🚨 У AI-агентов появился полноценный стек безопасности
На arXiv вышла работа AI-Infra-Guard, фреймворк для тестирования безопасности агентных систем.
Авторы разбивают фреймворк на 4 слоя:
🔹 Инфраструктурный слой: движки вывода, серверы моделей, API обслуживания
🔹 Протокольный слой: MCP-серверы, API, плагины, внешние инструменты
🔹 Агентный слой: планировщик, память, маршрутизатор инструментов, исполнитель
🔹 Модельный слой: обработка промптов, управление контекстом, логика рассуждений
🧐 Каждый слой ломается по-разному
➖ На инфраструктурном уровне:
— открытые административные интерфейсы
— слабая аутентификация в системе обслуживания моделей
— отравленные артефакты моделей
— небезопасные механизмы горячего обновления
➖ На протокольном уровне: — вредоносная регистрация MCP-инструментов
— подмена схемы вызовов
— скрытая передача аргументов
— имитация легитимных инструментов
➖ На агентном уровне:
— рекурсивные циклы вызова инструментов
— повышение привилегий через цепочки вызовов
— отравление памяти
— захват контекста выполнения
➖ На модельном уровне:
— джейлбрейки
— переопределение инструкций
— скрытые внедрения в промпты
— утечки цепочек рассуждений
⚙️ Что внутри AI-Infra-Guard
Фреймворк выглядит очень серьёзно:
• 1400+ правил безопасности
• 75+ компонентов AI-экосистемы
• 26 операторов джейлбрейка
• многошаговая оркестрация атак в чёрном ящике
• аудит MCP-серверов
• проверка агентных навыков
• 16 тестовых датасетов
Особенно интересен их подход к многошаговой эксплуатации.
Атака строится по цепочке:
шаг 1 → подготовка контекста
шаг 2 → формирование доверия
шаг 3 → разведка доступных инструментов
шаг 4 → проверка прав доступа
шаг 5 → переход к выполнению полезной нагрузки
Это намного ближе к реальным атакам на агентные системы, чем классические одноходовые проверки.
🔗 Статья:
https://arxiv.org/pdf/2606.31227
Stay secure and read SecureTechTalks 📚
#cybersecurity #aiagents #llmsecurity #redteam #mcp #agentsecurity #promptinjection #devsecops #offensivesecurity #securetechtalks
На arXiv вышла работа AI-Infra-Guard, фреймворк для тестирования безопасности агентных систем.
Авторы разбивают фреймворк на 4 слоя:
🔹 Инфраструктурный слой: движки вывода, серверы моделей, API обслуживания
🔹 Протокольный слой: MCP-серверы, API, плагины, внешние инструменты
🔹 Агентный слой: планировщик, память, маршрутизатор инструментов, исполнитель
🔹 Модельный слой: обработка промптов, управление контекстом, логика рассуждений
🧐 Каждый слой ломается по-разному
— открытые административные интерфейсы
— слабая аутентификация в системе обслуживания моделей
— отравленные артефакты моделей
— небезопасные механизмы горячего обновления
— подмена схемы вызовов
— скрытая передача аргументов
— имитация легитимных инструментов
— рекурсивные циклы вызова инструментов
— повышение привилегий через цепочки вызовов
— отравление памяти
— захват контекста выполнения
— джейлбрейки
— переопределение инструкций
— скрытые внедрения в промпты
— утечки цепочек рассуждений
⚙️ Что внутри AI-Infra-Guard
Фреймворк выглядит очень серьёзно:
• 1400+ правил безопасности
• 75+ компонентов AI-экосистемы
• 26 операторов джейлбрейка
• многошаговая оркестрация атак в чёрном ящике
• аудит MCP-серверов
• проверка агентных навыков
• 16 тестовых датасетов
Особенно интересен их подход к многошаговой эксплуатации.
Атака строится по цепочке:
шаг 1 → подготовка контекста
шаг 2 → формирование доверия
шаг 3 → разведка доступных инструментов
шаг 4 → проверка прав доступа
шаг 5 → переход к выполнению полезной нагрузки
Это намного ближе к реальным атакам на агентные системы, чем классические одноходовые проверки.
🔗 Статья:
https://arxiv.org/pdf/2606.31227
Stay secure and read SecureTechTalks 📚
#cybersecurity #aiagents #llmsecurity #redteam #mcp #agentsecurity #promptinjection #devsecops #offensivesecurity #securetechtalks
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1👏1
🧨 OpenAI теперь продают готовых AI-сотрудников
OpenAI представили Presence, новую платформу для запуска корпоративных AI-агентов. Вместо того чтобы дать компании LLM и API, OpenAI начинают поставлять практически готовую операционную среду для автономных агентов.
⚙️ Агент как бизнес-процесс
Presence - не новая модель, а инфраструктура вокруг неё. В одном продукте объединены:
🔹 корпоративные политики и SOP;
🔹 управление правами и разрешёнными действиями;
🔹 guardrails;
🔹 симуляции рабочих сценариев;
🔹 автоматическая оценка качества работы;
🔹 механизмы эскалации человеку.
Перед запуском агент проходит серию тестов на типовых запросах, сложных сценариях и граничных случаях. Система проверяет не только правильность ответа, но и соблюдение политик компании, корректность использования инструментов и своевременную передачу задачи оператору.
🧠 Саморазвитие
Все реальные обращения пользователей, ошибки и случаи эскалации анализируются Codex. Он предлагает изменения поведения агента, после чего новые версии снова прогоняются через симуляции. Только после одобрения сотрудников изменения попадают в production.
Получается непрерывный цикл самоулучшения, где агент постоянно адаптируется к изменениям бизнес-процессов, но финальное решение остаётся за человеком.
Фактически OpenAI превращают AI-агента в управляемый корпоративный сервис со встроенными механизмами DevSecOps.
🔗 Источник: https://openai.com/index/introducing-openai-presence/
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #OpenAI #AgenticAI #AISecurity #Guardrails #DevSecOps #EnterpriseAI #SecureTechTalks
OpenAI представили Presence, новую платформу для запуска корпоративных AI-агентов. Вместо того чтобы дать компании LLM и API, OpenAI начинают поставлять практически готовую операционную среду для автономных агентов.
⚙️ Агент как бизнес-процесс
Presence - не новая модель, а инфраструктура вокруг неё. В одном продукте объединены:
🔹 корпоративные политики и SOP;
🔹 управление правами и разрешёнными действиями;
🔹 guardrails;
🔹 симуляции рабочих сценариев;
🔹 автоматическая оценка качества работы;
🔹 механизмы эскалации человеку.
Перед запуском агент проходит серию тестов на типовых запросах, сложных сценариях и граничных случаях. Система проверяет не только правильность ответа, но и соблюдение политик компании, корректность использования инструментов и своевременную передачу задачи оператору.
🧠 Саморазвитие
Все реальные обращения пользователей, ошибки и случаи эскалации анализируются Codex. Он предлагает изменения поведения агента, после чего новые версии снова прогоняются через симуляции. Только после одобрения сотрудников изменения попадают в production.
Получается непрерывный цикл самоулучшения, где агент постоянно адаптируется к изменениям бизнес-процессов, но финальное решение остаётся за человеком.
Фактически OpenAI превращают AI-агента в управляемый корпоративный сервис со встроенными механизмами DevSecOps.
🔗 Источник: https://openai.com/index/introducing-openai-presence/
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #OpenAI #AgenticAI #AISecurity #Guardrails #DevSecOps #EnterpriseAI #SecureTechTalks
❤1👍1
🧨 CISA выпустила инструкцию по защите Open Source
CISA совместно с другими государственными и отраслевыми организациями США выпустила практическое руководство, которое показывает, как защищать OSS на этапе разработки.
⚙️ Что рекомендуют?
Вместо очередного списка "лучших практик" документ разбивает защиту на конкретные инженерные меры:
🔹 использовать многофакторную аутентификацию и защищать учётные записи сопровождающих;
🔹 подписывать релизы и проверять происхождение артефактов;
🔹 автоматизировать поиск уязвимостей и анализ зависимостей;
🔹 публиковать SBOM для выпускаемых продуктов;
🔹 заранее определить процесс coordinated vulnerability disclosure и безопасного исправления уязвимостей;
🔹 регулярно проводить code review и защищать CI/CD-пайплайн.
🧠 Саммери документа
Сегодня атакуют уже не только код, компрометировать можно GitHub-аккаунт мейнтейнера, систему сборки, пакетный репозиторий, процесс публикации релизов или механизм обновлений. Безопасность OSS должна рассматриваться, как защита всей цепочки разработки, а не отдельных библиотек.
