Регулирование ИИ в России смягчили после критики бизнеса

Регулирование ИИ в России смягчили после критики бизнеса

Регулирование ИИ в России смягчили после критики бизнеса

Законопроект о регулировании искусственного интеллекта, подготовленный Минцифры, заметно скорректировали с учётом замечаний бизнеса. Требования к национальным и суверенным моделям стали более сбалансированными, изменились нормы по маркировке ИИ-контента, а часть спорных положений убрали из текста документа.

Обновлённый текст законопроекта оказался в распоряжении «Российской газеты». Как отметили источники издания, близкие к работе над документом, разработчики постарались максимально учесть замечания, высказанные бизнесом.

Ряд положений прежней версии документа участники рынка называли фактически невыполнимыми. Кроме того, по оценке более чем 150 экспертов, соблюдение ключевых требований могло привести к удорожанию ИИ-проектов до 40%.

«Видим в законопроекте потенциал стать полезным инструментом для развития и применения ИИ. Регулирующие органы открыты к диалогу с отраслью — это позволяет дорабатывать проект документа, выстраивая долгосрочные правила с учётом баланса интересов заинтересованных сторон. Рассчитываем, что при дальнейшей работе этот баланс будет сохранён», — прокомментировали результаты корректировки в пресс-службе Яндекса.

Прежде всего изменились требования к национальным и суверенным моделям ИИ. В первоначальной версии законопроекта речь шла о полной локализации. В обновлённой редакции достаточно, чтобы разработчик был российским юридическим лицом и самостоятельно определял и изменял существенные характеристики модели.

«Критерии для отечественных ИИ-моделей не должны становиться дополнительными ограничениями для разработчиков, особенно с учётом высокой международной конкуренции и наличия открытых моделей на рынке. Именно на это было направлено большинство замечаний бизнеса, которые учли в ходе работы над законопроектом», — прокомментировали корректировку в Ассоциации больших данных.

Для использования ИИ-модели в госструктурах больше не требуется её включение в реестр доверенных моделей. Это требование также вызывало опасения у участников рынка: они считали, что реестр может стать «бутылочным горлышком» и затормозить внедрение ИИ. Теперь сфера применения доверенных моделей ограничена только объектами критической информационной инфраструктуры.

Требование уведомлять пользователей об использовании ИИ-сервисов сохранили только для госструктур. На коммерческий сектор оно больше не распространяется.

Из текста также убрали норму, которая обязывала сервисы с аудиторией более 500 тыс. человек хранить информацию о пользователях в течение трёх лет. Кроме того, сняты ограничения на трансграничную передачу данных ИИ. Ранее многие участники рынка расценивали это требование как фактический запрет на использование зарубежных ИИ-моделей.

Сняты и ограничения на использование открытых данных для обучения нейросетей. В прежних редакциях соответствующие формулировки были недостаточно чёткими.

Наконец, изменились требования к маркировке контента. Она должна быть машиночитаемой, но делать её различимой для людей не обязательно.

«Международная практика двигается к созданию стандартов машиночитаемой маркировки такого контента, но до определения универсальных правил ещё достаточно далеко. Поэтому случаи установления машиночитаемой маркировки ИИ-контента будут дополнительно определены правительством», — отметил один из источников издания.

Подпишитесь на новости

В UEFI нашли критическую дыру: сервер можно атаковать ещё до загрузки ОС

Операционная система ещё не запустилась, а чужой код уже работает. В EDK II — открытой основе UEFI-прошивок, которую используют многие производители серверов, — обнаружили критическую уязвимость CVE-2026-97631 с 9,5 балла из 10 по CVSS. Она позволяет атаковать машину во время сетевой загрузки PXE.

Детали разработчики раскрыли в официальном уведомлении. Проблему нашли Алекс Матросов из Anthropic и Дэн Холмс-Митра из Google.

Ошибка затрагивает обработку ICMP-сообщений при загрузке по IPv4 и IPv6: слишком большой пакет переполняет буфер и повреждает память.

Результат — зависание загрузки либо выполнение кода с максимальными привилегиями в среде UEFI. Причём до того, как Secure Boot и механизмы измеренной загрузки проверят компоненты ОС. Защита Windows или Linux в этот момент ещё даже не вышла на смену.

Но для эксплуатации должны сложиться определённые условия: машина должна загружаться по сети, а вредоносный пакет — попасть к ней именно в этот момент. Для выполнения кода атакующему также нужно знать конкретную сборку прошивки. Одного универсального пакета для захвата всех серверов здесь нет.

По данным Ars Technica, публикацию согласовывали на январь, однако исправление появилось в открытом pull request ещё в сентябре. Теперь детали доступны как защитникам, так и тем, кто предпочитает ломать.

Администраторам стоит проверить уведомления производителя и доступность обновления BIOS/UEFI. Если PXE не нужен, сетевую загрузку рекомендуют отключить.

RSS: Новости на портале Anti-Malware.ru