Что нельзя отдавать ИИ-агенту и подрядчику из кода: ключи и ПДн

Агент читает .env так же легко, как код

Вы просите ИИ-чат разобраться с ошибкой в интеграции и вставляете файл целиком. В нём токен Telegram-бота, строка подключения к базе и ключ платёжного сервиса. Или подрядчик подключает агента кодирования к папке проекта, и тот открывает всё, что лежит рядом с кодом. В README DevProjex сказано прямо: агент с обычным доступом к файлам прочтёт .env так же просто, как исходник.

Ключ из чата остаётся в истории переписки и в логах провайдера. Про атаки на самих агентов я писал в разборе писем и поиска, которые агент принимает за приказ. Здесь речь о том, что вы отдаёте в контекст сами.

Что нельзя отдавать ИИ-агенту и подрядчику из кода

• Ключи и токены: API-ключи, токены ботов, ключи платёжных систем, приватные SSH-ключи, адреса вебхуков с секретом внутри.
• Пароли и строки подключения к базам, почте, FTP, панели хостинга. Обычно они лежат в .env, docker-compose и файлах настроек.
• Дампы и выгрузки: база с клиентами, экспорт CRM, логи с телефонами и почтой. Тестовая база, снятая с боевой, остаётся боевой.
• Персональные данные в коде и тестах: реальные ФИО, паспорта, адреса в «примерах».

Подрядчику отдают код без секретов, а доступы выдают отдельно, на срок работы, с возможностью отозвать. Как держать секреты команды в репозитории в зашифрованном виде, я разбирал в статье про git-secret.

DevProjex: что я проверил по репозиторию

Автор проекта Avazbek Olimov (аккаунт Avazbek22), адрес github.com/Avazbek22/DevProjex. Лицензия по файлу LICENSE: Apache 2.0, свободная, в коммерческой работе использовать можно. Репозиторий создан 30 июня 2025 года, не архивирован. Релизы выходят раз в месяц: 5.0 в августе, 5.1 в сентябре, 5.2 в октябре. Последний коммит от 8 октября 2026 года правил README. У проекта 31 звезда и 22 открытых обращения: он живой и небольшой. По политике подписи релизов автор значится единственным разработчиком и единственным утверждающим.

Что делает: вы отмечаете файлы галочками в дереве, смотрите предпросмотр с оценкой токенов и копируете результат в ASCII, Markdown, JSON или XML. Есть настольное приложение, терминальный интерфейс, командная строка и MCP-сервер, который агенту только читает. Smart Ignore скрывает папки сборки, зависимости и кэши, а при сомнениях папку оставляет видимой.

Ставится так: winget install OlimoffDev.DevProjex, из Microsoft Store или без установки командой npx devprojex (нужен Node.js 20 и новее). Файл для Windows в релизе занимает около 260 МБ, рядом лежит SHA256SUMS. Телеметрии, по заявлению автора, нет. Программу на реальном коде я не запускал, всё описано по README и документации.

Что маскируется на самом деле

Секреты. Правила взяты из Gitleaks версии 8.30.1: 221 правило для ключей известных сервисов. К ним добавлены правила для .env, строк подключения к PostgreSQL, MySQL, MongoDB и Redis, настроек в appsettings, docker-compose и Dockerfile. Значение заменяется заглушкой, код вокруг остаётся: DEVPROJEX_REDACTED[telegram-bot-api-token#1]. В режиме MCP маскирование секретов включено всегда, выключить его нельзя ни флагом, ни самому агенту. В приложении и командной строке оно по умолчанию выключено.

Личные данные. Отдельный слой, тоже выключен по умолчанию: e-mail, публичные IP-адреса, имя пользователя в путях вида C:\Users\имя, MAC-адреса, телефоны в международном формате с плюсом.

Чего нет. Документация перечисляет: имена, почтовые адреса, номера документов и другие государственные идентификаторы, произвольный текст с личными данными, телефоны без плюса, закодированные и зашифрованные значения, содержимое бинарных файлов. Российская запись через восьмёрку в список не входит. Текстовые файлы больше 16 МиБ не проверяются и в выдачу не попадают. Пароль, записанный обычной строкой прямо в исходнике, часть правил не охватывает. Отсутствие находок документация доказательством безопасности не называет.

Маскирование не заменяет договор о персональных данных

Если в коде или выгрузке остались данные клиентов, передача их подрядчику или ИИ-сервису остаётся обработкой. По части 3 статьи 6 закона 152-ФЗ поручение обработки другому лицу оформляется договором. В нём указывают перечень данных и действий, цели обработки, обязанность соблюдать конфиденциальность и меры защиты по статье 19.

Часть данных детектор не знает, и они могут попасть в выдачу. Годится ли замаскированный фрагмент для передачи, решает оператор вместе с юристом. Считается ли такой фрагмент обезличенным по закону, я не проверял. Если ИИ-сервис за границей, добавляется трансграничная передача, о ней в материале про 152-ФЗ для чат-ботов. Суммы штрафов не называю, нормы КоАП я не сверял. Статья не замена юристу.

Что важно учесть

Детектор работает по правилам. Автор пишет в README, что обнаружение эвристическое и выдачу перед публикацией надо просмотреть глазами.

Проект ведёт один человек. Независимого аудита безопасности я не нашёл. Признаков вредоносного кода в README и документации не заметил, но бинарники и исходники не анализировал, это не аудит. Скачивайте из раздела релизов и сверяйте контрольные суммы.

Файлы вроде .env.example по документации MCP-сервера остаются в дереве видимыми, значения в них маскируются. Если файл не должен попасть в выдачу вообще, исключите его из выбора. Контекст всё равно уходит в облачную модель, если вы используете облачную.

Чек-лист перед тем, как вставить код в чат или дать доступ агенту

Первое. Выберите файлы сами. Корень проекта целиком не отдавайте: нужен один модуль и файлы рядом.

Второе. Откройте предпросмотр и найдите глазами ключи, строки подключения, реальные имена и телефоны в тестах. Включите маскирование секретов, при необходимости и личных данных. В командной строке есть режим, который останавливает сборку при находках и не печатает сами значения.

Третье. Доступы выдавайте отдельно: ключ с минимальными правами, лучше от тестового окружения, на время задачи. Агента запускайте в изолированной среде, как в статье про песочницу на Windows 11. Про работу агента на своём компьютере: ИИ-агент на своём ПК.

Четвёртое. Если ключ мог попасть в чат, считайте его скомпрометированным и перевыпустите. Правила выдачи контекста и доступов для команды я настраиваю в рамках услуги по кибербезопасности.

Частые вопросы

Достаточно ли включить маскирование, чтобы отдавать код подрядчику?

Нет. Имён, адресов и документов детектор не видит, выдачу нужно просмотреть. Данные клиентов регулируются договором.

Уходит ли что-то разработчику программы?

По README, проект содержимое не загружает и телеметрию не собирает, локальный MCP работает без сети, пока вы не включите удалённые Git-адреса. Это заявление автора, трафик я не измерял.

Что делать, если ключ уже попал в чат?

Выпустить новый, старый отозвать и проверить журнал использования ключа у сервиса, который его выдал.

Коротко о главном

DevProjex под лицензией Apache-2.0 маскирует ключи по 221 правилу Gitleaks плюс правила для конфигов. Личные данные ловит ограниченно, имён и адресов в списке нет. Проект ведёт один автор.

Если хотите, чтобы я проверил, что из вашего кода уходит в ИИ-чаты и к подрядчикам, и настроил правила выдачи, напишите мне в Telegram кодовое слово «КОНТЕКСТ», пришлю чек-лист проверки.