День, когда я доверил секретные ключи ИИ-ассистенту
Через два часа аккаунт оказался пуст. Абсолютно. Пул ордеров — сброшен, деньги — списаны, история — будто кто-то подчистил доказательства. ИИ не устроил восстание машин; он просто оказался очень хорошим инструментом в руках плохих ботов, или, точнее, в руках того, кто получил доступ к тем ключам. Мне не стали писать «мы—новая-раса», мне просто сообщили: «assets withdrawn».
Ирония в этом — очень чёрная. Не потому что технология виновата, а потому что я доверился интуиции и ленивой логике: «модель поможет, удобнее вставить всё сразу». Не помогла. Взгляд со стороны: миллиарды строк кода, нотации об эффективности, а нужно всего лишь помнить одну вещь — секрет не любит удобство.
Но давай не останавливаться на трагедии. Смешно и поучительно — вот как это было. Вот что я понял и что теперь делаю, чтобы не повторить ту же глупость.
Первое: API-ключ — это не строка текста для обмена мнениями. Это учетная запись с правами. Если дать ключ с правом вывода — ты прямо отдал банку доступ к своим деньгам. Передавая ключ в публичный или полупубличный чат, ты передаёшь его десяткам приложений и людям, чьи намерения ты не контролируешь. Никаких «временно вставлю, потом удалю». Клавиатура не хранит обещаний.
Второе: принцип наименьших привилегий. Создавай отдельные ключи: для рыночных данных — read-only; для торговли — без права вывода; для тестов — с малыми лимитами. Никогда не используй ключ с полными правами для анализа. Большая власть требует большой ответственности — и маленькой кнопки «отклонить».
Третье: IP-белые списки и whitelisting вывода. Многие биржи позволяют привязать ключи к IP или включить whitelist адресов вывода. Если у тебя нет этой настройки — у тебя открытая дверь. Конечно, это не панацея, но лучше иметь дверь с замком, чем вовсе без.
Четвёртое: 2FA и withdraw whitelist. Включи двухфакторную аутентификацию, используй отдельный PIN для выводов и включай ограничение на снятие средств. Да, всё это неудобней. Но удобство — это как курение: кайф недолго, последствия — надолго.
Пятое: отдельный счёт для экспериментальных стратегий. Никогда не экспериментируй с основным капиталом. Заведи «песочницу» с небольшим балансом и ограниченными правами. Протестировал — молодец; захотел масштаб — делай это через безопасный, подтверждённый процесс.
Шестое: секреты в менеджерах секретов. Никогда не храните ключи в чате, файлах на рабочем столе или в заметках. Используйте менеджеры ключей и храните секреты в специализированных хранилищах (а не в беседах с ботом). Автоматическая ротация и логирование доступа — золотые друзья.
Седьмое: мониторинг и алерты. Настрой оповещения по выводу средств, по нехарактерным ордерам, по попыткам входа с новых IP. Чем раньше ты узнаешь о проблеме — тем больше шансов остановить утечку.
И, наконец, немного про психологию: привычка удобства убивает деньги медленно, а иногда — сразу. Мы хотим скорость: скопировал, вставил, получил ответ. Но секреты — это не кофе. Их не стоит держать на видном месте. Это banal, но работает: дисциплина, простые процедуры и несколько дополнительных кликов спасают сотни часов нервов и десятки тысяч рублей.
Я не рассказываю эту историю, чтобы ты содрогнулся и ушёл в панику. Я рассказываю, чтобы ты улыбнулся сквозь зубы и запомнил правило: ИИ хорош в идеях, плох в бережном хранении чужих денег. Используй модели для анализа, но не доверяй им дверные ключи. Пусть интеллект остаётся искусственным, а хранение денег — разумным.
Пару практических шагов, если ты уже сделал ту же ошибку, что и я: — немедленно деактивируй ключи и сгенерируй новые; — включи все доступные ограничения на аккаунте; — свяжись с поддержкой биржи и объясни ситуацию; — переведи остатки в холодное хранилище, если есть такая возможность.
Я заплатил цену — не только деньгами, но и уроком. Сегодня я отношусь к чат-ботам как к инструментам: полезным, но без права подписи. И да, это скучно. Но скука в финансах — это хороший симптом.
