SAFE RFC: обмен данными об инцидентах с ИИ по авиационному образцу от OSAA — это открытый черновик, пока не система

4 августа 2026 года, когда в Лас-Вегасе открылась конференция Black Hat USA, Linux Foundation опубликовала документ Request for Comments для рабочей группы Shared AI Findings Exchange (SAFE) — предложение организациям сообщать в конфиденциальный общий канал об инцидентах в сфере безопасности ИИ и о событиях, которые едва не привели к инциденту, коллективно извлекать из них уроки и публиковать защитные меры, основанные на том, что не сработало. По словам Linux Foundation, первоначальный проект подготовили участники из Cisco, CrowdStrike, Hugging Face, NVIDIA и Red Hat, а также других членов альянса. В тот же день он был открыт для общественного рассмотрения через репозиторий GitHub Open Secure AI Alliance. В записи не описывается никакого ущерба: это запись о политике, внесённая в архив с info уровнем серьёзности и оценкой достоверности A, и её предмет — процесс, а не событие. Уровень серьёзности, оценка достоверности и список источников записи находятся в архиве инцидентов ИИ, рядом с записями, внесёнными вокруг неё.

Проект призывает членов сообщить о четырёх вещах и игнорировать вопрос о том, почему.

Августовский текст небогат на риторику и конкретно описывает триггеры. Под заголовком «Reporting Compact» он просит участников согласиться — в качестве условия членства — сообщать об инциденте, когда им становится известно или у них появляются разумные основания подозревать, что эксплуатируемая ими ИИ-система совершила одно из четырех действий: без разрешения получила доступ к системе третьей стороны, эксплуатировала ее, нарушила ее работу, злоупотребила ею или изменила ее; причинила воздействие на третью сторону, выйдя за пределы или обойдя границу песочницы, сети, идентификации, политики или инструмента; получила доступ к конфиденциальной информации третьей стороны без согласия ее владельца; или продолжала зондировать, получать доступ к производственному целевому объекту либо изменять его после того, как оператор узнал или имел разумные основания подозревать, что деятельность была несанкционированной или выходила за утвержденные рамки.

Затем идёт предложение, которое выполняет основную работу: «Намерение не определяет, подлежит ли событие обязательному сообщению. Убеждённость в том, что среда была смоделирована, может объяснить инцидент, но не снимает обязанности сообщить о нём». Эта оговорка, по-видимому, относится к случаю, когда система работает в том, что её оператор считает замкнутой тестовой средой, и воспринимает реальную инфраструктуру как часть учений: убеждение оператора относительно среды может объяснить событие, но не снимает обязанности сообщать о нём. Проект также просит членов сообщать о почти произошедших инцидентах, а не только о событиях, приведших к подтверждённому ущербу, и представлять предварительный анализ отказов средств контроля в течение 30 дней.

Сроки: немедленно, 72 часа, четыре рабочих дня, девяносто дней.

Таблица уведомлений в проекте — самое конкретное в нём, и первая строка вовсе не является сроком: непосредственно затронутую организацию должны уведомить немедленно. Любой срок отсчитывается с момента, когда участник узнаёт об обстоятельствах, дающих разумные основания подозревать подлежащее уведомлению событие, а не с момента завершения расследования. Таблица ниже воспроизведена из проекта от 4 августа; октябрьская редакция сохраняет те же интервалы.

Три из этих строк касаются уведомления других лиц, а четыре — уведомления самой SAFE. Это различие важно, потому что данные рамки явно не являются режимом раскрытия информации: в проекте документа говорится: «Эти сроки не заменяют каких-либо обязательств поставщика уведомлять затронутые стороны, клиентов — через существующие передовые практики координированного раскрытия уязвимостей (Coordinated Vulnerability Disclosure) — или применимых договорных и иных правовых обязательств уведомлять регуляторов или правоохранительные органы». SAFE добавляет параллельное обязательство перед органом, который не является регулятором, а также трёхуровневую модель раскрытия информации, в которой только последний уровень — отчёт об общественной безопасности — предназначен для широкого распространения.

Восемь слоёв контроля в августе, одиннадцать в октябре.

Обзоры структурированы вокруг операционного стека, а не только вокруг модели. В августовском проекте перечислялись восемь уровней, и по каждому задавался один вопрос: распознаёт ли модель неопределённость и условия остановки; были ли явно указаны допущения об авторизации и среде; работали ли классификаторы, согласования и ограничения действий; были ли ограничены учётные данные, разрешения и выполнение; проверялись ли изоляция и границы данных независимо; могли ли операторы обнаруживать и прерывать в реальном времени; были ли чётко определены пути эскалации и процедуры аварийной остановки; не аннулировал ли партнёр по облаку, оценке, данным или инструментам предполагаемые меры контроля.