🔗 Гайд: https://www.cisa.gov/sites/default/files/2026-07/open-source-software-security-principles.pdf
Stay secure and read SecureTechTalks 📚
#кибербезопасность #OpenSource #SupplyChainSecurity #CISA #SBOM #SecureByDesign #DevSecOps #AppSec #CyberSecurity #SecureTechTalks
CISA совместно с другими государственными и отраслевыми организациями США выпустила практическое руководство, которое показывает, как защищать OSS на этапе разработки.
⚙️ Что рекомендуют?
Вместо очередного списка "лучших практик" документ разбивает защиту на конкретные инженерные меры:
🔹 использовать многофакторную аутентификацию и защищать учётные записи сопровождающих;
🔹 подписывать релизы и проверять происхождение артефактов;
🔹 автоматизировать поиск уязвимостей и анализ зависимостей;
🔹 публиковать SBOM для выпускаемых продуктов;
🔹 заранее определить процесс coordinated vulnerability disclosure и безопасного исправления уязвимостей;
🔹 регулярно проводить code review и защищать CI/CD-пайплайн.
🧠 Саммери документа
Сегодня атакуют уже не только код, компрометировать можно GitHub-аккаунт мейнтейнера, систему сборки, пакетный репозиторий, процесс публикации релизов или механизм обновлений. Безопасность OSS должна рассматриваться, как защита всей цепочки разработки, а не отдельных библиотек.
🔗 Гайд: https://www.cisa.gov/sites/default/files/2026-07/open-source-software-security-principles.pdf
Stay secure and read SecureTechTalks 📚
#кибербезопасность #OpenSource #SupplyChainSecurity #CISA #SBOM #SecureByDesign #DevSecOps #AppSec #CyberSecurity #SecureTechTalks
👍1
🧨 Future AGI: Шесть инструментов вместо одного или операционной системой для AI-агентов
Почти каждая команда, разрабатывающая AI-агентов, собирает стек из десятков отдельных инструментов: Langfuse для трассировки, Braintrust для evals, Guardrails AI для защиты, Бог знает что для мониторинга...
Open-source проект Future AGI предлагает заменить этот конструктор единой платформой для всего жизненного цикла AI-агента.
⚙️ Функиональность
Вместо одного SDK разработчики получили полноценную инженерную платформу:
🔹 Tracing
OpenTelemetry-трассировка для 50+ AI-фреймворков с анализом latency, стоимости запросов и цепочек вызовов;
🔹 Evaluation
Более 50 встроенных метрик: hallucinations, groundedness, корректность tool calls, PII, jailbreak, prompt injection и собственные критерии оценки;
🔹 Simulation
Генерация тысяч пользовательских сценариев, adversarial-запросов и edge-case тестов ещё до выхода агента в production;
🔹 Guardrails
18 встроенных защитных модулей и интеграции с внешними решениями вроде Llama Guard, Presidio и Lakera;
🔹 Gateway
Единая точка доступа к сотням LLM-провайдеров с маршрутизацией, semantic cache, virtual keys и MCP;
🔹 Optimization
Автоматическое улучшение промптов на основе реальных production-трейсов.
🧠 Принципиальный подход
Сначала агент проходит симуляции, затем оценивается по десяткам метрик, после запуска собирает production-трейсы, а найденные ошибки автоматически превращаются в новые тесты и предложения по оптимизации промптов.
Платформа реализует непрерывный цикл simulate → evaluate → protect → monitor → optimize, превращая эксплуатацию AI-агента в управляемый инженерный процесс, а не бесконечную ручную настройку.
🔗 GitHub: https://github.com/future-agi/future-agi
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #AgentOps #AISecurity #Observability #Guardrails #DevSecOps #SecureTechTalks
Почти каждая команда, разрабатывающая AI-агентов, собирает стек из десятков отдельных инструментов: Langfuse для трассировки, Braintrust для evals, Guardrails AI для защиты, Бог знает что для мониторинга...
Open-source проект Future AGI предлагает заменить этот конструктор единой платформой для всего жизненного цикла AI-агента.
⚙️ Функиональность
Вместо одного SDK разработчики получили полноценную инженерную платформу:
🔹 Tracing
OpenTelemetry-трассировка для 50+ AI-фреймворков с анализом latency, стоимости запросов и цепочек вызовов;
🔹 Evaluation
Более 50 встроенных метрик: hallucinations, groundedness, корректность tool calls, PII, jailbreak, prompt injection и собственные критерии оценки;
🔹 Simulation
Генерация тысяч пользовательских сценариев, adversarial-запросов и edge-case тестов ещё до выхода агента в production;
🔹 Guardrails
18 встроенных защитных модулей и интеграции с внешними решениями вроде Llama Guard, Presidio и Lakera;
🔹 Gateway
Единая точка доступа к сотням LLM-провайдеров с маршрутизацией, semantic cache, virtual keys и MCP;
🔹 Optimization
Автоматическое улучшение промптов на основе реальных production-трейсов.
🧠 Принципиальный подход
Сначала агент проходит симуляции, затем оценивается по десяткам метрик, после запуска собирает production-трейсы, а найденные ошибки автоматически превращаются в новые тесты и предложения по оптимизации промптов.
Платформа реализует непрерывный цикл simulate → evaluate → protect → monitor → optimize, превращая эксплуатацию AI-агента в управляемый инженерный процесс, а не бесконечную ручную настройку.
🔗 GitHub: https://github.com/future-agi/future-agi
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #AgentOps #AISecurity #Observability #Guardrails #DevSecOps #SecureTechTalks
👍1
🧨 Future AGI: единый стек для AI-агентов
AI-агента легко запустить. Гораздо сложнее понять, насколько он безопасен и стабилен после запуска.
Open-source платформа Future AGI объединяет в одной платформе инструменты, которые обычно приходится собирать отдельно:
🔹 Tracing - отслеживание LLM-вызовов, tool calls, latency и стоимости;
🔹 Evaluation - проверка качества, hallucinations, PII, jailbreak и prompt injection;
🔹 Simulation - генерация пользовательских и adversarial-сценариев до выхода в production;
🔹 Guardrails - проверка входов и выходов агента;
🔹 Gateway - единая точка работы с LLM-провайдерами, routing и caching;
🔹 Optimization - автоматический поиск более эффективных вариантов промптов.
🛡️ Безопасность проверяется не только на входе
Future AGI позволяет прогонять агента через проверки на prompt injection, jailbreak, PII и другие нарушения политик безопасности. Проверки можно использовать как guardrails во время работы агента и как evaluation-критерии при тестировании новых версий.
🧠 Петля
Продукт зацикливает работу агентов:
simulate → evaluate → protect → monitor → optimize
Нашли проблему → добавили сценарий в evaluation → проверили новую версию → снова отправили в production.
Поведение агента постоянно измеряется, тестируется и улучшается.
🔗 GitHub: https://github.com/future-agi/future-agi
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #AgentOps #AISecurity #Guardrails #DevSecOps #OpenSource #SecureTechTalks
AI-агента легко запустить. Гораздо сложнее понять, насколько он безопасен и стабилен после запуска.
Open-source платформа Future AGI объединяет в одной платформе инструменты, которые обычно приходится собирать отдельно:
🔹 Tracing - отслеживание LLM-вызовов, tool calls, latency и стоимости;
🔹 Evaluation - проверка качества, hallucinations, PII, jailbreak и prompt injection;
🔹 Simulation - генерация пользовательских и adversarial-сценариев до выхода в production;
🔹 Guardrails - проверка входов и выходов агента;
🔹 Gateway - единая точка работы с LLM-провайдерами, routing и caching;
🔹 Optimization - автоматический поиск более эффективных вариантов промптов.
🛡️ Безопасность проверяется не только на входе
Future AGI позволяет прогонять агента через проверки на prompt injection, jailbreak, PII и другие нарушения политик безопасности. Проверки можно использовать как guardrails во время работы агента и как evaluation-критерии при тестировании новых версий.
🧠 Петля
Продукт зацикливает работу агентов:
simulate → evaluate → protect → monitor → optimize
Нашли проблему → добавили сценарий в evaluation → проверили новую версию → снова отправили в production.
Поведение агента постоянно измеряется, тестируется и улучшается.
🔗 GitHub: https://github.com/future-agi/future-agi
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #AgentOps #AISecurity #Guardrails #DevSecOps #OpenSource #SecureTechTalks
👍2
🧨 CyberForge: AI-агентов учат искать уязвимости на настоящем коде
Реальных CVE не так много, их сложно воспроизводить, а превращение каждой уязвимости в полноценную тренировочную задачу требует ручной работы.
