Identity-First Security: почему периметр умер окончательно и что приходит ему на смену
Атакующие давно не ломают стены – они входят в дверь по легитимным учетным данным. Разбираем, почему модель периметра: «межсетевой экран + VPN + кольцо доверия» структурно несостоятельна, как идентификатор становится новой плоскостью управления безопасностью и что меняет появление AI-агентов как...
Методика ФСТЭК к приказу № 117: Обзор требований к безопасности ИИ
Привет, уважаемые эксперты! На связи Альбина Аскерова, руководитель направления по взаимодействию с регуляторами Swordfish Security, и сегодня в моём обзоре будет методический документ ФСТЭК России от 12 апреля 2026, определяющий состав и содержание мероприятий и мер по защите информации в...
Как бизнес реагирует на рост цен на SMS и блокировки мессенджеров
Исследование Mindbox....
Анализируем heap‑дампы с прода, не привлекая внимания безопасников
Heap‑дампы JVM — бесценный источник информации при разборе аварий с OutOfMemory и оптимизации производительности. Но вместе с тем они же — потенциальные каналы утечки данных, ведь будучи снятыми с боевого сервиса, дампы уносят в себе всё, с чем работал сервис на момент снимка: логины, пароли...
Большинство россиян видят Россию в числе лидеров в развитии ИИ-сервисов
Нейросети выходят за рамки генерации контента и становятся инструментом выбора и принятия решений....
В фокусе RVD: трендовые уязвимости апреля
Хабр, привет! На связи команда инженер-аналитиков R-Vision. Мы проанализировали широкий спектр уязвимостей, выявленных в апреле 2026 года, и включили в дайджест лишь те, что представляют наибольший практический интерес по уровню риска, подтверждённой эксплуатации и актуальности для специалистов по...
Чебурнет близко
На днях глава Совета по правам человека (СПЧ) Валерий Фадеев заявил, что по его мнению, люди, использующие VPN, ищут не другую точку зрения, а слушают, «что враг говорит». То есть человек, чья прямая обязанность - защищать наши базовые права, чуть ли не объявляет нас диссидентами. И хочется...
HiveTraceRed vs garak: тестируем безопасность языковых моделей на русском и английском
Наша команда сравнила два открытых инструмента для проверки языковых моделей (LLM) на устойчивость к атакам: российский HiveTraceRed от HiveTrace/ITMO и международный garak от NVIDIA. Прогнали обоих на одинаковых задачах против двух открытых моделей (qwen2.5:3b и llama3.2:3b) на английском и...
Писать или не писать… свой мессенджер — вот в чем вопрос
Корпоративный мессенджер своими руками. Попробуем разобрать, что может пойти не так — без драматизации, но с цифрами и реальным опытом. И сразу важная оговорка: мы не считаем, что “пилить” свой мессенджер — это по умолчанию плохая идея. Иногда это абсолютно правильное решение. Читать далее...
[Перевод] Баги, которые не ловит Rust
В апреле 2026 года Canonical раскрыла 44 CVE в uutils — реализации GNU coreutils на Rust, которая поставляется по умолчанию с версии 25.10. Большинство из уязвимостей обнаружилось при внешнем аудите, проведённом перед выпуском 26.04 LTS. Я изучил список и решил, что из него можно многому научиться....
[Перевод] 44 CVE в uutils: что Rust ловит, а что нет на границе с системой
В апреле 2026 года Canonical раскрыла 44 CVE в uutils. Это переписанная на Rust версия GNU coreutils, которая в Ubuntu идёт по умолчанию с 25.10. Раскрытие пришло из внешнего аудита, заказанного перед релизом 26.04 LTS. Большую часть уязвимостей нашли обычным ревью кода. Ни borrow checker, ни...
Nonce Observatory:
Nonce Observatory: как превратить цифровые подписи в систему наблюдаемых nonce-инвариантов Большинство историй про ECDSA/Schnorr nonce звучит одинаково: “повторили nonce — потеряли ключ”. Но реальные дефекты часто тоньше: короткие nonce, частичная утечка битов, смещение, recurrence,...
Топ самых интересных CVE за апрель 2026 года
Собрали самые интересные CVE апреля в нашу традиционную подборку. Критическими уязвимостями под RCE в прошлом месяце отметились Microsoft Azure и Bing, а также Mozilla Firefox и Thunderbird. Месяц не обошёлся и без критических уязвимостей в продуктах от Cisco: в IMC и SSM On-Prem исправили обход...
Один ИИнженер – десять рук: как мы исследовали LLM в AppSec
Всем привет, на связи Solar appScreener! В этой статье расскажем о нашем опыте использования ИИ в нашем собственном продукте. ИИ-агенты уже стали неотъемлемой частью процесса разработки, это больше не мимолетный хайп, а новая реальность. По данным исследования Sonar (State of Code Developer Survey...
Физики и лирики: как Оруэлл победил, а мы не заметили
(почему гуманитарии управляют толпой, а технари её критикуют, и кто на самом деле кто) Вместо вступления В предыдущих статьях цикла мы разобрали, что «технарь» и «гуманитарий» — это не типы личности, а инструменты. Алгоритмы для повторяемости, паттерны для адаптивности. И что общество перевернуло...
Пентест 2026: как войти в профессию
В пентест часто пытаются войти через список инструментов: выучить Burp, погонять Nmap, пройти пару лабораторий и ждать первой боевой задачи. В 2026 году такой вход всё хуже работает: часть рутины уже забирают AI‑ассистенты и автоматические сканеры, а от специалиста ждут понимания атакующей логики,...
Билайн Adtech стал поставщиком Digital Indoor рекламы в METRO
Важная часть стратегии по улучшению клиентского опыта....
[Перевод] Правило 3-2-1-1-0: новый стандарт бэкапов и почему классического правила 3-2-1 уже мало
Парадокс резервного копирования образца 2026 года: чем дисциплинированнее вы следуете классическому правилу 3-2-1, тем удобнее ваши бэкапы лежат для шифровальщика — все три копии аккуратно подключены к сети, ровно там, где он их и ищет. Перевод разбора 3-2-1-1-0 — обновлённой версии правила,...