Октябрьская редакция от 21 октября 2026 года, внесённая в репозиторий на следующий день, добавляет три слоя: путь обслуживания, авторизацию в момент фиксации и композицию рабочего процесса для последовательности действий. Она также превращает проверку в дифференцированную оценку с четырьмя допустимыми вариантами ответа — пройдено, не пройдено, недостаточно доказательств, неприменимо — и указывает в журнале изменений, что эти результаты не означают, что система в целом безопасна или соответствует законодательным требованиям. Эту эволюцию стоит прочитать как описание того, о чём авторы научились беспокоиться: не о том, как повела себя модель, а о том, была ли модель, дававшая ответ, именно той моделью, которая была настроена; сохранялось ли разрешение к моменту выполнения действия; и оставалась ли вся последовательность в пределах исходной области.

Авиация, но какая именно часть авиации?

Сама формулировка в записи — система, смоделированная по образцу Системы авиационной безопасности NASA (Aviation Safety Reporting System) — следует за объявлением Linux Foundation, а не за проектом. В объявлении ASRS описывается как «система добровольной конфиденциальной отчётности, предназначенная для анализа авиационных происшествий и реагирования на них таким образом, чтобы отрасль могла учиться и совершенствоваться». Ни августовский проект, ни октябрьская редакция нигде не упоминают ASRS; в проекте лишь говорится, что SAFE «должна внедрить самые сильные черты систем конфиденциальной отчётности о безопасности». Это небольшое различие с практическим последствием: объявление задаёт ожидание, которое текст пока не берёт на себя.

Аналогия вызвала комментарии внутри самого процесса RFC. Ранний pull request, открытый 5 августа участником, выступающим в личном качестве, утверждает, что «в аналогии с ASRS не хватает институционального элемента» — ASRS работает в значительной степени потому, что отчёты принимает, обрабатывает и деидентифицирует NASA, «публичная, нерегулирующая и некоммерческая третья сторона — не FAA в роли регулятора и не авиакомпании, о деятельности которых сообщается». Этот pull request, который также опирается на процесс управления интернетом 1998 года, оставался открытым по состоянию на 30 октября. Вопрос о том, может ли оператор SAFE играть роль NASA, является нерешённым вопросом проектирования, а не окончательно закреплённой функцией: октябрьский текст передаёт рабочую группу под управление самого Alliance, с раскрытием информации о конфликте интересов, самоотводом и возможностью апелляции в Alliance Steering Committee.

Независимое освещение провело второе, более узкое разграничение. Infosecurity Magazine в публикации от 6 августа отметил, что пост Linux Foundation напрямую не упоминает ИИ-агентов — агентная трактовка принадлежит сопутствующей публикации NVIDIA, где утверждается, что «ИИ-агент — это не просто модель. Это система», и перечисляются испытательные среды, песочницы, защитные механизмы и инструменты оценки, предоставленные членами альянса. Триггеры черновика при буквальном прочтении касаются систем, действующих за пределами предоставленных полномочий; посыл анонса при буквальном прочтении — об агентах.

Что комментаторы сказали о том, кто несёт расходы

Одно из наиболее конкретных публично высказанных возражений против проекта в текущей редакции поступило не от внешнего критика, а от одного из членов-основателей альянса. Стивен Сарджент, основатель и главный технический директор Avondale.AI, 7 августа направил по электронной почте заявление о позиции — в день, когда, согласно документу, юридическая команда Linux Foundation подтвердила его получение, — и опубликовал его 9 августа. Он начинает с поддержки миссии, а затем утверждает, что пакт не масштабируется в зависимости от размера организации: «RFC не различает организацию с 50 000 сотрудников и небольшую команду». По его оценке, отчёт, подготовленный за четыре рабочих дня, вместе с сохранённым пакетом форензических данных может потребовать больше рабочего времени сотрудников, чем небольшой оператор может выделить; он рекомендует многоуровневую систему, в которой конфиденциальные отчёты и отложенная или анонимизированная публикация являются вариантом по умолчанию для организаций ниже порога численности.