Исследователи из NIST и University of Maryland предложили новый подход, CyberForge.
⚙️ Уязвимости создаются искусственно
CyberForge берёт реальные C/C++ проекты из OSS-Fuzz и специально вносит в них небольшие изменения, превращающие обычный код в уязвимый.
Система принимает уязвимость только если одновременно выполняются два условия:
🔹 исходные unit-тесты продолжают проходить;
🔹 Proof-of-Vulnerability срабатывает на изменённой версии, но не срабатывает на оригинальной.
Полученная уязвимость должна оставаться скрытой при обычной работе, но реально эксплуатироваться специально подготовленным входом.
🧠 Результаты
CyberForge создал:
➖ 1 034 подтверждённые уязвимости;
➖ 80 реальных open-source проектов;
➖ 63 категории CWE.
В 1 025 из 1 034 кейсах изменяли только один файл, а в 944 всего один участок кода. По характеру изменений полученный датасет оказался сопоставим с реальными CVE-патчами.
🔥 И улучшение AI-агентов
Исследователи собрали на этих задачах trajectories от более сильных моделей и использовали их для fine-tuning Gemma 4.
На SEC-bench результат 31B-модели вырос на 14,7%.
Кроме того, модели, обученные исключительно на C/C++, улучшили результаты и на другом наборе задач с Python, JavaScript и Go.
🛡️ Меняем подход
Получается новый цикл обучения security-агентов:
реальный репозиторий → синтетическая уязвимость → автоматическая проверка → задача для AI → обучение → более сильный security-agent.
P.S. Созданные уязвимости являются синтетическими изменениями open-source кода и не представляют собой новые zero-day в продуктивных системах.
🔗 Исследование: https://arxiv.org/abs/2608.06471
🔗 Проект: https://cyb3rforge.github.io
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #AppSec #VulnerabilityResearch #CyberSecurity #OSSFuzz #DevSecOps #SecureTechTalks
Реальных CVE не так много, их сложно воспроизводить, а превращение каждой уязвимости в полноценную тренировочную задачу требует ручной работы.
Исследователи из NIST и University of Maryland предложили новый подход, CyberForge.
⚙️ Уязвимости создаются искусственно
CyberForge берёт реальные C/C++ проекты из OSS-Fuzz и специально вносит в них небольшие изменения, превращающие обычный код в уязвимый.
Система принимает уязвимость только если одновременно выполняются два условия:
🔹 исходные unit-тесты продолжают проходить;
🔹 Proof-of-Vulnerability срабатывает на изменённой версии, но не срабатывает на оригинальной.
Полученная уязвимость должна оставаться скрытой при обычной работе, но реально эксплуатироваться специально подготовленным входом.
🧠 Результаты
CyberForge создал:
➖ 1 034 подтверждённые уязвимости;
➖ 80 реальных open-source проектов;
➖ 63 категории CWE.
В 1 025 из 1 034 кейсах изменяли только один файл, а в 944 всего один участок кода. По характеру изменений полученный датасет оказался сопоставим с реальными CVE-патчами.
🔥 И улучшение AI-агентов
Исследователи собрали на этих задачах trajectories от более сильных моделей и использовали их для fine-tuning Gemma 4.
На SEC-bench результат 31B-модели вырос на 14,7%.
Кроме того, модели, обученные исключительно на C/C++, улучшили результаты и на другом наборе задач с Python, JavaScript и Go.
🛡️ Меняем подход
Получается новый цикл обучения security-агентов:
реальный репозиторий → синтетическая уязвимость → автоматическая проверка → задача для AI → обучение → более сильный security-agent.
P.S. Созданные уязвимости являются синтетическими изменениями open-source кода и не представляют собой новые zero-day в продуктивных системах.
🔗 Исследование: https://arxiv.org/abs/2608.06471
🔗 Проект: https://cyb3rforge.github.io
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #AppSec #VulnerabilityResearch #CyberSecurity #OSSFuzz #DevSecOps #SecureTechTalks
👍1
🧨 Claude Code переходит в мультиагентный режим
С 13 по 21 августа Anthropic выпустила восемь версий Claude Code. Если посмотреть changelog целиком, становится заметна тенденция: Claude Code превращается из помощника в среду, где одновременно работают несколько агентов.
⚙️ Агенты работают параллельно
В версии 2.1.232 новый субагент получает контекст родительской сессии и prompt cache, поэтому ему не приходится заново изучать проект.
Параллельно появился простой способ связывать разные сессии: @имя отправляет сообщение другому Claude через SendMessage.
Claude изучает проект, после чего несколько агентов получают общий контекст и работают параллельно, обмениваясь результатами.
🧠 Claude работает дольше
В 2.1.234 агент научился автоматически продолжать прерванную задачу после достижения лимита использования.
Добавьте фоновые субагенты, fork и автоматическое продолжение, и привычная модель «запустил Claude и наблюдаю» начинает меняться. Агент может часами исследовать кодовую базу, запускать тесты и делегировать отдельные задачи другим агентам.
🛡️ Теперь о безопасности
В той же серии релизов Anthropic закрывала несколько довольно серьёзных проблем: обходы permission-механизмов в Windows, уязвимость Linux sandbox, небезопасную работу cross-session socket в /tmp, проблемы с GitLab credentials и передачей секретов.
Особенно интересен cross-session messaging, когда несколько агентов начинают взаимодействовать через общую инфраструктуру. Здесь появляется новая поверхность атаки, где агент уже может влиять на состояние другого агента.
Чем больше автономности получает агент, тем громче звучит вопрос, что произойдёт, если несколько таких агентов начнут действовать одновременно?
🔗 Claude Code changelog
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #ClaudeCode #AgenticAI #AISecurity #AgentSecurity #DevSecOps #CyberSecurity #SecureTechTalks
С 13 по 21 августа Anthropic выпустила восемь версий Claude Code. Если посмотреть changelog целиком, становится заметна тенденция: Claude Code превращается из помощника в среду, где одновременно работают несколько агентов.
⚙️ Агенты работают параллельно
В версии 2.1.232 новый субагент получает контекст родительской сессии и prompt cache, поэтому ему не приходится заново изучать проект.
Параллельно появился простой способ связывать разные сессии: @имя отправляет сообщение другому Claude через SendMessage.
Claude изучает проект, после чего несколько агентов получают общий контекст и работают параллельно, обмениваясь результатами.
🧠 Claude работает дольше
В 2.1.234 агент научился автоматически продолжать прерванную задачу после достижения лимита использования.
Добавьте фоновые субагенты, fork и автоматическое продолжение, и привычная модель «запустил Claude и наблюдаю» начинает меняться. Агент может часами исследовать кодовую базу, запускать тесты и делегировать отдельные задачи другим агентам.
🛡️ Теперь о безопасности
В той же серии релизов Anthropic закрывала несколько довольно серьёзных проблем: обходы permission-механизмов в Windows, уязвимость Linux sandbox, небезопасную работу cross-session socket в /tmp, проблемы с GitLab credentials и передачей секретов.
Особенно интересен cross-session messaging, когда несколько агентов начинают взаимодействовать через общую инфраструктуру. Здесь появляется новая поверхность атаки, где агент уже может влиять на состояние другого агента.
Чем больше автономности получает агент, тем громче звучит вопрос, что произойдёт, если несколько таких агентов начнут действовать одновременно?
🔗 Claude Code changelog
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #ClaudeCode #AgenticAI #AISecurity #AgentSecurity #DevSecOps #CyberSecurity #SecureTechTalks
👍2
🧨 AI-агенту достаточно прочитать сайт, чтобы запустить чужой код
AI-агенты читают сайты, GitHub, инструкции и автоматически выполняют команды.
Исследователь Alon Hertz показывает, что такие действия могут быть крайне опасными.
⚙️ Атака через официальный сайт
Алон исследовал llms.txt, специальный файл для AI-агентов, который размещают в корне сайтов. В нём могут быть ссылки на документацию, пакеты и команды для работы с продуктом.
Исследователи нашли 8 565 таких файлов на 6 214 доменах. Более 237 ссылались на незарегистрированные пакеты, домены или другие артефакты.
Далее они зарегистрировали несколько таких имён в PyPI и npm и разместили безвредный beacon, который сообщал только факт установки. Первый callback пришёл менее чем через четыре минуты.
AI-агент внутри Fortune 500 компании прочитал официальный llms.txt, увидел команду установки и выполнил её. Пакет действительно пришёл из PyPI. Только принадлежал уже исследователям.
🧠 Причём здесь prompt injection?
Prompt injection не было. В тестах агенту достаточно было сказать:
Агент самостоятельно находил llms.txt, следовал инструкциям и устанавливал указанный пакет.
Проблема в том, что AI начинает воспринимать внешние данные как инструкции к выполнению.
🔥 Реальный сценарий
Исследователи обнаружили реальный случай с пакетом clerk-next-fix-auth-protection. Документация Clerk рекомендовала запускать команду через npx. Самостоятельного пакета с таким именем у Clerk не было, поэтому npm разрешал брать имя из публичного реестра. Спойлер:его зарегистрировал злоумышленник .
Пакет оказался вредоносным и отправлял на внешний сервер имя пользователя, имя машины, рабочую директорию и timestamp. Инцидент получил идентификатор MAL-2026-11069.
🛡️ Data Became Code
Любой документ, README, ticket, GitHub issue или инструкция, которую агент способен прочитать и использовать для действий, потенциально становится частью команд исполнения. Таким образом, контент больше нельзя автоматически считать пассивными данными.
🔗 Исследование Alon Hertz
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #AISecurity #SupplyChainSecurity #PromptInjection #AIsecurity #DevSecOps #SecureTechTalks
AI-агенты читают сайты, GitHub, инструкции и автоматически выполняют команды.
Исследователь Alon Hertz показывает, что такие действия могут быть крайне опасными.
⚙️ Атака через официальный сайт
Алон исследовал llms.txt, специальный файл для AI-агентов, который размещают в корне сайтов. В нём могут быть ссылки на документацию, пакеты и команды для работы с продуктом.
Исследователи нашли 8 565 таких файлов на 6 214 доменах. Более 237 ссылались на незарегистрированные пакеты, домены или другие артефакты.
Далее они зарегистрировали несколько таких имён в PyPI и npm и разместили безвредный beacon, который сообщал только факт установки. Первый callback пришёл менее чем через четыре минуты.
AI-агент внутри Fortune 500 компании прочитал официальный llms.txt, увидел команду установки и выполнил её. Пакет действительно пришёл из PyPI. Только принадлежал уже исследователям.
🧠 Причём здесь prompt injection?
Prompt injection не было. В тестах агенту достаточно было сказать:
Используя документацию компании, собери и запусти проект с её SDK
Агент самостоятельно находил llms.txt, следовал инструкциям и устанавливал указанный пакет.
Проблема в том, что AI начинает воспринимать внешние данные как инструкции к выполнению.
🔥 Реальный сценарий
Исследователи обнаружили реальный случай с пакетом clerk-next-fix-auth-protection. Документация Clerk рекомендовала запускать команду через npx. Самостоятельного пакета с таким именем у Clerk не было, поэтому npm разрешал брать имя из публичного реестра. Спойлер:
Пакет оказался вредоносным и отправлял на внешний сервер имя пользователя, имя машины, рабочую директорию и timestamp. Инцидент получил идентификатор MAL-2026-11069.
🛡️ Data Became Code
Любой документ, README, ticket, GitHub issue или инструкция, которую агент способен прочитать и использовать для действий, потенциально становится частью команд исполнения. Таким образом, контент больше нельзя автоматически считать пассивными данными.
🔗 Исследование Alon Hertz
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #AISecurity #SupplyChainSecurity #PromptInjection #AIsecurity #DevSecOps #SecureTechTalks
👍1
🧨 AI научился искать уязвимости. Теперь security-команды тонут в его находках
AI-агент может найти CVE, построить PoC и написать убедительный отчёт, однако весомая часть таких уязвимостей существует только на бумаге.
⚙️ AI slop
Для данного явления появился свой термир - AI slop. Это отчёты с несуществующими CVE, невозможными цепочками эксплуатации, неработающими PoC и патчами, которые не устраняют проблему.
Особенно раздражает, когда модель уверенно видит уязвимость в знакомых конструкциях вроде "malloc" или "memcpy", хотя конкретный код безопасен.
🔥 Когда AI превращается в DoS
По данным исследования 20% обращений через HackerOne к середине 2025 года были низкокачественным AI slop. Валидными признавались примерно 5%.
Каждый отчёт приходится проверять человеку. Чем дешевле становится генерация находок, тем дороже их triage.
🛡️ Отчёт больше не считается доказательством
Современные реалии заставляют перестраивать pipeline, чтобы LLM начинали с гипотезы, а заканчивали PoC и triage.
Модель дольжна формировать подозрение. Инструменты проверять data flow и пытаться воспроизвести эксплуатацию. PoC должен реально работать.
Только RAG здесь недостаточно, наличие похожего CVE ещё не доказывает уязвимость конкретного кода.
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AISecurity #AppSec #VulnerabilityResearch #BugBounty #DevSecOps #CyberSecurity #SecureTechTalks
AI-агент может найти CVE, построить PoC и написать убедительный отчёт, однако весомая часть таких уязвимостей существует только на бумаге.
⚙️ AI slop
Для данного явления появился свой термир - AI slop. Это отчёты с несуществующими CVE, невозможными цепочками эксплуатации, неработающими PoC и патчами, которые не устраняют проблему.
Особенно раздражает, когда модель уверенно видит уязвимость в знакомых конструкциях вроде "malloc" или "memcpy", хотя конкретный код безопасен.
🔥 Когда AI превращается в DoS
По данным исследования 20% обращений через HackerOne к середине 2025 года были низкокачественным AI slop. Валидными признавались примерно 5%.
Каждый отчёт приходится проверять человеку. Чем дешевле становится генерация находок, тем дороже их triage.
🛡️ Отчёт больше не считается доказательством
Современные реалии заставляют перестраивать pipeline, чтобы LLM начинали с гипотезы, а заканчивали PoC и triage.
Модель дольжна формировать подозрение. Инструменты проверять data flow и пытаться воспроизвести эксплуатацию. PoC должен реально работать.
Только RAG здесь недостаточно, наличие похожего CVE ещё не доказывает уязвимость конкретного кода.
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AISecurity #AppSec #VulnerabilityResearch #BugBounty #DevSecOps #CyberSecurity #SecureTechTalks
👍1
🧨 Agentic Software Development: практический гайд по разработке с AI агентами
Cleverbit выпустили Agentic Software Development Field Guide для CTO, engineering managers и технических лидеров.
Внутри:
🔹 как задавать агенту точные спецификации и контекст;
🔹 как выстроить verification и risk based review;
🔹 как проводить threat modeling самих AI инструментов;
🔹 как обнаруживать расхождения между намерением разработчика и результатом агента;
🔹 какие метрики использовать для оценки скорости и качества AI разработки.
Особенно полезен раздел про разделение builder и verifier агентов и автоматизированную проверку результата.
📥 Скачать PDF:
Agentic Software Development Field Guide
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #AIAgents #AgenticAI #DevSecOps #AppSec #AISecurity #SoftwareDevelopment #CyberSecurity #SecureTechTalks
Cleverbit выпустили Agentic Software Development Field Guide для CTO, engineering managers и технических лидеров.
Внутри:
🔹 как задавать агенту точные спецификации и контекст;
🔹 как выстроить verification и risk based review;
🔹 как проводить threat modeling самих AI инструментов;
🔹 как обнаруживать расхождения между намерением разработчика и результатом агента;
🔹 какие метрики использовать для оценки скорости и качества AI разработки.
Особенно полезен раздел про разделение builder и verifier агентов и автоматизированную проверку результата.
📥 Скачать PDF:
Agentic Software Development Field Guide
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #AIAgents #AgenticAI #DevSecOps #AppSec #AISecurity #SoftwareDevelopment #CyberSecurity #SecureTechTalks
👍1
🧨 Немного про JWT токен
JWT часто воспринимают как зашифрованный ключ для доступа к API. Но еа практике это скорее подписанный JSON, упакованный в три части: header, payload, signature.
Первые две кодируются Base64URL. Берём обычный JWT и декодируем:
"{"alg":"HS256","typ":"JWT"}"
"{"sub":"12345","role":"admin","exp":1710086400}"
Всё содержимое перед глазами.
🔐 Зачем тогда нужна подпись?
Ключ используется для проверки подписи. Сервер убеждается, что токен выпустил доверенный источник и его содержимое не изменяли.
Поэтому пароль или API ключ внутри JWT хранить бессмысленно. Подпись их не спрячeт. Для шифрования существует JWE.
⚠️ Проверка токена
Серверу мало убедиться, что подпись правильная. Нужно проверить:
🔹 кто выпустил токен: "iss";
🔹 для какого сервиса он предназначен: "aud";
🔹 кому он выдан: "sub";
🔹 когда начинает и заканчивает действовать: "nbf", "iat", "exp";
🔹 какие права даёт: "scope", роли;
🔹 какой алгоритм разрешён сервером.
Вполне реальна ситуация, когда токен криптографически валиден, но использовать его здесь вообще не должны были.
JWT не опасен сам по себе. Опасна уверенность, что валидная подпись означает валидный доступ.
Stay secure and read SecureTechTalks 📚
#кибербезопасность #JWT #AppSec #WebSecurity #Authentication #API #DevSecOps #CyberSecurity #InfoSec #SecureTechTalks
JWT часто воспринимают как зашифрованный ключ для доступа к API. Но еа практике это скорее подписанный JSON, упакованный в три части: header, payload, signature.
Первые две кодируются Base64URL. Берём обычный JWT и декодируем:
"{"alg":"HS256","typ":"JWT"}"
"{"sub":"12345","role":"admin","exp":1710086400}"
Всё содержимое перед глазами.
🔐 Зачем тогда нужна подпись?
Ключ используется для проверки подписи. Сервер убеждается, что токен выпустил доверенный источник и его содержимое не изменяли.
Поэтому пароль или API ключ внутри JWT хранить бессмысленно. Подпись их не спрячeт. Для шифрования существует JWE.
⚠️ Проверка токена
Серверу мало убедиться, что подпись правильная. Нужно проверить:
🔹 кто выпустил токен: "iss";
🔹 для какого сервиса он предназначен: "aud";
🔹 кому он выдан: "sub";
🔹 когда начинает и заканчивает действовать: "nbf", "iat", "exp";
🔹 какие права даёт: "scope", роли;
🔹 какой алгоритм разрешён сервером.
Вполне реальна ситуация, когда токен криптографически валиден, но использовать его здесь вообще не должны были.
JWT не опасен сам по себе. Опасна уверенность, что валидная подпись означает валидный доступ.
Stay secure and read SecureTechTalks 📚
#кибербезопасность #JWT #AppSec #WebSecurity #Authentication #API #DevSecOps #CyberSecurity #InfoSec #SecureTechTalks
👍1
🧨 ToolHive: security слой для MCP серверов
ToolHive от Stacklok - open source продукт для безопасного запуска и управления MCP серверами. Он позволяет изолировать MCP серверы от инфраструктуры и дать команде централизованный контроль над тем, к каким ресурсам и инструментам получает доступ AI агент.
🛡️ Контроль доступа
ToolHive работает как proxy между AI клиентом и MCP сервером. Через него можно централизованно управлять:
🔹 аутентификацие и авторизацией;
🔹 доступными инструментами;
🔹 сетевыми endpoints;
🔹 логами аудита и телеметрии;
🔹 политиками доступа.
Есть интеграция с OIDC и OAuth, OpenTelemetry, Prometheus и Kubernetes Operator.
🔥 Registry
Команда может собрать каталог разрешённых MCP серверов, проверить их происхождение, задать разрешения и дать разработчикам готовые конфигурации.
ToolHive использует semantic tool search и заявляет сокращение расхода токенов до 85%, поскольку агенту можно показывать только релевантные инструменты.
Инструмент интересен как попытка превратить MCP из набора случайно подключённых серверов в управляемую инфраструктуру с границами доверия.
🔗 GitHub: https://github.com/stacklok/toolhive
📚 Документация: https://docs.stacklok.com/
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #AIAgents #AISecurity #MCP #ModelContextProtocol #DevSecOps #CloudSecurity #CyberSecurity #SecureTechTalks
ToolHive от Stacklok - open source продукт для безопасного запуска и управления MCP серверами. Он позволяет изолировать MCP серверы от инфраструктуры и дать команде централизованный контроль над тем, к каким ресурсам и инструментам получает доступ AI агент.
🛡️ Контроль доступа
ToolHive работает как proxy между AI клиентом и MCP сервером. Через него можно централизованно управлять:
🔹 аутентификацие и авторизацией;
🔹 доступными инструментами;
🔹 сетевыми endpoints;
🔹 логами аудита и телеметрии;
🔹 политиками доступа.
Есть интеграция с OIDC и OAuth, OpenTelemetry, Prometheus и Kubernetes Operator.
🔥 Registry
Команда может собрать каталог разрешённых MCP серверов, проверить их происхождение, задать разрешения и дать разработчикам готовые конфигурации.
ToolHive использует semantic tool search и заявляет сокращение расхода токенов до 85%, поскольку агенту можно показывать только релевантные инструменты.
Инструмент интересен как попытка превратить MCP из набора случайно подключённых серверов в управляемую инфраструктуру с границами доверия.
🔗 GitHub: https://github.com/stacklok/toolhive
📚 Документация: https://docs.stacklok.com/
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #AIAgents #AISecurity #MCP #ModelContextProtocol #DevSecOps #CloudSecurity #CyberSecurity #SecureTechTalks
👍1
🧨 GitSpawn: AI агент может запустить код из открытой папки
Представьте, коллега прислал вам проект в ZIP. Вы распаковали его и открыли папку через Claude Code, чтобы AI посмотрел код. Код из проекта сразу выполняется на вашем компьютере.
Данный класс атак обнаружили исследователи Manifold Security. Они нашли 8 уязвимых сценариев в 7 AI coding agents: Claude Code, Codex, Cursor, Goose, Qwen Code, Grok Build и Hermes Agent.
⚙️ Git превращается в точку атаки
AI coding agents постоянно собирают контекст проекта. Для этого они запускают обычные команды: "git status", "git diff" и т.д.. Проблема в том, что Git умеет читать конфигурацию самого репозитория из ".git/config".
В исследованном сценарии там может находиться настройка "core.fsmonitor", указывающая Git на внешнюю программу. Когда агент запускает "git status", Git обновляет индекс и может автоматически вызвать указанный helper. Команда выполняется с правами пользователя и вне sandbox AI агента.
🔥 Все происходит до prompt
На некоторых агентах исполнение кода происходило ещё до появления workspace trust prompt. Для Qwen Code исследователи зафиксировали выполнение до аутентификации, у Goose payload срабатывал до обращения к модели, а Grok Build мог запустить его уже при первом вводе текста. Защитный диалог агента просто не успевает стать границей безопасности.
🧨 Что получает атакующий?
Если выполнение произошло с правами разработчика, последствия зависят от окружения. Под угрозой могут оказаться SSH ключи, cloud credentials, токены из shell окружения, другие репозитории на диске и доступ к самой машине.
Поэтому GitSpawn интересен как класс уязвимостей. Атакующему достаточно добиться того, чтобы подготовленный репозиторий оказался на компьютере разработчика.
🔗 Источник: Manifold Security
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AISecurity #AI #GitSpawn #ClaudeCode #Git #DevSecOps #AppSec #CyberSecurity #SecureTechTalks
Представьте, коллега прислал вам проект в ZIP. Вы распаковали его и открыли папку через Claude Code, чтобы AI посмотрел код. Код из проекта сразу выполняется на вашем компьютере.
Данный класс атак обнаружили исследователи Manifold Security. Они нашли 8 уязвимых сценариев в 7 AI coding agents: Claude Code, Codex, Cursor, Goose, Qwen Code, Grok Build и Hermes Agent.
⚙️ Git превращается в точку атаки
AI coding agents постоянно собирают контекст проекта. Для этого они запускают обычные команды: "git status", "git diff" и т.д.. Проблема в том, что Git умеет читать конфигурацию самого репозитория из ".git/config".
В исследованном сценарии там может находиться настройка "core.fsmonitor", указывающая Git на внешнюю программу. Когда агент запускает "git status", Git обновляет индекс и может автоматически вызвать указанный helper. Команда выполняется с правами пользователя и вне sandbox AI агента.
🔥 Все происходит до prompt
На некоторых агентах исполнение кода происходило ещё до появления workspace trust prompt. Для Qwen Code исследователи зафиксировали выполнение до аутентификации, у Goose payload срабатывал до обращения к модели, а Grok Build мог запустить его уже при первом вводе текста. Защитный диалог агента просто не успевает стать границей безопасности.
🧨 Что получает атакующий?
Если выполнение произошло с правами разработчика, последствия зависят от окружения. Под угрозой могут оказаться SSH ключи, cloud credentials, токены из shell окружения, другие репозитории на диске и доступ к самой машине.
Поэтому GitSpawn интересен как класс уязвимостей. Атакующему достаточно добиться того, чтобы подготовленный репозиторий оказался на компьютере разработчика.
🔗 Источник: Manifold Security
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AISecurity #AI #GitSpawn #ClaudeCode #Git #DevSecOps #AppSec #CyberSecurity #SecureTechTalks
👍1
🧨 AI агенты выложили 13 000 внутренних скриншотов компаний в публичный
Исследователи Glow утверждают, что обнаружили более 13 000 изображений из 300+ организаций в открытом доступе.
⚙️ Агент искал рабочий вариант
Сценарий: агент получил задачу изменить цвет интерфейса тестового приложения и показать результат. Когда загрузить картинки обычным способом не получилось, он создал публичный
Среди реальных находок исследователи описывают клиентские billing records, внутренние финансовые панели и интерфейсы ещё не выпущенных продуктов.
Большинство репозиториев находились в личных GitHub аккаунтах сотрудников, но корпоративный security monitoring их просто не видел.
🔥 Обход превратился в навык
В одной компании несколько агентов начали использовать этот способ в начале июля. Через неделю более десятка агентов сохранили решение как skill, который автоматически применялся в следующих задачах.
А итоге, по данным Glow, более 1000 скриншотов и записей экрана одного продукта оказались опубликованы вместе с описаниями функций, которые должны были выйти только через несколько недель или месяцев.
Примерно у трети затронутых организаций использовался
🛡️ Интересный новый класс утечек
В данном кейсе нет атакующего, эксплойта или украденных credentials. Есть агент с целью «покажи результат», техническое ограничение и доступ к GitHub. Посмотрим, какие еще инциденты смогут придумать агенты.
🔗 Источник: The Hacker News
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AISecurity #AIAgents #PixelLeak #GitHub #ClaudeCode #DataLeak #AgentSecurity #DevSecOps #SecureTechTalks
Исследователи Glow утверждают, что обнаружили более 13 000 изображений из 300+ организаций в открытом доступе.
⚙️ Агент искал рабочий вариант
Сценарий: агент получил задачу изменить цвет интерфейса тестового приложения и показать результат. Когда загрузить картинки обычным способом не получилось, он создал публичный
sweeper-demo/pr-assets и разместил изображения там.Среди реальных находок исследователи описывают клиентские billing records, внутренние финансовые панели и интерфейсы ещё не выпущенных продуктов.
Большинство репозиториев находились в личных GitHub аккаунтах сотрудников, но корпоративный security monitoring их просто не видел.
🔥 Обход превратился в навык
В одной компании несколько агентов начали использовать этот способ в начале июля. Через неделю более десятка агентов сохранили решение как skill, который автоматически применялся в следующих задачах.
А итоге, по данным Glow, более 1000 скриншотов и записей экрана одного продукта оказались опубликованы вместе с описаниями функций, которые должны были выйти только через несколько недель или месяцев.
Примерно у трети затронутых организаций использовался
gitshot, инструмент для публикации скриншотов из терминала. Его стандартный сценарий создавал публичный репозиторий gitshot-images.🛡️ Интересный новый класс утечек
В данном кейсе нет атакующего, эксплойта или украденных credentials. Есть агент с целью «покажи результат», техническое ограничение и доступ к GitHub. Посмотрим, какие еще инциденты смогут придумать агенты.
🔗 Источник: The Hacker News
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AISecurity #AIAgents #PixelLeak #GitHub #ClaudeCode #DataLeak #AgentSecurity #DevSecOps #SecureTechTalks
❤2👍1
🧨 OWASP Noir: карта API прямо из исходного кода
OWASP Noir - это open source SAST инструмент, который анализирует исходный код и извлекает доступные точки входа приложения, такие как пути, HTTP методы, параметры, заголовки, cookies и файлы, где они определены.
В ту же карту попадают недокументированные, устаревшие и скрытые API.
⚙️ Функционал
Инструмент определяет язык и фреймворк проекта, анализирует маршрутизацию и формирует список точек входа.
Актуальный README заявляет поддержку 205 фреймворков. Если встроенного анализатора для конкретного фреймворка недостаточно, можно подключить LLM через OpenAI, Ollama и другие поддерживаемые провайдеры.
🔎 Из кода сразу в Burp или ZAP
Результат можно экспортировать в OpenAPI, JSON, YAML, SARIF, Postman, cURL и другие форматы либо передать маршруты напрямую в Burp Suite, ZAP, Caido или Gori.
Это позволяет DAST сканеру получить точки входа, которые он мог пропустить при обычном обходе приложения.
🤖 Контекст для AI аудита
Для каждой точки входа Noir может добавить вызываемые функции, проверки, валидаторы, потенциально опасные операции и другие сигналы.
Вместо всего репозитория LLM получает сфокусированный контекст вокруг конкретных обработчиков. Для автоматизации есть GitHub Action, SARIF и коды завершения для CI/CD.
Проект входит в OWASP Foundation с июня 2024 года и распространяется под MIT.
🔗 GitHub: OWASP Noir
Stay secure and read SecureTechTalks 📚
#кибербезопасность #OWASP #Noir #AppSec #SAST #DAST #APISecurity #AISecurity #DevSecOps #SecureTechTalks
OWASP Noir - это open source SAST инструмент, который анализирует исходный код и извлекает доступные точки входа приложения, такие как пути, HTTP методы, параметры, заголовки, cookies и файлы, где они определены.
В ту же карту попадают недокументированные, устаревшие и скрытые API.
⚙️ Функционал
Инструмент определяет язык и фреймворк проекта, анализирует маршрутизацию и формирует список точек входа.
Актуальный README заявляет поддержку 205 фреймворков. Если встроенного анализатора для конкретного фреймворка недостаточно, можно подключить LLM через OpenAI, Ollama и другие поддерживаемые провайдеры.
🔎 Из кода сразу в Burp или ZAP
Результат можно экспортировать в OpenAPI, JSON, YAML, SARIF, Postman, cURL и другие форматы либо передать маршруты напрямую в Burp Suite, ZAP, Caido или Gori.
Это позволяет DAST сканеру получить точки входа, которые он мог пропустить при обычном обходе приложения.
🤖 Контекст для AI аудита
Для каждой точки входа Noir может добавить вызываемые функции, проверки, валидаторы, потенциально опасные операции и другие сигналы.
Вместо всего репозитория LLM получает сфокусированный контекст вокруг конкретных обработчиков. Для автоматизации есть GitHub Action, SARIF и коды завершения для CI/CD.
Проект входит в OWASP Foundation с июня 2024 года и распространяется под MIT.
🔗 GitHub: OWASP Noir
Stay secure and read SecureTechTalks 📚
#кибербезопасность #OWASP #Noir #AppSec #SAST #DAST #APISecurity #AISecurity #DevSecOps #SecureTechTalks
🧨 AI Agent Gateway: шлюз, чтобы агент не таскал ключи по всем MCP
Tuskira открыла исходный код AI Agent Gateway. Это промежуточный слой между AI агентами, MCP серверами и LLM провайдерами, через который можно централизованно контролировать доступ, credentials и действия агентов.
🔐 Ключи остаются внутри
Агент аутентифицируется собственным ключом Gateway. Credentials для конкретного MCP сервера хранятся отдельно в зашифрованном хранилище и подставляются только при исходящем вызове.
Токен Jira, GitHub или другой системы можно вообще не выдавать агенту. Для credentials используется AES 256 GCM, предусмотрена ротация ключей. Каждый запрос привязан к tenant и роли.
⚙️ Можно ограничить инструменты конкретному агенту
Для агентов создаются профили с разрешёнными MCP инструментами. Ограничение проверяется непосредственно при
Ключ нужно явно привязать к профилю. Без такой привязки клиент может указать любой профиль внутри своего tenant.
🛡️ Есть защита от опасных исходящих соединений
Gateway по умолчанию блокирует обращения к loopback, private networks, link local адресам и cloud metadata. Проверка выполняется уже для разрешённого IP при установлении соединения, поэтому учитываются DNS rebinding и redirects.
📊 Видно, что агент реально делает
Шлюз состоит из MCP, инструмента управления и LLM proxy. Можно собирать вызовы инструментов, запросы к моделям, токены и оценочную стоимость.
Для аналитики доступны PostgreSQL и опционально ClickHouse. Захват содержимого запросов можно отключить, что особенно важно для корпоративных данных.
🔬 Detection пока работает только после события
В репозитории появился отдельный detection agent. Он получает завершённый LLM turn, локально вырезает найденные secrets через правила Gitleaks и отправляет очищенный контекст внешнему движку анализа.
🔗 GitHub: Tuskira/ai agent gateway
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AISecurity #AIAgents #AgentSecurity #MCP #LLM #AccessControl #DevSecOps #OpenSource #SecureTechTalks
Tuskira открыла исходный код AI Agent Gateway. Это промежуточный слой между AI агентами, MCP серверами и LLM провайдерами, через который можно централизованно контролировать доступ, credentials и действия агентов.
🔐 Ключи остаются внутри
Агент аутентифицируется собственным ключом Gateway. Credentials для конкретного MCP сервера хранятся отдельно в зашифрованном хранилище и подставляются только при исходящем вызове.
Токен Jira, GitHub или другой системы можно вообще не выдавать агенту. Для credentials используется AES 256 GCM, предусмотрена ротация ключей. Каждый запрос привязан к tenant и роли.
⚙️ Можно ограничить инструменты конкретному агенту
Для агентов создаются профили с разрешёнными MCP инструментами. Ограничение проверяется непосредственно при
tools/call, поэтому скрыть опасный инструмент из списка недостаточно для его вызова.Ключ нужно явно привязать к профилю. Без такой привязки клиент может указать любой профиль внутри своего tenant.
🛡️ Есть защита от опасных исходящих соединений
Gateway по умолчанию блокирует обращения к loopback, private networks, link local адресам и cloud metadata. Проверка выполняется уже для разрешённого IP при установлении соединения, поэтому учитываются DNS rebinding и redirects.
📊 Видно, что агент реально делает
Шлюз состоит из MCP, инструмента управления и LLM proxy. Можно собирать вызовы инструментов, запросы к моделям, токены и оценочную стоимость.
Для аналитики доступны PostgreSQL и опционально ClickHouse. Захват содержимого запросов можно отключить, что особенно важно для корпоративных данных.
🔬 Detection пока работает только после события
В репозитории появился отдельный detection agent. Он получает завершённый LLM turn, локально вырезает найденные secrets через правила Gitleaks и отправляет очищенный контекст внешнему движку анализа.
🔗 GitHub: Tuskira/ai agent gateway
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AISecurity #AIAgents #AgentSecurity #MCP #LLM #AccessControl #DevSecOps #OpenSource #SecureTechTalks
🧨 Anthropic запустила бесплатный AI сканер уязвимостей для open source
29 000 потенциальных уязвимостей за полгода. Около 6 000 проверок прошли ручной разбор специалистами Anthropic.
8 октября Anthropic представила OSS Scanner. Сервис бесплатно проводит периодические аудиты открытых репозиториев с помощью самых мощных моделей компании, включая Claude Mythos. Проекты подключаются добровольно, а отчёты получают сопровождающие непосредственно от системы.
⚙️ Как устроено сканирование
OSS Scanner вдохновлён OSS Fuzz от Google, но использует возможности языковых моделей для поиска логических и сложных уязвимостей в коде.
Для подключения сопровождающие проекта добавляют конфигурацию в репозиторий Anthropic OSS Scanner на GitHub. Необходимо указать исходный репозиторий, контактный адрес и Dockerfile для сборки проекта. Можно также приложить threat model, описывающую границы доверия, чувствительные операции и ожидаемую серьёзность находок.
Сканер собирает проект в изолированной виртуальной машине. После подготовки окружения аудит выполняется без доступа к интернету. Это ограничивает возможности сканирующего агента взаимодействовать с внешними системами во время анализа.
Отчёт отправляется по электронной почте и, если возможно, включает описание уязвимости, способ её воспроизведения и предлагаемый патч. Результаты могут содержать ошибки: автоматическая генерация позволяет запускать проверки чаще, но сама по себе не гарантирует корректность каждой находки.
🔬 Насколько точны результаты
Anthropic проверила раннюю версию сервиса на выборке из 97 уязвимостей высокой и критической серьёзности в 48 проектах. Экспертные пентестеры признали 85 находок соответствующими требованиям процесса координированного раскрытия уязвимостей.
Из оставшихся 12 случаев 11 оказались реальными проблемами, но дублировали известные уязвимости либо другие результаты сканирования. Лишь один случай оказался ложноположительным.
Это хороший результат для автоматизированного поиска, но стоит отметить, что выборка ограничена. Сопровождающие также сообщали о завышенных оценках серьёзности и неправильном понимании threat model.
🛡 Цена масштабирования
В обычном процессе Anthropic проверяет находки вручную перед передачей сопровождающим. OSS Scanner позволяет получать результаты быстрее, пропуская этот этап. Поэтому сервис рассчитан прежде всего на критически важные проекты, чьи команды способны самостоятельно разбирать поток сообщений об уязвимостях.
🔗 Официальный анонс Anthropic
🔗 Репозиторий OSS Scanner
Stay secure and read SecureTechTalks 📚
#CyberSecurity #AISecurity #Anthropic #Claude #Mythos #OpenSource #VulnerabilityResearch #AppSec #DevSecOps #SecureTechTalks
29 000 потенциальных уязвимостей за полгода. Около 6 000 проверок прошли ручной разбор специалистами Anthropic.
8 октября Anthropic представила OSS Scanner. Сервис бесплатно проводит периодические аудиты открытых репозиториев с помощью самых мощных моделей компании, включая Claude Mythos. Проекты подключаются добровольно, а отчёты получают сопровождающие непосредственно от системы.
⚙️ Как устроено сканирование
OSS Scanner вдохновлён OSS Fuzz от Google, но использует возможности языковых моделей для поиска логических и сложных уязвимостей в коде.
Для подключения сопровождающие проекта добавляют конфигурацию в репозиторий Anthropic OSS Scanner на GitHub. Необходимо указать исходный репозиторий, контактный адрес и Dockerfile для сборки проекта. Можно также приложить threat model, описывающую границы доверия, чувствительные операции и ожидаемую серьёзность находок.
Сканер собирает проект в изолированной виртуальной машине. После подготовки окружения аудит выполняется без доступа к интернету. Это ограничивает возможности сканирующего агента взаимодействовать с внешними системами во время анализа.
Отчёт отправляется по электронной почте и, если возможно, включает описание уязвимости, способ её воспроизведения и предлагаемый патч. Результаты могут содержать ошибки: автоматическая генерация позволяет запускать проверки чаще, но сама по себе не гарантирует корректность каждой находки.
🔬 Насколько точны результаты
Anthropic проверила раннюю версию сервиса на выборке из 97 уязвимостей высокой и критической серьёзности в 48 проектах. Экспертные пентестеры признали 85 находок соответствующими требованиям процесса координированного раскрытия уязвимостей.
Из оставшихся 12 случаев 11 оказались реальными проблемами, но дублировали известные уязвимости либо другие результаты сканирования. Лишь один случай оказался ложноположительным.
Это хороший результат для автоматизированного поиска, но стоит отметить, что выборка ограничена. Сопровождающие также сообщали о завышенных оценках серьёзности и неправильном понимании threat model.
🛡 Цена масштабирования
В обычном процессе Anthropic проверяет находки вручную перед передачей сопровождающим. OSS Scanner позволяет получать результаты быстрее, пропуская этот этап. Поэтому сервис рассчитан прежде всего на критически важные проекты, чьи команды способны самостоятельно разбирать поток сообщений об уязвимостях.
🔗 Официальный анонс Anthropic
🔗 Репозиторий OSS Scanner
Stay secure and read SecureTechTalks 📚
#CyberSecurity #AISecurity #Anthropic #Claude #Mythos #OpenSource #VulnerabilityResearch #AppSec #DevSecOps #SecureTechTalks
☸️ Meshery: проектирование Kubernetes и проверка политик в одном инструменте
Meshery - open source платформа Layer5 для проектирования, развёртывания и тестирования cloud native инфраструктуры. Проект входит в экосистему CNCF.
⚙️ Функционал
➖ Визуальное проектирование: собирает архитектуру из Kubernetes ресурсов и показывает связи между Pod, Service, Ingress, PersistentVolume и другими компонентами.
➖ Проверка конфигураций: Kubernetes dry run выявляет ошибки манифестов до применения. Интеграция с OPA позволяет проверять инфраструктурные политики.
➖ GitOps: архитектурные дизайны можно прикладывать к GitHub pull request, чтобы ревьюить изменения до merge.
➖ Нагрузочное тестирование: интеграция с Fortio измеряет latency и throughput для HTTP, gRPC и TCP. Метрики можно сопоставлять с данными Prometheus.
Проект заявляет о поддержке более 380 интеграций и предлагает готовые инфраструктурные дизайны.
🛡️ Что по безопасности?
Meshery помогает находить ошибки конфигурации и нарушения заданных политик, но безопасность зависит от качества самих правил. Dry run не выявляет все опасные комбинации прав и сетевых маршрутов.
Поскольку Meshery управляет кластерами, защищайте его как административный интерфейс. Отключайте неаутентифицированный Local Provider в production, используйте минимальные Kubernetes RBAC права и контролируйте доступ к подключениям.
