Конференция PRO DevSecOps Conf 2026, организованная ГК Swordfish Security, собрала ведущих экспертов по безопасной разработке и защищённому искусственному интеллекту. Мероприятие прошло 22 сентября и стало площадкой для обсуждения того, как зрелые команды внедряют ИИ в продакшен, не забывая о безопасности. Среди более чем 30 спикеров были представители Банка России, ИСП РАН, Газпромбанка, «Почты России» и ВымпелКома. Ключевым анонсом стала презентация второй версии модели зрелости AI Security SAIMM, а также разбор реальных кейсов защищённого конвейера в масштабе крупных компаний. Открытие конференции прошло под названием «Цифровая Одиссея»: генеральный директор ГК Swordfish Security Александр Пинаев и генеральный партнёр Юрий Сергеев рассказали, как ИИ меняет разработку ПО и почему встроенная безопасность становится ключевым свойством AI-Native-организации. Отдельным гостем стал Оскар Конюхов, руководитель экспедиционного штаба Фёдора Конюхова, который на примере подготовки мировых рекордов показал, какие принципы управления рисками из экстремальных путешествий работают в больших проектах и бизнесе.

В рамках конференции участники обсудили новые требования к разработчикам и внедренцам ИИ-систем, которые появляются в связи с вступлением в силу 243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации». Дмитрий Служеникин, секретарь Консорциума ИИ, представил план реализации этого закона при создании информационных систем с ИИ. Альбина Аскерова из Swordfish Security рассказала о регуляторном контуре ИИ в России, отметив, что нормы зачастую опережают практику. Антон Башарин, старший управляющий директор Swordfish Security, поделился результатами работы по внедрению доверенного ИИ в государственные информационные системы и критическую информационную инфраструктуру. Эти доклады задали общий тон: регуляторное давление растёт, а практика ещё только формируется, и компаниям приходится искать баланс между инновациями и соответствием требованиям.

Технической изюминкой конференции стала обновлённая модель зрелости SAIMM v2.0, представленная Александром Гадаем, руководителем службы консалтинга Swordfish Security. Эта модель учитывает как специфику ИИ, так и российское регулирование, позволяя компаниям оценивать уровень безопасности своих ИИ-решений. Кирилл Сорокин из ВымпелКома поделился опытом применения SAIMM на практике: в компании провели оценку зрелости AI Security и превратили её результаты в конкретный план снижения рисков. Кроме того, были продемонстрированы инструменты AppSec.GenAI и AppSec.AIGate, предназначенные для защиты ИИ-систем на всех этапах жизненного цикла — от проверки моделей до продакшена. Юрий Шабалин, директор по развитию ИИ-технологий AppSec Solutions, показал, какие риски появляются, когда модели соединяют с внутренними системами. Дополнительно Андрей Орехов из Swordfish Security рассказал, где ИИ уже стал надёжным помощником в безопасной разработке, какие риски он приносит и где решения по-прежнему должен принимать человек. Павел Тощаков разобрал реальный кейс внедрения AI Security у заказчика глазами инженеров, а Давид Ким, AI Product Manager в AI-Lab Swordfish Security, описал движение компании к модели AI-native — от доступа к ИИ-ассистенту для каждого сотрудника до агентов, которые работают в продакшене.

Контекст конференции определяется стремительным проникновением ИИ в бизнес-процессы, что создаёт новые угрозы. Если раньше безопасная разработка (РБПО) фокусировалась на классических уязвимостях, то теперь приходится учитывать риски, связанные с моделями машинного обучения, данными и агентами. На конференции отмечалось, что запреты на использование ИИ сотрудниками не работают, поэтому компании ищут способы контролировать так называемый Shadow AI. Денис Данилов из Swordfish Security в докладе «Тени на воде» объяснил, почему запреты неэффективны и как дать сотрудникам удобный инструмент, который компания полностью контролирует. В этом ключе показателен опыт «Почты России», где Роман Шапиро, руководитель дирекции информационной безопасности, рассказал, как выстроили защищённый конвейер для более чем 90 команд и 200 продуктов. Также обсуждались вопросы безопасности цепочки поставок ПО и подготовка к новому ГОСТу о среде разработки безопасного ПО — Евгений Куликов из Swordfish Security описал, как выстроить доверенную цепочку поставки и подготовиться к новому стандарту. Константин Брагин, консультант по безопасности приложений, показал, как встроить ИБ-проверки в автоматическую сборку и не замедлиться.

Для российского рынка выводы конференции имеют особое значение, поскольку регуляторные требования ужесточаются, а импортозамещение в сфере ИИ становится приоритетом. Представители отрасли отмечают, что модель SAIMM v2.0 может стать де-факто стандартом для оценки зрелости AI Security в крупных организациях. В условиях действия 243-ФЗ компаниям необходимо не только внедрять ИИ, но и обеспечивать его соответствие нормам. Реакция участников свидетельствует о высоком интересе к практическим инструментам, которые позволяют автоматизировать проверки безопасности в CI/CD и не замедлять разработку. Особый акцент делался на то, что ИИ-агенты уже пишут код, и это требует пересмотра подходов к контролю качества и безопасности. Показательно, что в программе были не только технические, но и методологические доклады — например, о внедрении доверенного ИИ в ГИС и КИИ, что подчёркивает системный характер задачи.

Сравнивая с зарубежными аналогами, можно отметить, что модели зрелости AI Security существуют и на Западе, однако SAIMM v2.0 адаптирована под российское законодательство и специфику локального рынка. В отличие от универсальных фреймворков, она учитывает требования 243-ФЗ и других нормативных актов. Кроме того, в России активно развиваются собственные решения для защиты ИИ, такие как AppSec.GenAI и AppSec.AIGate, которые предлагают комплексный подход. Это отличает отечественную практику от западной, где зачастую используются разрозненные инструменты. Конференция показала, что российские компании готовы делиться опытом и формировать общую культуру безопасной разработки с использованием ИИ. Важно и то, что обсуждение выходит за рамки отдельных инструментов: речь идёт о построении целостной экосистемы, где безопасность встроена в каждый этап жизненного цикла.

В перспективе ожидается дальнейшее развитие регуляторной базы и появление новых версий SAIMM. Открытыми остаются вопросы о том, как будут сертифицироваться ИИ-системы и какие требования предъявят к разработчикам в ближайшие годы. Участники конференции сошлись во мнении, что человеческий контроль остаётся необходимым, несмотря на автоматизацию. Записи докладов доступны на RUTUBE, что позволяет ознакомиться с деталями тем, кто не смог присутствовать. Следующая конференция, вероятно, пройдёт через год и соберёт ещё больше специалистов, заинтересованных в безопасном ИИ. Пока же главный вывод очевиден: ИИ в продакшене — это не только скорость, но и новая ответственность, а российские компании уже активно ищут способы её нести.