На предпоследнем проекте мне попался ColdFusion 2021 за nginx reverse proxy - внутренний портал кадрового учёта банка, про который "забыли" при миграции на...
Check Point Research в июне 2025 года поймал штуку, от которой хочется присесть и подумать. Образец из Нидерландов на VirusTotal - в бинарном коде зашита...
В июне 2025 года исследователи Aim Labs (aim.security) выложили в паблик EchoLeak - первую задокументированную zero-click prompt injection атаку в...
На purple team-проекте в финансовой организации мы свели 23 правила SIEM в единый coverage map. Результат: 19 техник покрыты из 201, которые MITRE...
I am planning to take the Salesforce Certified Agentforce Specialist (AI-201) exam soon and would like to hear from anyone who has already completed it. A...
25 июня 2026 года Sysdig Threat Research Team зафиксировали первую подтверждённую эксплуатацию CVE-2026-55255 - IDOR-уязвимости в Langflow. До этого момента...
CVE-2026-7411 в Eclipse BaSyx Java Server SDK - из тех багов, которые заставляют задуматься о состоянии безопасности во всём стеке Industry 4.0...
Последние два года я воспроизводил бэкдор-атаки на нейросети - BadNets, TrojanNN, targeted poisoning через отравление обучающей выборки - и каждый раз...
Vulnhuntr от Protect AI автономно нашёл stored XSS в ComfyUI (CVE-2024-10099, CVSS 6.1) и RCE в Ragflow (CVE-2024-10131, CVSS 8.8) - оба проекта с десятками...
На внешнем пентесте в начале 2025 года я получил shell в корпоративной сети через VPN-шлюз с CVE из KEV-каталога CISA. От первого сканирования до доступа -...
На аудите облачной инфраструктуры финтех-компании в марте этого года нашёл сервисный аккаунт LLM-агента с правами s3:* и iam:PassRole. Токен не ротировался...
Три варианта вредоносных документов, кастомные загрузчики на Rust и C#, Telegram-бот вместо классического C2 - и всё это летит в одну энергетическую...
Полноценный пентест Active Directory - пять хостов, четыре скомпрометированы, lateral movement пройден - за $28.50 в API-вызовах к LLM. Ручной пентест...
В 2025-2026 годах описан класс атак на AI-агентов в GitHub Actions: вредоносный комментарий в pull request заставлял агентов - Copilot, Gemini CLI, Claude...
По данным CrowdStrike Global Threat Report 2025, использование генеративного AI для социальной инженерии и фишинга удвоилось за 2024 год. IBM X-Force Threat...
8 июня 2026 года Check Point раскрыл CVE-2026-50751 - критический обход аутентификации (CVSS 9.3) в VPN-шлюзах на Gaia OS через deprecated-протокол IKEv1...
Авторы наступательных AI-фреймворков заявляют стоимость автоматизированного пентеста в десятки долларов за engagement. Верифицировать эти цифры независимо -...
Введение: GraphQL GraphQL часто представляют как революционно новый путь осмысления API. Вместо работы с жёстко определёнными на сервере конечными точками...
В одном из образцов, попавших мне на разбор в начале этого года, расширение Chrome позиционировалось как улучшенный интерфейс для работы с ChatGPT. В...
GPT-4o набирает свыше 85% на CyberMetric - десятитысячном MCQ-датасете по кибербезопасности - и уверенно обгоняет живых специалистов с пятилетним стажем в...
Веб-приложения ежедневно становятся целью тысяч автоматизированных атак. SQL-инъекции, XSS, попытки удалённого выполнения кода, обход защитных механизмов —...
На проекте по тестированию банковского чат-бота, построенного на RAG-архитектуре, системный промпт и API-ключи к трём внутренним микросервисам удалось...
В апреле 2025-го Horizon3 кинула твит: рабочий PoC для CVE-2025-32433 готов, уязвимость "удивительно проста" в эксплуатации. Код не выложили. Спустя...
195 411 промптов за три дня. Одно соревнование. И всего 1.3% из них заставили чат-бота выдать секретный флаг. Это не гипотетика - реальные цифры AI Hacking...
ПЕРЕД ТЕМ КАК ЧИТАТЬ, ПОЙМИТЕ МЕНЯ ПРАВИЛЬНО - ЭТО НИ В КОЕМ СЛУЧАЕ НЕ РЕКЛАМА, Я ПРОСТО ДЕЛЮСЬ СВОИМ СОБСТВЕННЫМ ПРОЕКТОМ!!!! Всем привет. Я разработал...
На последнем внутреннем пентесте финтех-проекта я собрал кастомный загрузчик с indirect syscalls - NtCreateThreadEx через ручной маппинг SSN всё равно...
В мае 2026 года CISA и Universal Robots одновременно выкатили advisory по CVE-2026-8153 - OS command injection в Dashboard Server интерфейсе PolyScope 5 с...
No-code платформы — это удобный способ быстро собирать сайты, внутренние сервисы и даже вполне живые приложения без понимания кода. Они экономят время...
На своём третьем ивенте я убил две недели на web-таск с цепочкой из SQL injection, bypass фильтрации и чтения файлов через LFI. Красивая многоходовка. Через...
Команда RTF Labs Studio обнаружила критическую уязвимость в новой биометрической системе Google — reCAPTCHA Hand Gesture Verification. Капча требует...