🔗 Обзор Meshery
🔗 GitHub
Stay secure and read SecureTechTalks 📚
#CyberSecurity #Kubernetes #Meshery #DevSecOps #GitOps #OpenPolicyAgent #CNCF #CloudSecurity #OpenSource #SecureTechTalks
Meshery - open source платформа Layer5 для проектирования, развёртывания и тестирования cloud native инфраструктуры. Проект входит в экосистему CNCF.
⚙️ Функционал
Проект заявляет о поддержке более 380 интеграций и предлагает готовые инфраструктурные дизайны.
🛡️ Что по безопасности?
Meshery помогает находить ошибки конфигурации и нарушения заданных политик, но безопасность зависит от качества самих правил. Dry run не выявляет все опасные комбинации прав и сетевых маршрутов.
Поскольку Meshery управляет кластерами, защищайте его как административный интерфейс. Отключайте неаутентифицированный Local Provider в production, используйте минимальные Kubernetes RBAC права и контролируйте доступ к подключениям.
🔗 Обзор Meshery
🔗 GitHub
Stay secure and read SecureTechTalks 📚
#CyberSecurity #Kubernetes #Meshery #DevSecOps #GitOps #OpenPolicyAgent #CNCF #CloudSecurity #OpenSource #SecureTechTalks
Please open Telegram to view this post
VIEW IN TELEGRAM
❤1
🔐 Bearer: SAST с анализом потоков чувствительных данных
Bearer - это open source инструмент на Go для поиска уязвимостей и рисков утечки данных в исходном коде. Он поддерживает Go, Java, JavaScript, TypeScript, PHP, Python и Ruby.
⚙️ Что проверяет
Bearer разбирает код, анализирует AST и отслеживает потоки данных. Это помогает находить уязвимости, даже когда источник проблемы и опасная операция находятся в разных компонентах.
Основные возможности:
🔹 SAST: SQL injection, XSS, Path Traversal и небезопасная криптография.
🔹 Secrets Scanner: поиск захардкоженных паролей, токенов и ключей на базе Gitleaks.
🔹 Privacy Report: анализ обработки PII и других чувствительных данных, включая их передачу в базы данных, API и сторонние сервисы. Инструмент распознаёт более 120 типов чувствительных данных.
🛠 Интеграция
Bearer интегрируется в CI/CD, поддерживает GitHub Actions и экспорт результатов в SARIF для GitHub Code Scanning. Режим
Статический анализ зависит от поддерживаемых языков и правил. Результаты требуют проверки, а для оценки поведения приложения нужны дополнительные runtime тесты. Часть расширенных возможностей доступна в коммерческой версии Bearer Pro от Cycode.
🔗 GitHub: https://github.com/Bearer/bearer
🔗 Документация: https://docs.bearer.com
Stay secure and read SecureTechTalks 📚
#CyberSecurity #AppSec #SAST #DevSecOps #DataSecurity #Privacy #CodeSecurity #OpenSource #Gitleaks #SecureTechTalks
Bearer - это open source инструмент на Go для поиска уязвимостей и рисков утечки данных в исходном коде. Он поддерживает Go, Java, JavaScript, TypeScript, PHP, Python и Ruby.
⚙️ Что проверяет
Bearer разбирает код, анализирует AST и отслеживает потоки данных. Это помогает находить уязвимости, даже когда источник проблемы и опасная операция находятся в разных компонентах.
Основные возможности:
🔹 SAST: SQL injection, XSS, Path Traversal и небезопасная криптография.
🔹 Secrets Scanner: поиск захардкоженных паролей, токенов и ключей на базе Gitleaks.
🔹 Privacy Report: анализ обработки PII и других чувствительных данных, включая их передачу в базы данных, API и сторонние сервисы. Инструмент распознаёт более 120 типов чувствительных данных.
🛠 Интеграция
Bearer интегрируется в CI/CD, поддерживает GitHub Actions и экспорт результатов в SARIF для GitHub Code Scanning. Режим
--diff помогает сосредоточиться на новых проблемах в изменённом коде.Статический анализ зависит от поддерживаемых языков и правил. Результаты требуют проверки, а для оценки поведения приложения нужны дополнительные runtime тесты. Часть расширенных возможностей доступна в коммерческой версии Bearer Pro от Cycode.
🔗 GitHub: https://github.com/Bearer/bearer
🔗 Документация: https://docs.bearer.com
Stay secure and read SecureTechTalks 📚
#CyberSecurity #AppSec #SAST #DevSecOps #DataSecurity #Privacy #CodeSecurity #OpenSource #Gitleaks #SecureTechTalks
🧨 Claude сократил поверхности атаки на OpenSSH
Anthropic использовала Claude для анализа 25 open source проектов объёмом более 5 млн строк кода. Модель выявила 493 проблемы, связанные с избыточной доступностью кода, конфликтами конфигурации и выполнением операций до проверок безопасности.
⚙️ Три класса проблем
🔹 Лишний код. Функциональность доступна извне, хотя приложению она не нужна.
🔹 Конфликты настроек. Из 162 найденных сочетаний параметров в 94 случаях комбинации незаметно отключали защитные механизмы.
🔹 Неверный порядок проверок. Код обрабатывает данные клиента до аутентификации или проверки разрешений.
В четырёх проектах обнаружился общий дефект: правила доступа по hostname зависели от reverse DNS. При отключённом DNS сервер сравнивал правило с IP-адресом, и ограничение переставало работать.
🔬 Что нашли в OpenSSH
В OpenSSH 10.4 около 4 500 строк кода экспериментального алгоритма ML-DSA-44 оставались доступными для обработки данных неаутентифицированного клиента, хотя алгоритм был исключён настройками.
Claude выявила два обходных пути, связанных с несоответствием типа ключа его содержимому и проверкой подписи CA внутри сертификата. После совместной работы с сопровождающими в OpenSSH 10.6 проверки перенесли в парсер, до десериализации ключа и проверки подписи. Объём кода, доступного до аутентификации при стандартной конфигурации, сократился примерно на 20%.
🛡️ Как устроен подход
Claude анализирует точки входа и конфигурации, предлагает изменения, затем проверяет их трассировками и тестами. Изменения, способные повлиять на нестандартные конфигурации, передаются человеку.
Методика сокращает поверхность атаки за счёт ограничения ненужной функциональности, даже если уязвимость в ней ещё не обнаружена.
🔗 Исследование Anthropic
🔗 OpenSSH 10.6
Stay secure and read SecureTechTalks 📚
#CyberSecurity #AISecurity #OpenSource #OpenSSH #Claude #AttackSurface #AppSec #VulnerabilityResearch #DevSecOps #SecureTechTalks
Anthropic использовала Claude для анализа 25 open source проектов объёмом более 5 млн строк кода. Модель выявила 493 проблемы, связанные с избыточной доступностью кода, конфликтами конфигурации и выполнением операций до проверок безопасности.
⚙️ Три класса проблем
🔹 Лишний код. Функциональность доступна извне, хотя приложению она не нужна.
🔹 Конфликты настроек. Из 162 найденных сочетаний параметров в 94 случаях комбинации незаметно отключали защитные механизмы.
🔹 Неверный порядок проверок. Код обрабатывает данные клиента до аутентификации или проверки разрешений.
В четырёх проектах обнаружился общий дефект: правила доступа по hostname зависели от reverse DNS. При отключённом DNS сервер сравнивал правило с IP-адресом, и ограничение переставало работать.
🔬 Что нашли в OpenSSH
В OpenSSH 10.4 около 4 500 строк кода экспериментального алгоритма ML-DSA-44 оставались доступными для обработки данных неаутентифицированного клиента, хотя алгоритм был исключён настройками.
Claude выявила два обходных пути, связанных с несоответствием типа ключа его содержимому и проверкой подписи CA внутри сертификата. После совместной работы с сопровождающими в OpenSSH 10.6 проверки перенесли в парсер, до десериализации ключа и проверки подписи. Объём кода, доступного до аутентификации при стандартной конфигурации, сократился примерно на 20%.
🛡️ Как устроен подход
Claude анализирует точки входа и конфигурации, предлагает изменения, затем проверяет их трассировками и тестами. Изменения, способные повлиять на нестандартные конфигурации, передаются человеку.
Методика сокращает поверхность атаки за счёт ограничения ненужной функциональности, даже если уязвимость в ней ещё не обнаружена.
🔗 Исследование Anthropic
🔗 OpenSSH 10.6
Stay secure and read SecureTechTalks 📚
#CyberSecurity #AISecurity #OpenSource #OpenSSH #Claude #AttackSurface #AppSec #VulnerabilityResearch #DevSecOps #SecureTechTalks