Forwarded from Ассоциация ФинТех
Развитие ИИ и других технологий существенно меняет ландшафт организаций, приводит к перестройке многих процессов. В своем исследовании «3х10 трендов 2026 года» аналитики Ассоциации ФинТех исследуют, в том числе, как меняются технологические тренды и как они связаны с финтех- и бизнес-трендами.
Собрали для вас на карточках АФТ основные технологические тренды на 2026 год, среди которых:
• мультиагентные системы
• платформы для супервычислений на базе ИИ
• конфиденциальные вычисления
• проактивную кибербезопасность
• развитие отраслевых и малых языковых моделей.
Так, по прогнозам, более 60% корпоративных моделей ГенИИ будут привязаны к конкретной предметной области или отрасли в 2028 году. Подробнее - в исследовании «3х10 трендов 2026 года».
Собрали для вас на карточках АФТ основные технологические тренды на 2026 год, среди которых:
• мультиагентные системы
• платформы для супервычислений на базе ИИ
• конфиденциальные вычисления
• проактивную кибербезопасность
• развитие отраслевых и малых языковых моделей.
Так, по прогнозам, более 60% корпоративных моделей ГенИИ будут привязаны к конкретной предметной области или отрасли в 2028 году. Подробнее - в исследовании «3х10 трендов 2026 года».
https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/rekomendatsii-po-zashchite-setevogo-perimetra-informatsionnykh-avtomatizirovannykh-sistem
Вышли рекомендации ФСТЭК по ужесточению настроек сетевых политик на периметре.
Мне кажется рекомендации бы стали сильнее если бы их структурировали по сложности\приоритетности. С одинаковым приоритетом написать и про учения и сложность пароля, мне кажется, не самый мудрый поступок.
В целом рекомендации полезны, но где то явно можно было чуть подробнее написать, а не просто "Настроить доступ к сети по модели нулевого доверия (ZTNA)."
Вышли рекомендации ФСТЭК по ужесточению настроек сетевых политик на периметре.
Мне кажется рекомендации бы стали сильнее если бы их структурировали по сложности\приоритетности. С одинаковым приоритетом написать и про учения и сложность пароля, мне кажется, не самый мудрый поступок.
В целом рекомендации полезны, но где то явно можно было чуть подробнее написать, а не просто "Настроить доступ к сети по модели нулевого доверия (ZTNA)."
Forwarded from DigitalRussia (D-Russia.ru)
ФСТЭК разработала рекомендации по защите сетевого периметра информационных (автоматизированных) систем, разработанные по результатам анализа успешных фактов реализации угроз безопасности информации, связанных с удалённой эксплуатацией уязвимостей, а также осуществлением несанкционированного доступа к внутренней инфраструктуре из внешней сети.
Подписаться в MAX
Подписаться в MAX
https://cloud.google.com/blog/topics/threat-intelligence/preparation-hardening-destructive-attacks/
Отличный гайд от Гугл (Мандиант) как повысить свою устойчивость к деструктивным атакам.
Подходит и для борьбы с APT.
Когда читаешь, почти ощущаешь, что каждая рекомендация была выстрадана в ходе инцидента.
Например:
"Proactively identify domain controllers that hold flexible single master operation (FSMO) roles, as these domain controllers will need to be prioritized for recovery in the event that a full domain restoration is required. "
Даже кратко обозначили риски каждого способа MFA.
Отличный гайд от Гугл (Мандиант) как повысить свою устойчивость к деструктивным атакам.
Подходит и для борьбы с APT.
Когда читаешь, почти ощущаешь, что каждая рекомендация была выстрадана в ходе инцидента.
Например:
"Proactively identify domain controllers that hold flexible single master operation (FSMO) roles, as these domain controllers will need to be prioritized for recovery in the event that a full domain restoration is required. "
Даже кратко обозначили риски каждого способа MFA.
Google Cloud Blog
Proactive Preparation and Hardening Against Destructive Attacks: 2026 Edition | Google Cloud Blog
Proactive recommendations organizations must prioritize to protect against destructive attacks within an environment.
https://businessinsights.bitdefender.com/apt36-nightmare-vibeware
Прекрасный новый термин vibeware - малварь которую навайбкодили.
Несмотря на общие проблемы для вайбкодинга у вайбваре есть "плюсы" - вайбкодить можно на экзотичных языках, или языках которые сложны для обнаружения стандартными механизмами.
Пока не про такое не видел - но мне кажется, с навайбкоженным ВПО повышается и шанс непреднамеренного раскрытия артефактов для расследования.
Прекрасный новый термин vibeware - малварь которую навайбкодили.
Несмотря на общие проблемы для вайбкодинга у вайбваре есть "плюсы" - вайбкодить можно на экзотичных языках, или языках которые сложны для обнаружения стандартными механизмами.
Пока не про такое не видел - но мне кажется, с навайбкоженным ВПО повышается и шанс непреднамеренного раскрытия артефактов для расследования.
Bitdefender
APT36: A Nightmare of Vibeware
Pakistan-based threat actor APT36, also known as Transparent Tribe, has pivoted from off-the-shelf malware to vibeware, an AI-driven development model.
Forwarded from DevSecOps Talks
DevSecOps митап на CyberCamp! 27 марта в 12:00 МСК
С прошлого DevSecOps митапа CyberCamp прошло целых три года, огромное количество событий успели произойти за это время, вышли новые фреймворки и инструменты DevSecOps, изменились подходы к анализу кода и процессам безопасной разработки. И все эти изменения будут освещены на самом большом митапе в истории CyberCamp! Интересные доклады, практические задания, море интерактива ждут тебя, дорогой читатель, как онлайн, так и в оффлайн-студии!
Спикеры:
😎 Антон Михайлов, SAST в DevSecOps: от «сканера в пайплайне» к управлению риском релиза
😎 Женя Богачев, Моделирование угроз как фундамент безопасной архитектуры ПО
😎 Антон Володченко, Композиционный анализ: из чего состоит и как помогает?
😎 Антон Гаврилов, 6 дней AppSec
😎 Полина Соломенцева, В одном далеком-далеком контейнере...
😎 Юра Шабалин, Безопасность мобильных приложений в РФ: риски, требования и практики защиты
😎 Сева Шамов, Runtime — наше всё: как мы ищем уязвимости динамически и какие инструменты используем
😎 Саша Бакин, AppSec под нагрузкой: масштабирование анализа кода в условиях ограниченных ресурсов
😎 Дима Евдокимов, Путеводитель по безопасности контейнеров и Kubernetes
27 марта в 12:00 МСК!
🧿 Регистрация l 👋 Комьюнити
С прошлого DevSecOps митапа CyberCamp прошло целых три года, огромное количество событий успели произойти за это время, вышли новые фреймворки и инструменты DevSecOps, изменились подходы к анализу кода и процессам безопасной разработки. И все эти изменения будут освещены на самом большом митапе в истории CyberCamp! Интересные доклады, практические задания, море интерактива ждут тебя, дорогой читатель, как онлайн, так и в оффлайн-студии!
Спикеры:
27 марта в 12:00 МСК!
Please open Telegram to view this post
VIEW IN TELEGRAM
Интересное исследования рынка труда, в первую очередь как анализ ожиданий работодателя.
Когда читаешь, нужно помнить, что это рисеч по указанным вилкам. Об этом пишут сами авторы.
Медианная статистика когда CISO и Архитектор в среднем получают меньше пентестера требует вдумчивого анализа методики, почему так.
Самый вероятный ответ - небольшая выборка: у пентестеров 5 вакансий, у CISO - 53.
Когда читаешь, нужно помнить, что это рисеч по указанным вилкам. Об этом пишут сами авторы.
Медианная статистика когда CISO и Архитектор в среднем получают меньше пентестера требует вдумчивого анализа методики, почему так.
Самый вероятный ответ - небольшая выборка: у пентестеров 5 вакансий, у CISO - 53.
Forwarded from CISOCLUB - кибербезопасность и ИТ
Сколько на самом деле зарабатывают специалисты по ИБ в России?
📤 Подписывайтесь на CISOCLUB в MAX
Сколько на самом деле зарабатывают специалисты по информационной безопасности в России? Мы проанализировали 6 555 вакансий из раздела «Вакансии» на CISOCLUB и выяснили, кто получает больше всех, где платят лучше и как опыт влияет на доход. Все цифры на руки, в рублях, по данным за ноябрь 2025 — март 2026 года.
Важно: в исследование вошли только вакансии, в которых работодатель указал зарплату. Более половины вакансий в ИБ публикуются без указания зарплаты, условия в таких случаях обсуждаются индивидуально.
Как мы считали?
Мы взяли все вакансии из раздела «Вакансии» за указанный период и отобрали те, в которых работодатель указал зарплату.
Выборка: из 6 555 вакансий зарплата была указана у 3 011 — это 45,9% от общего числа. Остальные 54,1% работодателей предпочли скрыть цифры. После фильтрации (только рубли, только профильные ИБ-должности, исключены непрофильные позиции вроде юристов и бухгалтеров) в анализ вошли 2 798 вакансий с указанной зарплатой.
Ознакомиться со полной статьёй, цифрами и выводами можно по следующей ссылке.
📤 Подписывайтесь на CISOCLUB в MAX
Сколько на самом деле зарабатывают специалисты по информационной безопасности в России? Мы проанализировали 6 555 вакансий из раздела «Вакансии» на CISOCLUB и выяснили, кто получает больше всех, где платят лучше и как опыт влияет на доход. Все цифры на руки, в рублях, по данным за ноябрь 2025 — март 2026 года.
Важно: в исследование вошли только вакансии, в которых работодатель указал зарплату. Более половины вакансий в ИБ публикуются без указания зарплаты, условия в таких случаях обсуждаются индивидуально.
Как мы считали?
Мы взяли все вакансии из раздела «Вакансии» за указанный период и отобрали те, в которых работодатель указал зарплату.
Выборка: из 6 555 вакансий зарплата была указана у 3 011 — это 45,9% от общего числа. Остальные 54,1% работодателей предпочли скрыть цифры. После фильтрации (только рубли, только профильные ИБ-должности, исключены непрофильные позиции вроде юристов и бухгалтеров) в анализ вошли 2 798 вакансий с указанной зарплатой.
Ознакомиться со полной статьёй, цифрами и выводами можно по следующей ссылке.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥1
А вы отслеживаете переходы владения для согласованных расширений, продуктов, оборудования?
У кого то работает, если требование по уведомлению смены собственника включить в договор поставки?
https://monxresearch-sec.github.io/shotbird-extension-malware-report/
У кого то работает, если требование по уведомлению смены собственника включить в договор поставки?
https://monxresearch-sec.github.io/shotbird-extension-malware-report/
ShotBird Extension Malware Report
From a Sophisticated Browser-Extension Supply-Chain Compromise to a VibeCoded Twist: A Chrome Extension as the Initial Access Vector…
Independent technical analysis of a Chrome extension compromise, fake update chain, and Windows-stage malware activity.
Forwarded from Евгений Кокуйкин - Raft
Новый инцидент, связанный с утечкой данных из AI-ассистента консалтинговой компании McKinsey. Исследователи из CodeWall во время red teaming-упражнений протестировали чат-бота для сотрудников и консультантов компании, который имел доступ к данным клиентов и другим конфиденциальным перепискам.
Агент-хакер CodeWall обнаружил незащищенные API-эндпоинты приложения и подобрал SQL-инъекцию, которая дала доступ к продакшен базе данных. Случай для безопасности веб-приложений довольно обычный, но есть и интересные особенности.
Далее исследователи обнаружили, что система хранит системные инструкции в той же самой базе данных. Поменяв промпты в БД, они тем самым убрали guardrails и смогли вытащить дополнительные данные из RAG-системы. Не стоит хранить системные инструкции в той же базе данных, которая подключена к вашим открытым API :)
Тестирование прошло в конце февраля, 1 марта команда McKinsey получила уведомление, и уже на следующий день уязвимости были закрыты. С момента атаки до публичного релиза статьи прошло меньше недели, что, конечно, поразительно. Молодцы и в McKinsey, и в CodeWall.
Агент-хакер CodeWall обнаружил незащищенные API-эндпоинты приложения и подобрал SQL-инъекцию, которая дала доступ к продакшен базе данных. Случай для безопасности веб-приложений довольно обычный, но есть и интересные особенности.
Далее исследователи обнаружили, что система хранит системные инструкции в той же самой базе данных. Поменяв промпты в БД, они тем самым убрали guardrails и смогли вытащить дополнительные данные из RAG-системы. Не стоит хранить системные инструкции в той же базе данных, которая подключена к вашим открытым API :)
Тестирование прошло в конце февраля, 1 марта команда McKinsey получила уведомление, и уже на следующий день уязвимости были закрыты. С момента атаки до публичного релиза статьи прошло меньше недели, что, конечно, поразительно. Молодцы и в McKinsey, и в CodeWall.
codewall.ai
How We Hacked McKinsey's AI Platform
An autonomous AI agent found a SQL injection in McKinsey's Lilli AI platform. What it extracted was worse than we expected.
🔥1
Forwarded from SecAtor
Pillar Security сообщает о двух критических уязвимостях в n8n, которые могуь быть использованы для RCE и выхода из песочницы, что потенциально приведет к раскрытию всех учетных данных, хранящихся в базе данных n8n.
Первая ошибка, CVE-2026-27493 (CVSS 9,5), описывается как проблема внедрения выражений второго порядка, затрагивающая узлы Form платформы автоматизации рабочих процессов с открытым исходным кодом.
Успешная эксплуатация уязвимости позволяет неавторизованному злоумышленнику внедрить произвольные команды в поле Name и получить результат выполнения команды.
Уязвимость связана с ем, что n8n использовал два прохода оценки выражений для анализа пользовательского запроса, при этом полезная нагрузка злоумышленника оценивалась как новое выражение во время второго прохода.
По данным Pillar Security, эта уязвимость может быть связана со второй критической проблемой, которая отслеживается как CVE-2026-27577 (CVSS 9,4) и позволяет выйти за пределы песочницы n8n для выполнения команд на хосте.
Уязвимость обусловлена тем, что уязвимый узел работает на этапе компиляции, до запуска средств проверки работоспособности во время выполнения.
Обе уязвимости были устранены в конце февраля в n8n 2.10.1, 2.9.3 и 1.123.22.
Патч позволил устранить второй проход оценки выражений и некоторые ранее принятые параметры, включил несколько глобальных идентификаторов в список заблокированных идентификаторов песочницы и усилил анализ идентификаторов с учетом AST.
Обе проблемы затрагивали как локальные, так и облачные развертывания и могли быть использованы для извлечения всех учетных данных из баз данных n8n, включая ключи AWS, пароли, токены OAuth и ключи API.
Как отмечают в Pillar, по своей функции n8n - это хранилище учетных данных, где также располагаются ключи от каждой системы, к которой подключается. Единый выход из песочницы фактически открывает доступ к экземпляру n8n и каждой подключенной системе.
Поскольку конечные точки форм предназначены для доступа из интернета, CVE-2026-27493 может быть использована любым пользователем, отправившим всего одну форму и выполнившим GET-запрос.
В случае развертывания n8n Cloud и многопользовательских систем последствия выходят за рамки отдельного экземпляра.
Обход песочницы в n8n Cloud предоставляет доступ к общей инфраструктуре, создавая риск для разных пользователей: одна общедоступная форма в рабочем процессе одного пользователя может служить точкой входа.
Первая ошибка, CVE-2026-27493 (CVSS 9,5), описывается как проблема внедрения выражений второго порядка, затрагивающая узлы Form платформы автоматизации рабочих процессов с открытым исходным кодом.
Успешная эксплуатация уязвимости позволяет неавторизованному злоумышленнику внедрить произвольные команды в поле Name и получить результат выполнения команды.
Уязвимость связана с ем, что n8n использовал два прохода оценки выражений для анализа пользовательского запроса, при этом полезная нагрузка злоумышленника оценивалась как новое выражение во время второго прохода.
По данным Pillar Security, эта уязвимость может быть связана со второй критической проблемой, которая отслеживается как CVE-2026-27577 (CVSS 9,4) и позволяет выйти за пределы песочницы n8n для выполнения команд на хосте.
Уязвимость обусловлена тем, что уязвимый узел работает на этапе компиляции, до запуска средств проверки работоспособности во время выполнения.
Обе уязвимости были устранены в конце февраля в n8n 2.10.1, 2.9.3 и 1.123.22.
Патч позволил устранить второй проход оценки выражений и некоторые ранее принятые параметры, включил несколько глобальных идентификаторов в список заблокированных идентификаторов песочницы и усилил анализ идентификаторов с учетом AST.
Обе проблемы затрагивали как локальные, так и облачные развертывания и могли быть использованы для извлечения всех учетных данных из баз данных n8n, включая ключи AWS, пароли, токены OAuth и ключи API.
Как отмечают в Pillar, по своей функции n8n - это хранилище учетных данных, где также располагаются ключи от каждой системы, к которой подключается. Единый выход из песочницы фактически открывает доступ к экземпляру n8n и каждой подключенной системе.
Поскольку конечные точки форм предназначены для доступа из интернета, CVE-2026-27493 может быть использована любым пользователем, отправившим всего одну форму и выполнившим GET-запрос.
В случае развертывания n8n Cloud и многопользовательских систем последствия выходят за рамки отдельного экземпляра.
Обход песочницы в n8n Cloud предоставляет доступ к общей инфраструктуре, создавая риск для разных пользователей: одна общедоступная форма в рабочем процессе одного пользователя может служить точкой входа.
www.pillar.security
Zero Click Unauthenticated RCE in n8n: A Contact Form That Executes Shell Commands
Надеюсь, на этот временный ГОСТ 1046-2026 не будут ссылаться в письмах и нормативке органов власти как меры для исполнения. Все таки он слишком общий.
Документ оперирует терминами ИИ и системы ИИ, но не дает их определений.
В документе учтен международный опыт со ссылкой на ISO 23894:2023 Information technology — Artificial intelligence — Guidance on risk management
Документ оперирует терминами ИИ и системы ИИ, но не дает их определений.
В документе учтен международный опыт со ссылкой на ISO 23894:2023 Information technology — Artificial intelligence — Guidance on risk management
Forwarded from AI SecOps
ПНСТ 1046-2026. "Искусственный интеллект в критической информационной инфраструктуре. Общие положения" https://protect.gost.ru/document1.aspx?control=31&baseC=6&page=1&month=3&year=2026&search=&id=271479
Инициатива от SANS - доработать существушие подходы форенщики и реагирования на инциденты до протокола с поддержкой использования ИИ - SANS Investigative Forensic Toolkit (SIFT).
Проект на ранней стадии.
Ждем пока деталей - обещаны механизмы жесткого контроля над действиями ИИ.
https://www.sans.org/blog/protocol-sift-experimental-research-initiative-ai-assisted-dfir
Проект на ранней стадии.
Ждем пока деталей - обещаны механизмы жесткого контроля над действиями ИИ.
https://www.sans.org/blog/protocol-sift-experimental-research-initiative-ai-assisted-dfir
SANS Institute
Protocol SIFT: An Experimental Research Initiative for AI-Assisted DFIR
Artificial intelligence (AI) is reshaping the cyber threat landscape at an unprecedented pace. Adversaries are weaponizing AI to automate reconnaissance, scale social engineering, and accelerate offensive operations. It is dramatically increasing the complexity…
В 146 релизе Chrome появился Sanitizer API. Этот механизм позволяет реализовать защиту пользователя от XSS.
https://developer.chrome.com/release-notes/146#sanitizer_api
Вот детальное описание концепции https://developer.mozilla.org/en-US/docs/Web/API/HTML_Sanitizer_API
Есть поддержка у Firefox.
Ждем аналогичного от Safari и Edge.
https://developer.chrome.com/release-notes/146#sanitizer_api
Вот детальное описание концепции https://developer.mozilla.org/en-US/docs/Web/API/HTML_Sanitizer_API
Есть поддержка у Firefox.
Ждем аналогичного от Safari и Edge.
Chrome for Developers
Chrome 146 | Release notes | Chrome for Developers
Scroll-triggered animations, Scoped custom element registries, and more.
Forwarded from Альфа-Будущее
Безопасность технологий искусственного интеллекта (MLSecOps) появляется
Это новое направление на стыке машинного обучения и информационной безопасности. Уже развиваем его в Альфе и готовы делиться новым опытом.1️⃣ неделя — лекционная: этика и безопасность в ИИ, тестирование и работа с угрозами.2️⃣ неделя — проектная: командная работа над реальными кейсами.
Записывайся — отбор начинается
@alfafuture
Please open Telegram to view this post
VIEW IN TELEGRAM
Второе китайское предупреждение.
Китайский регулятор выпустил второе предупреждение против использования OpenClaw
Проблема в предоставлении избыточных полномочий на фоне уязвивимостей от промтинъекций. +высокая цена ошибки, если агент неверно интерпретирует ваш промт, например удалив критичные данные.
https://www.scmp.com/tech/tech-trends/article/3346138/china-issues-second-warning-openclaw-risks-amid-adoption-frenzy
Китайский регулятор выпустил второе предупреждение против использования OpenClaw
Проблема в предоставлении избыточных полномочий на фоне уязвивимостей от промтинъекций. +высокая цена ошибки, если агент неверно интерпретирует ваш промт, например удалив критичные данные.
https://www.scmp.com/tech/tech-trends/article/3346138/china-issues-second-warning-openclaw-risks-amid-adoption-frenzy
South China Morning Post
China issues second warning on OpenClaw risks amid adoption frenzy
Cybersecurity agency cautions that improper installation and use of the AI agent carry severe security and data risks.