Глава службы киберзащиты США загрузил конфиденциальные документы на ChatGPT

Исполняющая обязанности директора Агентства США по кибербезопасности и защите инфраструктуры (CISA) Мадху Готтумуккала спровоцировала серьезную внутреннюю проверку безопасности после того, как загрузила конфиденциальные документы по государственным контрактам в общедоступную версию ChatGPT, потенциально раскрыв материалы, не предназначенные для более широкого распространения.

Хотя документы не были засекречены, на них была пометка «только для служебного пользования» (FOUO) — обозначение, используемое во всех федеральных ведомствах для обозначения конфиденциальной информации, не предназначенной для публичного распространения. Их передача на внешнюю, широкодоступную платформу искусственного интеллекта вызвала автоматические оповещения о киберугрозах и немедленно вызвала обеспокоенность у высокопоставленных чиновников Министерства внутренней безопасности (DHS), которое курирует CISA.

Информация, вводимая в общедоступные версии ChatGPT, передается в OpenAI, которая управляет сервисом, и может быть проанализирована для повышения производительности системы для широкой пользовательской базы. Учитывая, что, по данным OpenAI, у сервиса более 800 миллионов активных пользователей по всему миру, правительственные чиновники выразили обеспокоенность по поводу того, как быстро конфиденциальная информация может распространяться или непреднамеренно передаваться через систему.

В отличие от них, инструменты искусственного интеллекта, одобренные Министерством внутренней безопасности, такие как разработанная внутри ведомства система DHSChat, работают в защищенных федеральных средах. Эти системы предназначены для поддержки экспериментов с ИИ, обеспечивая при этом конфиденциальность пользовательских данных в государственных сетях и снижая риск несанкционированного доступа.

Обзор инцидента

Согласно источникам, на которые ссылалось издание Politico, и последующим сообщениям, загрузка данных произошла в период с середины июля по начало августа 2025 года, вскоре после того, как Готтумуккала занял должность исполняющего обязанности директора в мае 2025 года. В то время доступ к ChatGPT для всего персонала Министерства внутренней безопасности был явно заблокирован в государственных системах из-за сохраняющихся опасений по поводу утечки и хранения данных за пределами федеральных сетей.

Готтумуккала получил временное разрешение от Управления главного информационного директора CISA на использование общедоступного инструмента ИИ, предположительно в рамках предварительных усилий по изучению полезности искусственного интеллекта в федеральных операциях по кибербезопасности.

Однако вскоре этот инцидент вызвал множество внутренних предупреждений: датчики безопасности CISA неоднократно помечали загружаемые файлы как потенциальные случаи утечки информации и оповестили группы кибербезопасности Министерства внутренней безопасности США в течение нескольких дней после первой передачи файлов.

В ответ высокопоставленные должностные лица Министерства внутренней безопасности распорядились провести внутреннюю оценку и анализ ущерба — стандартную процедуру в соответствии с политикой ведомства в случаях непреднамеренного раскрытия конфиденциальной правительственной информации за пределами защищенных правительственных сетей. Эти проверки, как правило, изучают первопричины, риск утечки данных и потенциальные кадровые или политические меры, начиная от переподготовки и заканчивая аннулированием допуска к секретной информации.

Должностные лица, непосредственно участвовавшие в проверке, говорили на условиях анонимности, признавая, что результаты не были обнародованы и что полный масштаб любых компромиссов остается неясным. Один источник сообщил изданию The Independent , что в середине лета состоялись встречи между Готтумуккалой и высокопоставленными должностными лицами агентства, включая главного директора по информационным технологиям и главного юрисконсульта CISA, для обсуждения надлежащего обращения с материалами, имеющими свободный доступ.

В официальном заявлении пресс-секретарь CISA Марси Маккарти защитила использование Готтумуккалой платформы ChatGPT, заявив, что оно осуществлялось «с соблюдением мер контроля Министерства внутренней безопасности» в рамках «краткосрочного и ограниченного» исключения, и подчеркнула неизменную приверженность агентства ответственному использованию ИИ в соответствии с федеральными директивами. Маккарти также указала, что последний зафиксированный доступ Готтумуккалы к публичной платформе был в середине июля 2025 года.

Маккарти добавил: «Агентство было привержено использованию ИИ и других передовых технологий для модернизации правительства и выполнения указа Трампа об устранении барьеров на пути к лидерству Америки в области ИИ».

Более подробный взгляд на Мадху Готтумуккалу

Мадху Готтумуккала (родился 29 октября 1976 г.) — американский инженер-руководитель, исполняющий обязанности директора и заместителя директора Агентства по кибербезопасности и защите инфраструктуры (CISA) с мая 2025 года.

До прихода в CISA Готтумуккала занимал руководящие должности в сфере технологий в правительстве штата Южная Дакота. С сентября 2024 года по май 2025 года он занимал должность главного директора по информационным технологиям и комиссара Бюро информации и телекоммуникаций Южной Дакоты, а также недолгое время — должность главного технического директора штата с августа по сентябрь 2024 года.

