35 лет в безопасности: от военной разведки США до GRC в HSBC, Deutsche Bank и Commerzbank и роли CISO вплоть до девятизначной сделки с private equity. Сейчас я помогаю европейским командам выбирать, создавать и защищать ИИ-системы, закладывая меры контроля с первого эскиза.
Тим Крауч (Tim Crouch)Основатель и CTO, Global Software AI. CISSP. Живёт в Риге, работает по всей Европе.
Общий документ содержит скрытые инструкции. Ассистент читает его как контекст и выполняет их, например пересылает данные по почте.
Считайте извлечённый текст недоверенными данными, отделяйте его от инструкций и ограничивайте то, что модель может запустить после его прочтения.
OWASP LLM01:2025 Prompt Injection. Домен CISSP 8, Software Development Security.
Промпты передают имена клиентов, договоры или данные счетов в модель третьей стороны, за рамками ваших договоров об обработке данных.
Определите, что можно отправлять, маскируйте данные до вызова, используйте размещённый в ЕС эндпоинт по DPA и журналируйте, что было передано.
OWASP LLM02:2025 Sensitive Information Disclosure. GDPR, статья 28. Домен CISSP 2, Asset Security.
У ассистента есть токен, позволяющий отправлять письма и менять записи от имени всей компании, поэтому одна неверная инструкция приводит к большому ущербу.
Ограничьте токены конкретным пользователем, разрешайте исходящие действия только как черновики и требуйте одобрения человека для всего, что уходит за пределы компании.
OWASP LLM06:2025 Excessive Agency. Домен CISSP 5, Identity and Access Management.
Поисковый индекс построен под учётной записью администратора, поэтому любой может спросить ассистента о кадровых делах или документах совета директоров, которые сам открыть не может.
Применяйте права доступа исходной системы в момент запроса для каждого пользователя и проверяйте это учётными записями, которым должно быть отказано.
OWASP LLM08:2025 Vector and Embedding Weaknesses. Домен CISSP 5.
Когда что-то идёт не так, нет записи промпта, извлечённых источников или вызовов инструментов, поэтому невозможно расследовать инцидент или доказать соответствие требованиям.
Журналируйте промпты, источники и действия со сроками хранения, соответствующими вашим обязательствам, и настройте оповещения о необычном использовании инструментов.
NIST AI RMF, функции Measure и Manage. Домен CISSP 7, Security Operations.
Каждый проект начинается с одной понятной задачи. Мы согласуем объём, стоимость и результаты до начала оплачиваемой работы, а затем вы решаете, продолжать ли дальше.
Чаще всего запрашивают
Для команд, которые внедряют ИИ-инструменты или готовят ИИ-функцию к широкому использованию.
Обсудить аудитДля команд, которые понимают, что ИИ может помочь, но должны выбрать, с чего начать.
Для основателей и команд с конкретным продуктом или интеграцией, которую нужно реализовать.
Два дня очно для управленческих команд до 20 человек. Онлайн-модули и сертификат включены.
Также доступны консалтинг по безопасности и соответствию требованиям (ISO 27001, GDPR, облачная безопасность) и заказная разработка ПО для регулируемых сред.
Основатель и CTO, Global Software AIКонсалтинг по безопасности ИИ и CompylotAI, из Риги
CTO и советник, лицензированная немецкая инвестиционная компанияНаправления FinTech и TaxTech, интеграция после приобретения
Консультант по кибербезопасности и GRCHSBC Trinkaus, Deutsche Bank, Commerzbank
Сооснователь, CISO и CTO, Education AdvancedSaaS-компания, доведённая до девятизначной сделки с private equity
Следователь военной разведки СШАДопуск Top Secret, работа на русском и немецком
Статьи и видео о безопасности ИИ. Большинство из них кратко излагают первоисточник, например NIST, OWASP или EU AI Act, и соотносят его с доменами CISSP, которыми пользуется команда безопасности.
Каждую неделю одно событие в безопасности и одно в ИИ, с пояснением, что оно значит для команд, которые разрабатывают и эксплуатируют ПО.
Следите за нами в LinkedIn, на YouTube или через RSS. Статьи публикуются на английском языке.
Программы, выросшие из клиентских проектов, созданные в Риге и работающие в продакшене.
Предварительная проверка черновиков коммуникаций для комплаенс-команд финансовых организаций ЕС и Германии. ИИ готовит проверку. Последнее слово остаётся за вашими специалистами.
Узнать о CompylotAIПостоянно доступный ассистент на выделенной инфраструктуре в ЕС, управляемый через Telegram. Учётные данные у вас, а любой доступ поддержки журналируется.
Познакомиться с AI EmployeesЭксперименты, такие как NectarForge, Salon Rota, AImpressions и игры по моделированию угроз, собраны в лаборатории.
Опишите процесс, риск или продукт в нескольких предложениях. Бюджет и сроки указывать не обязательно.
Я отвечаю по email, обычно в течение одного рабочего дня.
Если мы подходим друг другу, проводим бесплатный 30-минутный разговор.
До начала оплачиваемой работы вы получаете письменный объём и фиксированную стоимость.
