[Перевод] LLM-агенты могут сами взламывать веб-сайты
В последние несколько лет возможности больших языковых моделей (LLM) радикально расширились. Теперь LLM могут содействовать в законотворчестве, решать геометрические задачи на уровне международной олимпиады и даже помогать в научных исследованиях. По мере такого совершенствования больших языковых...
ChatGPT: как искать уязвимости? Набор исследователя
Сегодня мы ничего не ломаем (хотя совсем без этого не обошлось). Просто настраиваем. Хотя я сильно сомневаюсь, что все описанные методы должны работать в продакшене коммерческой модели. Но пока не пофиксили — смотрим. Мы заглянем под капот языковой модели: как она видит твои запросы, где...
Топ новостей инфобеза за апрель 2025 года
Всем привет! Между майскими выходными самое время вспомнить ключевые ИБ-новости апреля. В прошлом месяце RansomHub внезапно отключила инфраструктуру, и пошли слухи о перехвате группировки. CVE-программа MITRE также чуть было не ушла оффлайн из-за проблем с финансированием. В ИИ-моделях раскрыли...
[Перевод] Импортозамещение по-американски: смартфон за 2000$
Недавно я написал статью «Изготовленный в США телефон — это чистая фантазия». Если вкратце, в ней говорится о том, что мечту Трампа о переносе всего высокотехнологического производства в США чрезвычайно сложно реализовать: международные цепочки поставок сложны и запутанны, опыт производства...
Python Day на Positive Hack Days: что будет на вечеринке
В первых статьях про Python Day, который пройдет на Positive Hack Days (раз и два), мы писали о программе конференции. Теперь же поговорим о том, что будет проходить вечером, после мероприятия. В день проведения Python Day, 24 мая, на фестивале состоится Community Day. Сообщество POSIdev,...
Криптография эпохи Ренессанса: шифрование как искусство и рабочий инструмент
Эпоха Ренессанса стала рассветом не только науки и искусства, но также криптографии. Некоторые шифры этого периода для криптографа – все равно что Сикстинская капелла или Мона Лиза для ценителя живописи. При этом именно в эпоху Возрождения шифрование превратилось из магической абракадабры и способа...
Возможности реагирования на инциденты информационной безопасности с помощью KSC Open API
Команда STEP LOGIC разработала новый фреймворк противодействия инцидентам информационной безопасности – адаптивные действия, благодаря которым аналитики центров кибербезопасности (SOC) смогут быстрее принимать меры по сдерживанию и ликвидации последствий инцидентов непосредственно через единый...
[Перевод] Эмулируем iPhone в QEMU
Мы начали наше исследование по эмуляции iOS с изучения уже существующих опенсорсных решений. Ранее мы уже успешно запускали alephsecurity/xnu-qemu-arm64, но нас беспокоило то, что проект имеет статус read-only. Затем мы попробовали TrungNguyen1909/qemu-t8030 и обнаружили в нём довольно много...
FunCaptcha (Arkose Labs): принципы работы, особенности и методы распознавания (автоматические и ручные варианты)
Продолжаем путешествовать по миру капч (Фантастические капчи и где они обитают, а также способы борьбы с ними), и сегодня на очереди очередной “крепкий орешек” во вселенной капч - FunCaptcha (Arkose Labs). FunCaptcha – это тип CAPTCHA от компании Arkose Labs, который предлагает пользователям...
Баланс между скоростью разработки, UX и безопасностью: погружение в трилемму современного IT
Вступление: Трилемма, актуальная для всех Скорость вывода продукта на рынок (Time-to-Market), безупречный пользовательский опыт (UX) и надежная информационная безопасность (Security) – три кита, на которых держится успех современного цифрового продукта. Однако на практике эти три цели часто...
[Перевод] Как защищают фильмы и доставляют их в кинотеатры
У кинематографической индустрии есть собственные стандарты для защищённого создания и распространения фильмов. Всё необходимое, от форматов файлов и шифрования до проекционных систем, определяется в спецификации DCI (Digital Cinema Initiatives). Сама спецификация доступна публично, но связана с...
Современные уязвимости современных LLM-агентов
На первый взгляд, современные ИИ-модели кажутся надёжно защищёнными: строгие ограничения, фильтры и чётко заданные сценарии взаимодействия с пользователем. Однако реальность быстро меняется. Всё чаще исследователи и энтузиасты сталкиваются с атаками, которые позволяют обойти эти защитные меры. В...
Слепые зоны инфраструктуры = мишень для хакера: итоги опроса об управлении активами
Недостатки парольной политики, уязвимости в коде, небезопасные настройки сервисов и бреши из-за устаревшего ПО – частые причины попадания хакеров во внутреннюю сеть компании. При этом инфраструктура компаний постоянно меняется, а значит, нужно защищать новые сервисы, отслеживать их взаимодействие и...
[Перевод] Мастер-класс по обходу WAF: Использование SQLMap с Proxychains и Tamper-скриптами против Cloudflare и…
Практическое руководство по изучению и тестированию техник обхода WAF с помощью продвинутых настроек SQLMap и proxychains. Введение В современном быстро меняющемся мире кибербезопасности веб-фаерволы (WAF) играют важнейшую роль в защите сайтов от вредоносных воздействий, таких как SQL-инъекции....
[Перевод] Кризис парольной безопасности: 94% повторно используют слабые пароли
Новое исследование, охватившее более 19 миллиардов паролей из свежих утечек данных, подтверждает: мир столкнулся с масштабным кризисом повторного использования ненадежных комбинаций. Простые клавиатурные шаблоны вроде «123456» по-прежнему лидируют, а 94% паролей либо дублируются, либо применяются...
Реализация алгоритма PolyUnpack для распаковки вредоносного ПО
Одним днём я читал отчёты по TI из различных источников. В одном из таких отчётов упоминался некий алгоритм для распаковки вредоносного ПО, под названием PolyUnpack. Мне стало интересно, и я решил изучить данную тему. Оказалось, что в Интернете очень мало информации по данному алгоритму. Из...
[Перевод] OpenAM и Zero Trust: Подтверждение критичных операций
Один из принципов нулевого доверия гласит: никогда не доверяй, всегда проверяй (Never trust, always verify). В этой статье мы рассмотрим, как реализовать соблюдение такого принципа в системе аутентификации на примере продуктов с открытым исходным кодом OpenAM и OpenIG. Читать далее...
Как хранить кадровые документы в 2025 году: правила, сроки хранения, ЭДО и автоматизация
Хранение кадровых документов в организации — это уже не просто полки с папками в архиве. В России продолжается активный переход на электронный документооборот. Но вместе с новыми технологиями появляются и новые обязанности: хранить кадровые документы в электронном виде правильно — задача не только...