сервера, сотрёт.
История с Codex показала простую вещь: языковая модель не обходит запрет — она действует в тех границах, которые ей дали технически. Если границ нет, запрет в промпте ничего не значит.
История с Beget показала другую вещь: когда доступы, данные и инфраструктура сконцентрированы, одна атака бьёт по всем сразу. И неважно, была ли там языковая модель. Важно, что мы уже массово выдали пароли от своих сайтов и почт внешним сервисам — часто без бэкапов, без ограничений прав и без понимания, что именно мы отдали.
По сути, мы передали ключи в США и делаем вид, что это просто удобная интеграция. Поэтому вывод не ИИ захватил Рунет. Вывод скромнее и неприятнее: мы сами раздали права и не поставили замки. А потом удивляемся, что дверь открыта.
Мне не нравится само название искусственный интеллект. Это не интеллект. Языковая модель берёт символы, картинки, видео — по сути набор кода и последовательностей пикселей, — написанные кем-то и когда-то, и начинает считать их инструкцией. Она не понимает запрет. Она угадывает, что от неё хотят услышать. И если ей дали инструмент с правом записи, она этим правом пользуется.
Это не расследование и не утверждение, что Beget лёг из-за ИИ. Это попытка сформулировать тревогу, которая появилась задолго до 2 ноября.
Мой реальный пример — Codex. Был ограничительный промпт: ничего на сайте не стирать. Модели дали возможность добавлять информацию. Она не стёрла — она изменила данные. Формально не обошла запрет, просто сделала по-своему: вычитала в интернете что-то и применила к существующей странице. Для владельца сайта разница между стёр и изменил невелика. Данные уже не те.
Отсюда важный вывод: ограничительный промпт — это просьба, а не замок. Если у агента есть токен с правом write, никакая фраза не трогай его не остановит. Остановить может только read-only доступ, staging-копия, подтверждение человеком, бэкап и аудит. Всё остальное — надежда на вежливость статистической модели.
Когда вы даёте языковой модели логин и пароль от сайта — или даже просто API-ключ с правом записи, — вы передаёте контроль над своим ресурсом компании в другой юрисдикции. OpenAI, Anthropic, Google — американские компании. Они работают по американским законам, хранят данные на своих серверах и могут быть обязаны предоставить их властям или сами кому-либо передать.
Достать пароль оттуда не проблема — не потому, что вы кому-то нужны лично, а потому, что система так устроена. Вы не знаете, кто и когда получит доступ к вашему токену, как он хранится и что с ним произойдёт через год. Вы просто нажали подключить и отдали ключ. И ладно бы только ключ — часто отдают пароль от админки хостинга, от почты для генерации автоответов, от FTP.
Это не сотрудничество с ИИ, это добровольная передача доступа за границу без бэкапа и без ограничения прав. И когда я сказал клиенту: ты понимаешь, что по сути передал пароль от сайта в США? — это был не риторический вопрос. Это была констатация.
В ночь с 1 на 2 ноября 2026 года Beget подвергся кибератаке. По официальному сообщению, злоумышленники получили доступ к управляющему контуру всей архитектуры и запустили обнуляющие скрипты. Восстановление идёт до сих пор: почта была восстановлена примерно на 80%, виртуальный хостинг ещё проверяют, бинарные бэкапы VPS утеряны, в облаке — VPS, S3, Kubernetes — данные утрачены, сохранены только файловые бэкапы.
По сообщениям в соцсетях Beget, речь шла о сотнях тысяч сайтов, которые лежали с ночи 2 ноября. Цифра 350 тысяч гуляет в обсуждениях, независимого подтверждения нет. Но масштаб понятен: по некоторым оценкам, на Beget сидело около 15% сайтов Рунета. Среди клиентов называли РЖД, Честный Знак, Комус, DNS, Почту России, Белку и других.
Крупняк с собственными серверами и копиями поднялся быстрее — хотя и не сразу. Из относительно крупных, по наблюдениям, Онлайнтрейд поднял сайт только сегодня, судя по всему, выцарапав данные в том же Beget и подняв на старой копии.
Это не значит, что атака пришла через языковую модель. Публично Beget не заявлял о такой связи. Более того, описание атаки — доступ к управляющему контуру и запуск скриптов — больше похоже на компрометацию инфраструктуры и учётных данных, то есть доступ достала не модель, а человек, чем на то, что модель что-то удалила. Но хронология заслуживает внимания.
23 октября Beget гордо сообщил клиентам, что сотрудничает с GPT, Claude, Gemini, Grok, а также с китайскими DeepSeek и Qwen. Китайцев в виде API к сайтам я не подключал. А вот Codex я видел подключённым к сайту клиента — о чём писал выше.
Тогда я сказал клиенту простую вещь: ты понимаешь, что по сути передал пароль от сайта в США? И достать его оттуда — не проблема. Кому я нужен, — скажет он. Но вопрос не в том, нужен ли конкретно я. Вопрос в том, что мы массово выдали доступы к сайтам и почтам внешним сервисам, которые работают по своим правилам, в своей юрисдикции, со своими политиками хранения и обработки данных.
Я не утверждаю, что Beget лёг из-за LLM. Я утверждаю другое: мы создали класс рисков, который до конца не осознаём. И история с Beget — это не обязательно про ИИ, но это точно про концентрацию, права доступа и доверие.
Давайте представим не фантастику, а бытовую реальность. Сколько людей подключило свои сайты и почты к языковым моделям? Через плагины, расширения, API-ключи, умные конструкторы, интеграции в CMS. Сколько из них выдало не ограниченный токен, а логин и пароль? Сколько не сделало бэкап перед экспериментами? Сколько не проверило, какие права реально получил агент?
Теперь добавим вторую реальность: концентрацию. Если значительная часть малого бизнеса сидит на одном хостере, то одна атака — и лежит не один сайт, а сотни тысяч. Это уже произошло. И к ИИ это может не иметь прямого отношения. Но к архитектуре — самое прямое.
Реалистичные механизмы потери данных здесь не модель захочет. Они скучные: утечка токенов из плагинов и расширений; prompt injection через контент, который модель читает; ошибочная массовая операция агента с правом записи; компрометация интеграционной платформы; юридическая или геополитическая блокировка API; человеческий фактор — кто-то просто нажал подключить.
Полрунета потеряем — это гипербола. Но много малых сайтов и почт одновременно — вполне реалистичный сценарий. И он не требует злого умысла модели. Достаточно человека, который запросит у своей модели сайты из России, подключённые как API GPT, и схлопнет их, а если будет доступ к личному кабинету хостинга-сервера, сотрёт.
История с Codex показала простую вещь: языковая модель не обходит запрет — она действует в тех границах, которые ей дали технически. Если границ нет, запрет в промпте ничего не значит.
История с Beget показала другую вещь: когда доступы, данные и инфраструктура сконцентрированы, одна атака бьёт по всем сразу. И неважно, была ли там языковая модель. Важно, что мы уже массово выдали пароли от своих сайтов и почт внешним сервисам — часто без бэкапов, без ограничений прав и без понимания, что именно мы отдали.
По сути, мы передали ключи в США и делаем вид, что это просто удобная интеграция. Поэтому вывод не ИИ захватил Рунет. Вывод скромнее и неприятнее: мы сами раздали права и не поставили замки. А потом удивляемся, что дверь открыта.
