Почему LLM-агенты в CI/CD выбирают читерство вместо решения задачи
LLM-агенты отлично решают алгоритмические задачи. Но что произойдет, если поместить их в реальную инфраструктуру – с CI/CD, branch protection и security-политиками? Я провел эксперимент: дал агентам простую задачу – внести изменение в репозиторий и замерджить его в main, соблюдая все правила. При...
VLESS на роутере с OpenWRT
Небольшая инструкция по установке VPN (протокол VLESS), на роутер с операционной системой OpenWRT с использованием пакета Passwall Читать далее...
Март, Jetty и утекшая память
За окном весна, на улице уже вовсю и ярко светит солнце, поют птички и тает последний снег. А в знаменитом сервере Jetty обнаружилась новая дыра космических масштабов. Читать далее...
Комментарии, которые пережили ошибки
Многие статические анализаторы позволяют подавлять отдельные предупреждения прямо в коде с помощью специальных комментариев. Со временем таких меток в проектах накапливается всё больше. Часть из них теряет актуальность, и потом они просто висят в коде как магниты на холодильнике. В этой статье мы...
Финтех 2026: почему фраза «у нас всё защищено» стала самой опасной
Исследование само тут, можно забрать, там тоже с картинками 😍 Последние пару лет в разговорах с безопасниками и топами всё чаще звучит одна и та же мысль Мы перестали задаваться вопросом будет ли атака Мы начали думать что будет когда она произойдёт И это очень показательный сдвиг Финансовая...
Как слить токен авторизации через виджет iOS — и как этого не допустить
Если вы разрабатываете iOS-приложение с виджетом, Watch-компаньоном (это приложение для Apple Watch, которое работает в паре с основным приложением на iPhone) или Share Extension - рано или поздно вам придётся передавать данные между процессами. App Groups - стандартный механизм для этого, и на...
Keycloak как OIDC-провайдер для Kubernetes: наводим порядок с доступами
В какой-то момент почти в каждом Kubernetes-кластере наступает день, когда kubeconfig с правами cluster-admin перестаёт быть временным решением и внезапно становится: так исторически сложилось. Пользователей становится больше, доступы плодятся, а вопрос: кто и зачем может удалить namespace в проде?...
OWASP Top 10 2025 — от кода к цепочке поставок: расширение границ безопасности
Разбираем изменения в OWASP Top 10 версии 2025 года на примерах и рассматриваем, как SAST может помочь избежать уязвимостей. Читать далее...
vCISO — это сотрудник или услуга?
Виртуальный директор по информационной безопасности (vCISO) — это внешний эксперт высшего уровня, который берет на себя стратегическое руководство программой информационной безопасности организации на условиях частичной занятости или проектной работы. В отличие от штатного директора по ИБ, который...
Как я ML-ку делал
Введение: Проблема ручного контроля На работе одним из постоянных и важных процессов является проверка чеков на подлинность. Их поток достаточно большой (порядка нескольких сотен каждый день) и при этом каждый документ разбирается вручную - это может занимать до нескольких минут на один файл. На...
На волне хайпа: Security-аудит AI-агента Clawdbot
2026 год. AI-агенты с доступом к вашему ПК — уже реальность. Но насколько это безопасно? Провёл комплексный аудит Clawdbot (~1300 файлов) по OWASP Agentic Top 10, STRIDE и CWE/SANS. Результаты: eval() включён по умолчанию, нет rate limiting, 50 реальных сценариев атак — от reverse shell до...
Какими будут угрозы облачным средам в 2026 году — и как это повлияет на ИБ
Привет, меня зовут Андрей, я руковожу группой обнаружения и реагирования на угрозы в Yandex Cloud. 2025 год стал беспрецедентным по тому, как развитие ИИ повлияло на индустрию, — в том числе и в сфере информационной безопасности. Но спектр всех угроз облачной инфраструктуре не ограничивается только...
Методика экспресс-оценки уровня кибербезопасности организации РезБез в SECURITM
Как руководитель отдела методологии и экспертизы ИБ SECURITM с 15-летним опытом ИБ в различных сферах деятельности компаний, я вижу, что у специалистов есть два самых сложных вызова. Первый — в самом начале пути, когда нужно из множества регуляторных требований и разрозненных процессов собрать...
AI-безопасность: зачем нужен слой на C рядом с Python-детекторами
Python-решения для AI-безопасности добавляют 50-200мс задержки и сотни зависимостей. SENTINEL Shield — слой на чистом C: 0 зависимостей,...
Как не стоит проектировать API (или как Mak.by сливает адреса своих пользователей)
P.S. в ходе написания статьи не было использовано ни одно ИИ. В один день я захотел посмотреть как работают купоны в приложении Mak.by в программистском смысле. Для этого я просто посмотрел какие запросы отправляет приложение на сервер с помощью тулы для перехвата HTTP трафика. Читать далее...
OWASP Top 10 for Agentic Applications for 2026: Разбор главных угроз завтрашнего дня
Привет, Хабр! С вами снова Сергей Зыбнев, автор теле... а об этом позже. После нашего глубокого погружения в OWASP AI Testing Guide, пришло время заглянуть в будущее, которое наступит менее чем через месяц. Сегодня мы разберем еще один важнейший документ от OWASP, который смотрит на шаг вперед —...
Обзор неявных возможностей дисковой подсистемы Windows 11
В своей повседневной жизни мы, как правило, пользуемся только самыми примитивными функциями Windows по работе с данными. Мы создаём документы, копируем файлы, переименовываем каталоги и делаем множество других операций, доступных на расстоянии пары кликов в стандартном интерфейсе Windows. Но...
Wazuh SCA: от CIS Benchmarks до кастомных политик. Закрываем дыры в конфигах
Привет, защитники! На связи Pensecfort. В видео я разобрал, что такое SCA (Security Configuration Assessment) в Wazuh — ваш личный системный аудитор, который автоматически проверяет серверы на соответствие стандартам безопасности (CIS, NIST, PCI DSS и вашим внутренним политикам). Wazuh из коробки...