В последнее время производители программного обеспечения всё чаще добавляют возможности искусственного интеллекта в стандартные офисные приложения, операционные системы и браузеры. Иногда это бывает полезно, но подобные функции создают дополнительные угрозы безопасности, поэтому многие компании не хотят давать своим сотрудникам доступ к таким инструментам
С точки зрения корпоративной безопасности встроенные ИИ-системы это дыра в заборе размером с футбольное поле. Разумным и очевидным решением будет сразу предпринять конкретные шаги по отключению или ограничению встроенного ИИ в популярных платформах. Важно учитывать, что крупные вендоры время от времени переименовывают настройки, связанные с нейросетями, и меняют детали их работы. Если какой-то из перечисленных ниже параметров отсутствует или ведёт себя иначе, поиск в интернете по старому названию опции обычно помогает найти её новое расположение или актуальное имя.
Как отключить Microsoft 365 Copilot
Обнаружение: проверить, используется ли Copilot в реальности, можно через отчёт в административной консоли Microsoft 365: раздел «Отчёты об использовании Copilot».
Отключение через политики: в центре администрирования зайдите в «Параметры» → «Интегрированные приложения», найдите Copilot в списке доступных приложений и выберите «Заблокировать». Более тонкие настройки доступны через раздел «Настройка» → «Управление политиками». Там среди нескольких тысяч политик отфильтруйте по слову Copilot. Поскольку Copilot — это платное дополнение к Office, ещё один способ сэкономить и заблокировать функционал — просто не выдавать пользователям лицензии, включающие Copilot.
Отдельно стоит заблокировать Copilot Chat, который доступен в Teams, Edge, Outlook и некоторых других сервисах. Это не то же самое, что обычный Copilot, и отключать его нужно отдельно по специальной инструкции.
Дополнительный рубеж защиты: на уровне веб-фильтра или межсетевого экрана нового поколения (NGFW) заблокируйте домены copilot.cloud.microsoft и m365.cloud.microsoft/chat, но Microsoft прямо не рекомендует этого делать, предупреждая о возможных сбоях в других функциях Office 365.
Как отключить Windows Copilot
Помимо «офисного» Copilot, нужно также контролировать использование его потребительской версии.
Обнаружение: в журналах NGFW или других сетевых логах ищите обращения к адресам copilot.microsoft.com, bing.com/chat, edgeservices.bing.com.
Отключение через политики: в групповых политиках Windows: «Конфигурация компьютера» → «Административные шаблоны» → «Компоненты Windows» → «Windows Copilot». В панели администрирования Microsoft 365: центре администрирования — «Заблокировать потребительский Copilot для рабочих учётных записей».
Дополнительная защита: запретите запуск файла Copilot.exe.
Как отключить боковую панель Copilot в Edge
Обнаружение: те же сетевые журналы — ищите трафик к copilot.microsoft.com, bing.com/chat, edgeservices.bing.com.
Блокировка: задайте в групповых политиках MS Edge следующие значения: HubsSidebarEnabled = false, EdgeShoppingAssistantEnabled = false, CopilotPageContext = Disabled (false), CopilotNewTabPageEnabled = false, Microsoft365CopilotChatIconEnabled = false, GenAILocalFoundationalModelSettings = 1 (обратите внимание: запрет обозначается единицей, а не нулём).
Второй уровень защиты: на веб-фильтре или NGFW заблокируйте copilot.cloud.microsoft и m365.cloud.microsoft/chat — с той же оговоркой, что Microsoft против этого предупреждает.
Как отключить помощника Gemini в Google Workspace
Обнаружение: в панели управления рабочей средой (admin.google.com) перейдите в раздел отчётов об использовании Gemini.
Блокировка политиками: в консоли администратора: «Приложения» → «Дополнительные сервисы Google» → приложение Gemini: выключить. Далее: «Управление умными настройками рабочей среды» → «Умные функции в Google Workspace»: выключить.
Второй рубеж: заблокируйте сетевой трафик к доменам gemini.google.com, bard.google.com, aistudio.google.com.
Как отключить Gemini в Google Chrome
Обнаружение: используйте отчёт корпоративной версии Chrome («Управление Chrome» → «Отчёты») или журналы сетевого трафика к указанным выше доменам.
Блокировка политиками: в корпоративных политиках Chrome установите: GenAILocalFoundationalModelSettings = 0, HelpMeWriteSettings = 2 (отключено), TabOrganizerSettings = 2, CreateThemesSettings = 2, DevToolsGenAiSettings = 2.
Дополнительная защита: заблокируйте трафик к gemini.google.com, bard.google.com, aistudio.google.com, а также запретите дополнительные установки Chrome/Chromium, не управляемые через политики, с помощью контроля приложений на конечных устройствах (EPP/EDR, AppLocker).
Как отключить Apple Intelligence
Обнаружение: в NGFW и веб-фильтрах признаком работы Apple Intelligence станет трафик к хостам apple-relay.apple.com и *.apple-cloudkit.com.
Блокировка политиками: на любом управляемом устройстве Apple можно отключить отдельные ИИ-функции, но не весь ИИ целиком. В профиле MDM необходимо выставить значения false (отключено) для следующих ключей: allowWritingTools, allowMailSummary, allowGenmoji, allowImagePlayground, allowImageWand, allowPersonalizedHandwritingResults, allowExternalIntelligenceIntegrations, allowExternalIntelligenceIntegrationsSignIn, allowNotesTranscription, allowNotesTranscriptionSummary.
Несмотря на переход к новой декларативной модели управления устройствами, ИИ-функциями по-прежнему управляют через классические настройки MDM.
Второй слой защиты: заблокируйте сетевой трафик к упомянутым хостам. Очевидный недостаток для мобильных устройств: за пределами корпоративной сети эта блокировка не действует.
По материалам Касперский