Готтумуккала родился в штате Андхра-Прадеш, Индия, 29 октября 1976 года. Он получил степень бакалавра в области электроники и телекоммуникаций в Университете Андхра. Позже он получил степень магистра в области компьютерных наук и инженерии в Техасском университете в Арлингтоне, степень магистра делового администрирования в области управления инженерными и технологическими проектами в Университете Далласа и докторскую степень в области информационных систем в Университете штата Дакота.

Частный сектор (2000–2024)

Готтумуккала начал свою карьеру в частном секторе информационных технологий в 2000 году. Позже он присоединился к Sanford Health, где с декабря 2019 года занимал должность старшего директора по бизнес-решениям. В апреле 2024 года он был назначен в консультативный комитет Университета штата Дакота.

Правительство Южной Дакоты (2024–2025 гг.)

В августе 2024 года губернатор Южной Дакоты Кристи Ноэм назначила Готтумуккалу главным техническим директором штата, и он был приведен к присяге 5 августа. В следующем месяце он был назначен главным информационным директором и комиссаром Бюро информации и телекоммуникаций Южной Дакоты, вступив в обе должности 9 сентября 2024 года.

Агентство по кибербезопасности и защите инфраструктуры

В апреле 2025 года министр внутренней безопасности США Кристи Ноэм назначила Готтумуккалу заместителем директора Агентства по кибербезопасности и защите инфраструктуры (CISA). Он вступил в должность 16 мая 2025 года. Позже в том же месяце он сообщил сотрудникам агентства, что большая часть руководства CISA уходит в отставку и что он будет исполнять обязанности директора с 30 мая 2025 года. В августе 2025 года он выступил на конференции Black Hat Briefings, посвященной критической инфраструктуре.

В декабре 2025 года издание Politico сообщило, что Готтумуккала в июне запросил доступ к программе с контролируемым доступом, для чего требовалось пройти проверку на полиграфе. В конце июля он не прошёл проверку на полиграфе. Впоследствии Министерство внутренней безопасности начало расследование обстоятельств проведения теста и отстранило от работы шесть штатных сотрудников, заявив, что проверка на полиграфе не должна была проводиться.

Более широкий контекст

Этот инцидент высвечивает растущие проблемы, с которыми сталкиваются государственные учреждения при интеграции инструментов генеративного ИИ, таких как ChatGPT, в конфиденциальную рабочую среду. Общедоступные платформы ИИ — в отличие от версий, контролируемых внутри организации — могут сохранять пользовательские данные и в некоторых случаях использовать их для улучшения производительности модели, потенциально делая информацию доступной для других или даже, в худшем случае, для враждебных субъектов. Этот риск особенно высок для ведомств, отвечающих за защиту от киберугроз, спонсируемых государством.

Стоит отметить, что даже несекретные, но конфиденциальные данные могут представлять значительный операционный риск, если злоумышленники получат доступ к информации о контрактной деятельности, сетевой архитектуре или стратегиях закупок. Академические исследования больших языковых моделей подчеркивают аналогичные опасения: за пределами защищенных государственных или корпоративных систем искусственного интеллекта существуют документально подтвержденные ограничения в эффективности защиты конфиденциальных входных данных этими инструментами без надежного шифрования, изоляции и контроля управления данными.

Период работы Готтумуккалы в CISA уже был отмечен внутренней напряженностью. В конце 2025 года несколько штатных сотрудников были отстранены от работы во время отдельного скандала, связанного с прохождением исполняющим обязанности директора теста на полиграфе в рамках контрразведывательной проверки, который, как сообщается, он провалил, что послужило поводом для дополнительных внутренних расследований.

Согласно многочисленным сообщениям, совсем недавно Готтумуккала попытался сместить с должности директора по информационным технологиям CISA, но его попытка была заблокирована коллегами. Эти эпизоды вызвали вопросы о внутренней динамике руководства в агентстве в тот момент, когда численность персонала также сокращается из-за бюджетных проблем.

Заключение

Эти разоблачения, вероятно, привлекут дополнительное внимание комитетов Конгресса, курирующих вопросы национальной безопасности и федеральной политики в области кибербезопасности. Законодатели уже выразили обеспокоенность обеих партий по поводу использования правительством ИИ и методов обеспечения безопасности данных, что повышает вероятность принятия новых законодательных мер по ужесточению контроля над конфиденциальной информацией и внедрением искусственного интеллекта в государственном управлении. Этот случай может послужить важным примером того, почему жесткие протоколы, мониторинг в режиме реального времени и четкие структуры подотчетности имеют важное значение, когда общедоступные инструменты ИИ пересекаются с секретными или конфиденциальными операциями.

Источник: www.linkedin.com

Комментарии: