Forwarded from Кибер ПТУ | Кибербезопасность
DevSecOps Reference Architecture.pdf
4.2 MB
Вот это я понимаю схема
Ребята из Sonatype тут решили потратить колоссальное количество времени и сил – они умудрились засунуть в одну схему по DevSecOps всё, что только можно – от классов решений и ролей до самих инструментов и их вендоров. А еще всё это обмазано бесконечным количеством стрелочек и связей.
В общем, очень сложное, но полезное и красивое. Забираем – полезно будет практически всем безопасникам.
#DevSecOps #AppSec #BaseSecurity
Твой Пакет Знаний | Кибербезопасность
Ребята из Sonatype тут решили потратить колоссальное количество времени и сил – они умудрились засунуть в одну схему по DevSecOps всё, что только можно – от классов решений и ролей до самих инструментов и их вендоров. А еще всё это обмазано бесконечным количеством стрелочек и связей.
В общем, очень сложное, но полезное и красивое. Забираем – полезно будет практически всем безопасникам.
#DevSecOps #AppSec #BaseSecurity
Твой Пакет Знаний | Кибербезопасность
Forwarded from SecureTechTalks
🛠️ Woodpecker: инструмент Red Team в эпоху ИИ, Kubernetes и API
Open-source инструмент, который поднимет ваш уровень киберзащиты
🤖 Woodpecker — это open-source фреймворк для Red Team-тестирования, разработанный компанией Operant AI. Он предназначен для:
➖ Выявления уязвимостей в ИИ-моделях
➖ Проверки безопасности Kubernetes-кластеров
➖ Анализа защищенности API
➖ Woodpecker помогает проактивно находить слабые места в инфраструктуре ещё до того, как ими воспользуются злоумышленники.
🌟 Основные возможности
🔐 AI Security
Тестирование моделей ИИ на атаки типа prompt injection
Проверка устойчивости к data poisoning
Анализ "поведенческих дыр" в логике ИИ-агентов
📦 Kubernetes Security
Поиск неправильных конфигураций
Выявление рисков эскалации привилегий
Мониторинг политик безопасности в реальном времени
🔗 API Security
Анализ слабых мест в API, включая:
• недостаточную аутентификацию
• некорректную обработку данных
• риски утечек информации
⚙️ Преимущества решения
✅ Автоматизация — минимизация ручного труда и времени на анализ
✅ Интеграция — легко встраивается в пайплайны CI/CD
✅ Open-source — полный контроль и прозрачность
✅ Современные стандарты — адаптация под сложные инфраструктуры, включая Kubernetes и облака
✅ Модульность — можно использовать только нужные функции
📈 В условиях взрывного роста ИИ, API и Kubernetes, традиционные подходы к киберзащите становятся недостаточными.
Woodpecker позволяет:
➖ проактивно выявлять и устранять уязвимости
➖ тестировать инфраструктуру в реальных условиях
➖ обучать команды Red Team новым техникам атак и защиты
🔍 Ссылки:
📂 Официальный сайт
📚 GitHub-репозиторий
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #Woodpecker #RedTeam #CyberSecurity #OpenSource #AI #Kubernetes #API #DevSecOps #CloudSecurity
Open-source инструмент, который поднимет ваш уровень киберзащиты
🤖 Woodpecker — это open-source фреймворк для Red Team-тестирования, разработанный компанией Operant AI. Он предназначен для:
🌟 Основные возможности
🔐 AI Security
Тестирование моделей ИИ на атаки типа prompt injection
Проверка устойчивости к data poisoning
Анализ "поведенческих дыр" в логике ИИ-агентов
📦 Kubernetes Security
Поиск неправильных конфигураций
Выявление рисков эскалации привилегий
Мониторинг политик безопасности в реальном времени
🔗 API Security
Анализ слабых мест в API, включая:
• недостаточную аутентификацию
• некорректную обработку данных
• риски утечек информации
⚙️ Преимущества решения
✅ Автоматизация — минимизация ручного труда и времени на анализ
✅ Интеграция — легко встраивается в пайплайны CI/CD
✅ Open-source — полный контроль и прозрачность
✅ Современные стандарты — адаптация под сложные инфраструктуры, включая Kubernetes и облака
✅ Модульность — можно использовать только нужные функции
📈 В условиях взрывного роста ИИ, API и Kubernetes, традиционные подходы к киберзащите становятся недостаточными.
Woodpecker позволяет:
🔍 Ссылки:
📂 Официальный сайт
📚 GitHub-репозиторий
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #Woodpecker #RedTeam #CyberSecurity #OpenSource #AI #Kubernetes #API #DevSecOps #CloudSecurity
Please open Telegram to view this post
VIEW IN TELEGRAM
❤1🔥1
Forwarded from SecureTechTalks
🔐 SecureBERT 2.0: ИИ который учится говорить на языке кибербезопасности
🌍 Мир не останавливается ни на секунду. Сегодня аналитики разбирают фишинговую кампанию, завтра ищут уязвимость в ядре Linux, а послезавтра анализируют подозрительные логи из облака. Данных становится всё больше и они всё сложнее.
💡 Так появился SecureBERT. Это не универсальная модель, а ИИ натренированный именно на языке киберугроз.
👉 GitHub проекта
🤖 Ученик цифровых угроз
SecureBERT 2.0 «рос» на реальных материалах:
📑 отчёты об APT группах
🛡️ описания CVE и багов
📰 технические блоги исследователей
💻 миллионы строк кода включая эксплойты
📊 Объем тренировочных данных:
🔹 более 13 миллиардов текстовых токенов
🔹 более 53 миллиона токенов кода
Это в 13 раз больше чем у первой версии модели.
🧠 Архитектура
Модель основана на ModernBERT и умеет:
📏 работать с длинными документами
🗂️ понимать структуру текста и кода
🔀 совмещать язык и программный код
⚡ обрабатывать данные быстрее и эффективнее
🔎 Что умеет модель?
1️⃣ Поиск информации
🔍 Находит документы с точностью до 88.8%
⏱️ Аналитики SOC экономят часы на поиске нужных данных
2️⃣ Извлечение сущностей (NER)
📌 Определяет уязвимости, индикаторы компрометации, малварь
📈 F1 score: 0.945 — почти идеальная точность
3️⃣ Поиск уязвимостей в коде
🛠️ Видит SQLi XSS переполнения буфера
⚖️ Балансирует точность и минимум ложных срабатываний
🔮 Планы на будущее
Авторы планируют:
📈 увеличить размер модели
🔗 встроить её в SIEM и SOAR
🛰️ расширить использование: от анализа логов до поиска эксплойтов
Stay secure and read SecureTechTalks 📚
#ИИ #кибербезопасность #SecureBERT #AI #SOC #DevSecOps #Cisco #угрозы #BigData #LLM
🌍 Мир не останавливается ни на секунду. Сегодня аналитики разбирают фишинговую кампанию, завтра ищут уязвимость в ядре Linux, а послезавтра анализируют подозрительные логи из облака. Данных становится всё больше и они всё сложнее.
💡 Так появился SecureBERT. Это не универсальная модель, а ИИ натренированный именно на языке киберугроз.
👉 GitHub проекта
🤖 Ученик цифровых угроз
SecureBERT 2.0 «рос» на реальных материалах:
📑 отчёты об APT группах
🛡️ описания CVE и багов
📰 технические блоги исследователей
💻 миллионы строк кода включая эксплойты
📊 Объем тренировочных данных:
🔹 более 13 миллиардов текстовых токенов
🔹 более 53 миллиона токенов кода
Это в 13 раз больше чем у первой версии модели.
🧠 Архитектура
Модель основана на ModernBERT и умеет:
📏 работать с длинными документами
🗂️ понимать структуру текста и кода
🔀 совмещать язык и программный код
⚡ обрабатывать данные быстрее и эффективнее
🔎 Что умеет модель?
1️⃣ Поиск информации
🔍 Находит документы с точностью до 88.8%
⏱️ Аналитики SOC экономят часы на поиске нужных данных
2️⃣ Извлечение сущностей (NER)
📌 Определяет уязвимости, индикаторы компрометации, малварь
📈 F1 score: 0.945 — почти идеальная точность
3️⃣ Поиск уязвимостей в коде
🛠️ Видит SQLi XSS переполнения буфера
⚖️ Балансирует точность и минимум ложных срабатываний
🔮 Планы на будущее
Авторы планируют:
📈 увеличить размер модели
🔗 встроить её в SIEM и SOAR
🛰️ расширить использование: от анализа логов до поиска эксплойтов
Stay secure and read SecureTechTalks 📚
#ИИ #кибербезопасность #SecureBERT #AI #SOC #DevSecOps #Cisco #угрозы #BigData #LLM
Forwarded from AISecure (Victor Chaplygin)
🧠 Один неверный регистр — и IDE становится точкой входа.
Поэтому всегда обновляйтесь.
В Cursor IDE нашли занятную уязвимость — CVE-2025-59944
.
Из-за чувствительности к регистру в проверках “чувствительных” файлов можно было тихо обойти встроенные guardrails — механизмы, которые должны сдерживать опасные действия AI или IDE.
📌 На macOS и Windows, где файловые системы не различают регистр, .cUrSoR/mcp.json воспринимался как новый файл и проходил без подтверждения.
Результат — перезапись ключевых конфигов и возможность удалённого выполнения кода (RCE).
И всё это без участия разработчика: атака могла прийти, например, через подключённый MCP-сервер.
Cursor закрыл дыру в 1.7, нормализовав пути и проверки. Но кейс показательный — мелкие детали превращаются в серьёзные векторы, когда IDE начинает действовать как агент 🤖
📎 Подробный разбор:
– Lakera Blog
– NVD Record
#Cursor #CVE202559944 #DevSecOps #AgenticTools #AIsecurity #RCE #PromptInjection
Поэтому всегда обновляйтесь.
В Cursor IDE нашли занятную уязвимость — CVE-2025-59944
.
Из-за чувствительности к регистру в проверках “чувствительных” файлов можно было тихо обойти встроенные guardrails — механизмы, которые должны сдерживать опасные действия AI или IDE.
📌 На macOS и Windows, где файловые системы не различают регистр, .cUrSoR/mcp.json воспринимался как новый файл и проходил без подтверждения.
Результат — перезапись ключевых конфигов и возможность удалённого выполнения кода (RCE).
И всё это без участия разработчика: атака могла прийти, например, через подключённый MCP-сервер.
Cursor закрыл дыру в 1.7, нормализовав пути и проверки. Но кейс показательный — мелкие детали превращаются в серьёзные векторы, когда IDE начинает действовать как агент 🤖
📎 Подробный разбор:
– Lakera Blog
– NVD Record
#Cursor #CVE202559944 #DevSecOps #AgenticTools #AIsecurity #RCE #PromptInjection
❤1
Forwarded from SecureTechTalks
⚡️ Strix: ИИ, который взламывает ваши приложения быстрее,
⚙ Strix: автономные AI-агенты, которые ведут себя как настоящие пентестеры: проводят атаки, валидируют уязвимости и выдают реальные PoC. Всё это в полностью автоматическом режиме.
🔧 Инструменты взлома под капотом:
- HTTP-прокси для перехвата и изменения запросов
- Браузерная автоматизация (XSS, CSRF, обход аутентификации)
- Терминальный доступ и выполнение команд
- Python-среда для написания эксплойтов
- OSINT-разведка и анализ поверхности атаки
- Статика + динамика: анализ кода и поведения
Strix не ограничивается анализом, он берет и эксплуатирует. От IDOR и SSRF до токенов, сессий, XSS, прототип поллюшена и гонок.
🤖 Архитектура “роя”
Strix работает как граф агентов: каждый отвечает за свой этап атаки, делится найденным и запускает цепочки действий. Это даёт ему возможность проводить сложные многоходовые атаки, как человек-пентестер, только в разы быстрее.
💵 Интеграция в CI/CD
Добавляете Strix в GitHub Actions и при каждом PR он запускает тесты.
Нашёл крит уязвимость? ❌ PR отклонён.
Всё чисто? ✅ Можно мёржить.
Команда получает PoC сразу, без споров “это ложное срабатывание или нет?”.
🔥 Почему стоит обратить внимание?
➖ минимизирует человеческий фактор
➖ покрывает сложные сценарии, которые пропускают сканеры
➖ даёт реальные PoC
идеально вписывается в DevSecOps
➖ экономит деньги на пентестах
🔗 Ссылка на GitHub
Stay secure and read SecureTechTalks 📚
#cybersecurity #infosec #pentest #aiagents #devsecops #bugbounty #appsec #securitytesting #llmsecurity #securetechtalks
⚙ Strix: автономные AI-агенты, которые ведут себя как настоящие пентестеры: проводят атаки, валидируют уязвимости и выдают реальные PoC. Всё это в полностью автоматическом режиме.
🔧 Инструменты взлома под капотом:
- HTTP-прокси для перехвата и изменения запросов
- Браузерная автоматизация (XSS, CSRF, обход аутентификации)
- Терминальный доступ и выполнение команд
- Python-среда для написания эксплойтов
- OSINT-разведка и анализ поверхности атаки
- Статика + динамика: анализ кода и поведения
Strix не ограничивается анализом, он берет и эксплуатирует. От IDOR и SSRF до токенов, сессий, XSS, прототип поллюшена и гонок.
🤖 Архитектура “роя”
Strix работает как граф агентов: каждый отвечает за свой этап атаки, делится найденным и запускает цепочки действий. Это даёт ему возможность проводить сложные многоходовые атаки, как человек-пентестер, только в разы быстрее.
💵 Интеграция в CI/CD
Добавляете Strix в GitHub Actions и при каждом PR он запускает тесты.
Нашёл крит уязвимость? ❌ PR отклонён.
Всё чисто? ✅ Можно мёржить.
Команда получает PoC сразу, без споров “это ложное срабатывание или нет?”.
🔥 Почему стоит обратить внимание?
идеально вписывается в DevSecOps
🔗 Ссылка на GitHub
Stay secure and read SecureTechTalks 📚
#cybersecurity #infosec #pentest #aiagents #devsecops #bugbounty #appsec #securitytesting #llmsecurity #securetechtalks
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2😁1
Forwarded from AI Security Lab
DevSecOps Assessment Framework для ML от "Инфосистемы Джет"
🔍 Что это и зачем это нужно?
Недавно команда "Инфосистемы Джет" выпустила DevSecOps Assessment Framework для ML. Это подробная модель зрелости процессов безопасной разработки систем искусственного интеллекта.
В ней структурированный чек-лист/дорожная карта, которая помогает понять, на каком уровне находится ваша организация в части MLSecOps: от базового контроля зависимостей до продвинутой защиты от специфических угроз ИИ.
🛡 Основные положения фреймворка
• Контроль зависимостей, артефактов и SBOM/ML-BOM
• Защита сред разработки, секретов, CI/CD и SCM
• Анализ и очистка обучающих/валидационных данных (отравление, PII, jailbreak в RAG)
• Динамическое тестирование LLM на jailbreak, prompt injection и другие атаки
• Мониторинг, аудит и реагирование в продакшене
• Обучение команд требованиями ИБ
В документе в качестве примеров полезных инструментов для поиска уязвимостей в LLM упоминаются HiveTrace Red и Llamator — приятный комплимент инструментам сообщества 🤝
Если тема AI Security вам близка, рекомендуем изучить и использовать как чек-лист или дорожную карту для улучшений.
Ссылка на релиз:
https://github.com/Jet-Security-Team/DevSecOps-Assessment-Framework/releases/tag/2025.12.26
#MLSecOps #AISecurity #DevSecOps #LLMsecurity
Разбор Никиты Беляевского, разработчика HiveTrace Red (https://hivetrace.ru/red)
🔍 Что это и зачем это нужно?
Недавно команда "Инфосистемы Джет" выпустила DevSecOps Assessment Framework для ML. Это подробная модель зрелости процессов безопасной разработки систем искусственного интеллекта.
В ней структурированный чек-лист/дорожная карта, которая помогает понять, на каком уровне находится ваша организация в части MLSecOps: от базового контроля зависимостей до продвинутой защиты от специфических угроз ИИ.
🛡 Основные положения фреймворка
• Контроль зависимостей, артефактов и SBOM/ML-BOM
• Защита сред разработки, секретов, CI/CD и SCM
• Анализ и очистка обучающих/валидационных данных (отравление, PII, jailbreak в RAG)
• Динамическое тестирование LLM на jailbreak, prompt injection и другие атаки
• Мониторинг, аудит и реагирование в продакшене
• Обучение команд требованиями ИБ
В документе в качестве примеров полезных инструментов для поиска уязвимостей в LLM упоминаются HiveTrace Red и Llamator — приятный комплимент инструментам сообщества 🤝
Если тема AI Security вам близка, рекомендуем изучить и использовать как чек-лист или дорожную карту для улучшений.
Ссылка на релиз:
https://github.com/Jet-Security-Team/DevSecOps-Assessment-Framework/releases/tag/2025.12.26
#MLSecOps #AISecurity #DevSecOps #LLMsecurity
Разбор Никиты Беляевского, разработчика HiveTrace Red (https://hivetrace.ru/red)
GitHub
Release 2025.12.26 · Jet-Security-Team/DevSecOps-Assessment-Framework
Список изменений:
Актуализировали маппинг на ГОСТ 56939-2024
Добавили автомаппинг на BSIMM. Теперь проводя аудит по DAF можно сразу же получать результат относительно 5 фреймворков - ГОСТ 56939, D...
Актуализировали маппинг на ГОСТ 56939-2024
Добавили автомаппинг на BSIMM. Теперь проводя аудит по DAF можно сразу же получать результат относительно 5 фреймворков - ГОСТ 56939, D...
Forwarded from Код Желтый
Это наш автономный атакующий ИИ-агент, обладающий образом мышления «хакера». Он встраивается в пайплайны, думает как эксперт и подтверждает каждую найденную уязвимость.
#devsecops #pentest #sdlc #ai
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM