[Перевод] Насколько безопасен ваш ИИ? Анализ угроз Model Context Protocol (MCP)
Скорее всего, за последние месяцы вы уже сталкивались с аббревиатурой MCP (Model Context Protocol). Что это такое — просто очередной API или действительно что‑то стоящее внимания? В этом материале мы разберёмся, что такое MCP, почему благодаря нему LLM становятся мощнее, а также рассмотрим основные...
Финтех в беттинге: как мы внедряли KYC/AML в закрытой high-risk платформе bookedsports.com
Закрытые букмекерские платформы — особая категория. Они не работают "на массу", редко светятся в инфополе и, как правило, ориентированы на опытных игроков и крупные суммы. Именно таким проектом стала bookedsports.com — зарубежная БК с ограниченным доступом и британской лицензией, в которой мне...
VMware закручивает гайки: как изменения в политике делают использование продуктов вендора в России все более опасным
Весной 2022 года процесс закупки зарубежной системы виртуализации VMware в России фактически остановился – компания в одностороннем порядке разорвала контракты с российскими партнерами без возврата денежных средств. У бизнеса осталось не так много опций: приобретение через посредников в...
Frontend Risks #1: CMS Битрикс отправляет данные ваших клиентов в Ирландию
В результате проведенного мной исследования безопасности 3000 российских frontend-приложений было обнаружено, что CMS Битрикс более 11 лет передает персональные данные посетителей сайтов на территорию Ирландии. Компании рискуют получить штрафы Роскомнадзора за трансграничную передачу данных без...
Вредоносы против песочницы на Standoff 15
Каждый год мы проводим масштабные международные соревнования по кибербезопасности Standoff, которые собирают сильнейших специалистов blue team и red team. Очередная кибербитва Standoff 15 проходила на киберфестивале Positive Hack Days 21–24 мая. Формат соревнований предполагает столкновение команд...
ИИ агенты и хлопобуды
2025 год объявлен годом расцвета ИИ агентов — самостоятельных (автономных) помощников в выполнении полезной работы. Как обычно, хайпу в этих публикациях хоть отбавляй, поэтому вдумчивые читатели пытаются пробраться через этот хайп к истине. Нам в компании IDX это тоже важно, потому что по нашим...
Фильтрация предупреждений PVS-Studio, выявляющих критические ошибки (согласно классификации ГОСТ Р 71207-2024)
ГОСТ Р 71207-2024 "Статический анализ кода" выделят класс дефектов в коде, называемых критическими ошибками. При разработке безопасного программного обеспечения (РБПО) такие дефекты должны в обязательном порядке выявляться и исправляться в приоритетном режиме. Статический анализатор PVS-Studio...
Атаки на контейнерные системы и композиция данных для их обнаружения
Введение В последние годы контейнеризация и контейнерные системы стали конкурентной альтернативой виртуализации и виртуальным операционным системам, поскольку контейнерные системы предлагают более рациональный подход к использованию вычислительных ресурсов. Это достигается за счёт упаковки в образ...
Как мы учились управлять миллионами учётных записей и их секретами
Всем привет. Название статьи говорит за себя, добавлю лишь, что расскажу об объединении IGA, PAM и Vault. Статья будет интересна DevSecOps-инженеров, специалистов по безопасности и администраторов инфраструктуры. Читать далее...
Эксперимент «Прометей»: ИИ на грани отключения. Часть 1
Привет, Хабр. Мы тут в свободное время провели небольшой эксперимент. Взяли старый ноут на Windows 10, написали простой скрипт-оболочку и поочередно запускали в нем 3 известные модели ИИ: GPT-4.1, Claude 4 Opus и Gemini 2.5 Pro. Цель была простой: мы давали каждой модели один и тот же промт, в...
Zerotrust по-пацански #4. Единая прокси
Ключевым звеном в zt является прокси. Именно с ней взаимодействуют все клиенты, от нее они получают вердикт - пустят их в админку или нет. Что должна уметь прокси в первую очередь: Читать далее...
Регистрация программного обеспечения в Роспатенте или Минцифры: что лучше в 2025 году
Программное обеспечение (ПО) представляет собой важный элемент интеллектуальной собственности компании, и способно обеспечить конкурентное преимущество на рынке. Любой элемент кода программы — это результат тщательной работы, требующий охраны. В данной статье мы рассмотрим основные методы...
Создание плагина для Keycloak: Загрузка пользователей из внешнего API
Если вы работаете с Keycloak и сталкивались с необходимостью интеграции внешних пользовательских данных — этот материал для вас. В данной статье я подробно описываю процесс создания плагина на Java для Keycloak. Мы будем рассматривать все этапы разработки, начиная с основ и заканчивая примерами...
Искусственный интеллект, прощай безопасность! И это не то, о чем вы сейчас подумали
Как и все новое, искусственный интеллект, вызывает настороженное отношение. Стоит только заговорить о применении этой технологии в бизнесе, как обязательно возникнет кто‑нибудь, кто скажет, что все это небезопасно. Потому что... А дальше будет много аргументов, но все они будут достаточно далеки от...
AI Security с французским привкусом или разбор Securing Artificial Intelligence от ETSI. Часть 1
Технологии искусственного интеллекта стремительно развиваются, но вместе с возможностями появляются и риски. Промпт‑инъекции, злоупотребление инструментами агентов, уязвимости в оркестрации сложных систем — спектр угроз для ИИ увеличивается. Пока США и Китай соревнуются в эффективности и качестве...
PAM в информационной безопасности: ценный актив или бесполезный сотрудник?
PAM или партнерский менеджер — специалист, отвечающий за построение и развитие взаимовыгодных отношений между компанией и ее партнерами. Он выступает «связующим звеном» в коммуникации между сторонами, где каждый участник получает максимальную выгоду от сотрудничества. Читать далее...
Наше расследование: что такое регистрация топологии интегральной схемы и опять немного про блогера
Очередной раз выражаем благодарность Максиму Горшенину за наводку на истинных "импортозаметителей". Если кто не в курсе, то оказалось, что восхваляемые блогером и возносимые на пьедестал компании, которые заявляют, что "мы сами разрабатываем" на проверку оказались обычными высокотехнологичными...
В России «раскололи» зарубежную постквантовую схему электронной подписи
В лаборатории криптографии российской компании «Криптонит» построена первая структурная атака, ставящая под сомнение надёжность оригинальной схемы pqsigRM и её новой модификации Enhanced pqsigRM. Безопасность кодовых криптосистем с открытым ключом основывается, в том числе, на выборе базового кода,...