ChatGPT теперь требует селфи с паспортом: как OpenAI и Anthropic внедряют KYC и убивают анонимность в ИИ
Эпоха, когда лучшие в мире ИИ-инструменты были «общественным благом для свободного пользования», стремительно заканчивается. Им на смену приходит жесткое регулирование, сбор персональных данных и обязательная верификация личности. На днях разработчик ИИ под ником «Kai» опубликовал в X (Twitter)...
Бесплатно и без СМС: как корпоративные food-карты могут стать идеальной мишенью для социальной инженерии
Во множестве организаций существует такая фича социальной поддержки и удержания сотрудников, как корпоративные предоплаченные карты питания, или «foodcard», как их еще называют. Раз в квартал бухгалтерия перечисляет на них относительно небольшие суммы, которых хватает на кофе, аспирин и барбариски....
ID, token, UUID и slug: в чём разница и почему их нельзя мешать
В каждом бэкенде рано или поздно рядом появляются id, UUID, slug, token и request_id. Все они выглядят как строки, но отвечают за разные вещи. Когда это забывают, UUID становится защитой, slug — вечной айдишкой, а token — просто ещё одним идентификатором. Читать далее...
Постанализ юзкейсов, или Как спроектировать непрерывную ABAC-авторизацию UI и API. Часть 2
Всем привет! На связи снова Никита Таскин и Анастасия Ильина. Продолжаем тему о контроле доступа применительно к системным интерфейсам, и на этот раз речь пойдёт об API. Напомним, что первая часть была про авторизацию UI, и ознакомиться с ней можно здесь. У нас всё так же разбор контекста...
Бомба замедленного действия взорвалась: эпоха ИИ «бери сколько унесёшь» закончилась
На прошлой неделе на State of Brand вышел материал по следам статьи, опубликованной всего несколькими днями ранее. Тогда авторы утверждали: любая ИИ-подписка — это бомба замедленного действия для бизнеса. Просто никто не ожидал, что фитиль уже почти догорел. В исходной статье речь шла о том, что...
CGE: визуализация кравлера и скрытых связей между поддоменами
Привет, Хабр! Хотелось бы поделиться с вами моим open-source проектом для поиска директорий, поддоменов, ака crawler. Я не говорю, что он перевернёт мир краулеров или превзойдёт Katana, но, думаю, утилита будет крайне полезна для red team-команды. https://github.com/a11mut3d/CGE Проблемы, которые...
Почему автотесты пропускают изменения в API и как это исправить с Pydantic
Приветствую, Хабр! Меня зовут Владислав Тимашенков, я занимаюсь автоматизацией тестирования в ГК Infowatch. Наша команда столкнулась с популярными болями автотестов для API: - одно изменение в API требует обновления нескольких тестов; - проверка структуры ответа распределена по тестам и не...
API-безопасность 2026: почему защита требует нового подхода
Ещё пять лет назад Gartner предсказывал, что эксплуатация уязвимостей API станет самым частым вектором взлома приложений и сервисов. Сегодня этот сценарий атак стал практически нормой. Из-за этого API превратились в полноценный бизнес-актив, к которому, по-хорошему, должны применяться те же...
Костыли телеграма: «печатает...» в избранных и «вы сделали скриншот!» в любом чате
Почти каждый человек в СНГ пользуется телеграмом, но не каждый задумывается о том, на каких костылях держится его любимая платформа. Всё начинается с «печатает...» в избранном, а заканчивается тем, что форумы — лишь иллюзия интерфейса. Давайте же разберёмся, какие костыли есть в телеграме и почему...
«А трактор случайно не в залоге?» — история одной интеграции с ФЦИИТ
«— А трактор случайно не в залоге?» — с такого вопроса обычно и начинался рабочий день сотрудников департамента залогового обеспечения в нашем банке. За ним стоит однотипная рутина, на которую раньше уходила большая часть времени: открыть Реестр уведомлений о залоге движимого имущества, ввести...
Начинаем в багбаунти: как найти ошибки в бизнес‑логике
Всем привет! Меня зовут Роман. В ИТ я больше семи лет: начинал с разработки, а теперь занимаюсь AppSec и параллельно пробую себя в багхантинге. Сейчас вхожу в топ-25 рейтинга на Standoff Bug Bounty. Здесь я выступаю как начинающий исследователь багов и буду рад поделиться своими наработками....
Скайнет нанимает фрилансеров: как ИИ-агенты начали покупать человеческий труд через API
Представьте себе мир, в котором искусственный интеллект не просто генерирует текст или пишет код, но и выступает в роли полноценного работодателя, нанимая живых людей для выполнения задач в реальном мире. Звучит как завязка киберпанк-романа, однако это уже стало нашей реальностью благодаря...
Откуда начинаются атаки на цифровые сервисы: ключевые точки входа
На связи Лука Сафонов, бизнес-партнер по инновационному развитию компании «Гарда». В 2025 году общее число киберинцидентов на российские компании выросло на 42%, и почти каждая четвертая атака имела серьезные последствия для бизнеса. Финансовый сектор при этом остается в числе пяти наиболее...
Как не стоит проектировать API (или как Mak.by сливает адреса своих пользователей)
P.S. в ходе написания статьи не было использовано ни одно ИИ. В один день я захотел посмотреть как работают купоны в приложении Mak.by в программистском смысле. Для этого я просто посмотрел какие запросы отправляет приложение на сервер с помощью тулы для перехвата HTTP трафика. Читать далее...
OWASP Top Ten: как оценивали веб-угрозы 20 лет назад и сейчас
Первый список OWASP Top Ten был выпущен в 2004 году. И с того момента появилось 7 обновлений, последнее из которых представлено в ноябре 2025 (пока в статусе Release Candidate). Эксперты WMX проанализировали все выпуски, чтобы разобраться, как с каждым годом и даже десятилетием менялась оценка...
Разговор о том, как сделать интеграцию умнее: опыт, грабли и рабочие подходы
Привет, Хабр! Знаете, что объединяет разработчика из стартапа, архитектора банковской системы и техлида платежного сервиса? Все они хотя бы раз материлась над интеграцией, которая должна была занять день, а растянулась на месяц. Легаси не подружилось с новой системой, протоколы оказались...
Интеграция пеcочницы с CommuniGate: наш опыт работы с API
Привет, Хабр! На связи Евгений Лавров, архитектор отдела инжиниринга комплексных проектов компании Positive Technologies. Я занимаюсь разработкой проектных решений и внедрением наших продуктов совместно с партнерами или собственными силами у клиентов. Сегодня я хочу рассказать об интеграции нашей...
Уязвимости в Naumen Service Desk
Naumen Service Desk — один из самых распространённых helpdesk-продуктов на отечественном рынке. Он используется в госсекторе, корпоративных ИТ-службах, интеграционных решениях. Именно поэтому любые найденные в нём уязвимости потенциально опасны — они используются в реальных атаках, которые могут...
Назад