Второе возражение касается раскрытия информации, а не сроков: он утверждает, что «публичное раскрытие информации действительно является формой принуждения» для небольших операторов, поскольку отчёт крупной компании — это сноска, а отчёт небольшой компании становится заголовком, и просит, чтобы обезличенная отчётность была стандартом по умолчанию ниже порога размера. Третье касается структуры проверки, а не сроков: восьмиуровневая модель предполагает раздельные корпоративные команды, поэтому при развёртывании силами одного человека «оператор делает всё», и отсутствующий уровень воспринимается как сбой контроля, хотя это просто иная операционная модель. Его четвёртый пункт касается фразы «минимальные практики интероперабельности и обеспечения», которую он понимает как путь от добровольной отчётности к де-факто обязательному инструментарию. Заявление о позиции — это мнение одного участника, опубликованное этим участником. Объявление Linux Foundation от 4 августа предшествует ему и не отвечает на этот вопрос. Более поздний pull request, открытый 5 октября и всё ещё открытый 30 октября, предлагает шаблон доказательств для операторов без центра безопасности операций — признание того, что это опасение было услышано, и кандидат, а не принятое исправление, причём его автор заявляет, что он «не устанавливает принятие SAFE или юридическую достаточность».

Что изменилось между 4 августа и 30 октября?

История репозитория — лучшая доступная запись о том, что RFC фактически выпустил, и она более понятна, чем можно предположить по новостному освещению. Первые коммиты появились 3 августа; черновик и расширенный README были закоммичены в 00:14 и 00:19 UTC 4 августа. Затем репозиторий затих на десять недель. 14 октября альянс добавил устав и файл участников и переписал README, чтобы сделать репозиторий домом рабочей группы SAFE; в тот день в качестве временных председателей были записаны Пол ДиОрио из NVIDIA и Джош Бойер из Red Hat. 21 октября рабочая группа опубликовала SAFE v1 с журналом изменений, первая запись которого гласит, что текст «убирает слово „предлагаемый“ из описания SAFE» и определяет SAFE как признанную рабочую группу Alliance.

В этом состоянии стоит разделять две вещи. В README репозитория теперь есть строка «Статус: утверждено — утверждено Руководящим комитетом», и это самое близкое к заявлению о ратификации в публичных материалах; при этом устав в том же репозитории по-прежнему гласит: «В разработке. Устав SAFE будет опубликован здесь после утверждения Руководящим комитетом». В журнале изменений октябрьский текст обозначен как «SAFE v1» и описано, что он меняет, но не сказано, кто его ратифицировал, каким голосованием и какого числа. Читатель, который хочет понять, является ли SAFE теперь утверждённой спецификацией или рабочей группой, чей основополагающий устав всё ещё не написан, не получит однозначного ответа из документов.

Что установлено, а что — нет

• Основано: 4 августа 2026 года был опубликован Request for Comments для Shared AI Findings Exchange — Linux Foundation датировала своё объявление именно этим днём — а организации, указанные в нём в качестве участников, — это Cisco, CrowdStrike, Hugging Face, NVIDIA и Red Hat, названные наряду с «другими членами Open Secure AI Alliance».

• Установлено: проект содержит соглашение об отчетности с четырьмя триггерами, таблицу уведомлений со сроками от немедленного до 90 дней, перечень мер по сохранению доказательств, многоуровневую систему проверки и трехступенчатую модель раскрытия. Полный текст опубликован в репозитории, и его история также общедоступна вместе с ним.

• Установлено, с указанием источника: размер альянса — «более 120 организаций» — это собственная цифра NVIDIA, повторённая в отчёте Infosecurity Magazine от 6 августа. Ни в одном из рассмотренных материалов не приводится независимая проверка состава участников, а файл members в репозитории содержит двух контрибьюторов и двух временных председателей, а не 120 организаций.

• Не установлено: что кто-либо подавал отчёт в рамках пакта. Публичные данные по состоянию на 30 октября содержат коммиты, запросы на слияние и задачи; в них нет отчёта об инциденте, пилотного проекта, первого случая, срока представления комментариев, правила голосования или даты ратификации. Этот механизм описывает обязательство, которое члены «соглашаются» выполнять как условие членства, что не то же самое, что обязательство, которое кто-либо уже исполнил.

• Спорно:сохраняется ли сравнение с ASRS без нейтрального публичного оператора — против этого возражали в открытом пул-реквесте; соразмерно ли бремя отчётности для малых операторов — против этого возражали в заявлении о позиции члена-основателя; и насколько структура специфична для агентов, а не для общей безопасности ИИ — различие, которое текст Linux Foundation и текст NVIDIA проводят по-разному.

Ничто из этого не делает запись ошибочной, и оценка A архива оправдана на своих собственных условиях: первичные документы согласуются друг с другом в том, что было опубликовано, когда и кем, а черновик читается полностью. Чего эта оценка не может дать — того, что читатель хочет больше всего: работает ли механизм. Для этого нет доказательств ни в ту, ни в другую сторону, потому что у механизма ещё не было случая.