WebScan v2.0: от идеи до pip install за одну неделю — путь, ошибки и бенчмарк
Предыстория 1 день назад я опубликовал первую статью про WebScan из Песочницы Хабра. Честно — не ожидал ничего особенного. Думал придут 50 человек, может кто-то поставит звезду на GitHub. Вышло иначе. За первые сутки статью прочитали 548 человек. Потом пошли 10К охват, закреплённый пост на канале с...
Актуальная схема получения доступа к аккаунтам Telegram и Max
Современные месенджеры позиционируют себя как очень безопасные средства для общения, защищённые по последнему слову техники привязкой мобильного номера, сложными паролями, многофакторными аутентификациями, криптопротоколами и прочими наворотами. Это создаёт у пользователей ложную уверенность в том,...
Browser Policy Manager: история создания и технические решения
Я около десяти лет занимаюсь русской локализацией Mozilla и сейчас являюсь лидером русской локализации. За это время я много раз видел Firefox с пользовательской стороны, со стороны сообщества, со стороны перевода интерфейса и документации. Но в корпоративной среде браузер выглядит иначе. Там это...
Антивирус бессилен: только ИИ видит аномалии в промышленных сетях
По мере того как ландшафт промышленной кибербезопасности осваивает технологии искусственного интеллекта (ИИ) и машинного обучения (ML), меняются и подходы к обнаружению аномалий в средах операционных технологий (OT) и промышленных систем управления (ICS / АСУ ТП). Внедрение этих инноваций не только...
Как работает эта ваша суриката
Всем привет! Моя работа связана с анализом сетевого трафика и написанием детектирующих правил Suricata. Я хочу поделиться с вами опытом работы с данным инструментом. Разберёмся в тонкостях работы этого ids/ips решения, научимся писать сигнатурные правила, а также понимать, как их писать для...
Почему может быть опасно держать открытыми Mini Apps в Telegram или где нибудь ещё: Focus Hijacking на практике
И так, вы в Telegram Web и вы запускаете безобидное на первый взгляд Mini App, сворачиваете его или просто переключаетесь на соседний приватный чат, чтобы продолжить переписку. Казалось бы, контексты изолированы, фрейм приложения неактивен, и вы в полной безопасности. Но так ли это на самом деле?...
Свой VPN для дома и семьи: дёшево, просто, без знаний Linux
Несколько лет назад я перестал доверять чужим VPN. Не из паранойи, а по скучной причине: бесплатный сервис живёт на твоих данных, платный - на твоём доверии, и оба разом отваливаются, когда их блокируют. А блокируют сейчас волнами, под выходные особенно. Свой сервер звучит как “ну, надо быть...
Открытый CLI-инструмент для bug bounty на чистом Python — архитектура и разбор плагинов
WebScan — асинхронный CLI-сканер безопасности на чистом Python. За неделю вырос до 15 плагинов: XSS, SQL инъекции, CORS, Path Traversal, SSRF, утечки API ключей и многое другое. Safe Mode, proxy, SOCKS5, пять форматов отчётов включая SARIF. В статье разбираю архитектуру и сравниваю с Nikto. Читать...
Игра в имитацию: следующий шаг
WireGuard довольно быстро стал популярным VPN-протоколом: простой, быстрый, с аккуратной архитектурой и без тяжёлого наследия, он выгодно выделялся на фоне монстров вроде IPsec и OpenVPN. Но, как это часто бывает, сильная сторона со временем стала и слабым местом. Протокол оказался не только...
Точно ли агенты безопасны?
Буквально недавно я писал статью по мотивам материала Anthropic - того самого, где опять говорили "джуны больше не нужны". Ребята учитывают одни детали, игнорируют другие и по факту сравнивают тёплое с мягким :) потому что основная проблема джунов - далеко не LLM-агенты, но подробнее в той статье...
Anthropic, Fable 5, Claude Code и большой отбор игрушек
9 июня Anthropic выкатила Claude Fable 5, он же Mythos 5 в закрытом контуре. 12 июня доступ к обеим версиям сняли. А между этими датами уместилось столько, сколько иная модель не набирает за год жизни: скрытое ухудшение ответов для ИИ-исследователей, крик "Fable взломали и вытащили системный...
Как я построил guardrails, которые не дали моему AI-агенту пойти вразнос
На третий день в проде мой support-агент на LangGraph и GPT-4o слил email одного клиента в переписку с другим. Причина банальна: модель вставила сырой контекст из базы прямо в ответ, и ничто в пайплайне это не проверяло. Фреймворки для агентов дают оркестрацию, вызов инструментов и память — но не...
Былинные приключения Антропикопитека в стране Мифов
Жил-был за океаном Антропикопитек — зверь учёный, безопасный, этичный, совсем не доктор Зло. И вывел он в тайных палатах своих модель невиданную, и нарёк её именем гордым — Мифос. И было у Мифоса удаль богатырская: любую крепость софтверную ковыряет за ночь, дырку находит там, где двадцать семь лет...
Не давайте ИИ-агенту прямой доступ к базе. Как я проектировал безопасный контур действий на FastAPI и PostgreSQL
Последнее время я всё чаще встречаю одну и ту же мысль: бизнес никогда не даст ИИ‑агенту доступ к базе клиентов, заявкам, платежам, CRM или внутренним документам. На первый взгляд звучит логично. Если агент ошибётся, перепутает контекст или выполнит не то действие, ущерб может быть вполне реальным....
RuStore качает MAX без спроса и мониторит GPS каждые 5 минут и ему даже не стыдно
Привет, Хабр. С 1 апреля 2024 года RuStore принудительно предустанавливается на все смартфоны, продаваемые в РФ. После недавнего разбора правительственного мессенджера MAX, я декомпилировал APK самого национального стора и проверил его реальное поведение по коду. нашёл: скрытую подсистему трекинга...
AI не убил разработчиков. Он сделал дешёвой видимость разработки
«Я собрал приложение за вечер. Разработчики больше не нужны». Лента забита такими постами, но мало кто показывает продолжение этих историй. А оно бывает ярким: от продовской базы, снесённой AI-агентом, до взлома на второй день после запуска. По красивой картинке больше не понять, кто её собрал —...
Встраиваем проверку возраста без ЕБС в Telegram, MAX и любой другой мессенджер
Привет, Хабр! Говоря о проверке возраста для доступа к онлайн-платформам, нельзя обойти стороной один из наиболее очевидных кейсов: мессенджеры. Они давно вышли за рамки простого обмена сообщениями – и для многих новых функций есть конкретные возрастные ограничения. В этой статье мы поговорим о...
Let's Encrypt больше не вариант? Обзор альтернатив
4 июня 2026 года Let's Encrypt тихо обновил пользовательское соглашение до версии 1.7. Новый пункт обязывает получателя сертификата подтвердить, что он не находится под полными санкциями США. В России это вызвало волну обсуждений — и не без причины. В Беларуси пока тихо. Но тихо — не значит...