Кибербезопасность - теперь musthave

Channel name was changed to «КИБЕРТЕСТ пароли»

28 апреля прошел CISO-форум. Он собрал 1800 участников из 1000 компаний - топ-менеджеры банков, ритейл, промышленность, ИТ-корпорации, телеком. Форум - площадка для прямого диалога с CISO, CIO, архитекторами ИБ и бизнес-лидерами. Сбер, VK, Т-Банк, Wildberries, Мос. биржа, Ozon, Билайн, Яндекс и др.Особенно ценно живое профессиональное общение: участие КИБЕРТЕСТ в CISO FORUM 2026 стало временем диалога, обмена опытом и новых инсайтов о киберустойчивости, архитектуре безопасности с представителями крупнейших компаний РФ.Для КИБЕРТЕСТ это важно: мы смотрим в сторону Enterprise, а значит, нам необходимо развивать собственную технологию и продукт и глубже понимать ожидания рынка, язык крупных заказчиков, приоритеты бизнеса.Такие события дают возможность быть ближе к лидерам, слышать рынок и точнее формировать путь развития продукта и команды.Уверен, именно через такие встречи рождаются сильные партнерства, зрелые решения и будущее, в котором безопасность - не отдельная функция, а частью стратегии роста.

Vercel (очень популярная IT-инфраструктурная компания, оценка под 10 миллиардов долларов) подверглась кибер-атаке, вектор оказался неожиданным: AI-ассистент, которого сотрудник подключил через OAuth к своему рабочему Google Workspace. Ни хитрые уязвимости в ПО, ни вирусы, ни фишинг тут ни при чём. Хакеры на BreachForums уже выставили дамп исходников и переменных окружения на продажу за $2 миллиона.Механика такая: AI-агент попросил у сотрудника стандартный набор прав: чтение почты, доступ к Drive, календарь. Сотрудник выдал, как выдают обычно, нажал «Разрешить» и забыл. Через этот токен авторизации атакующие вытащили переписку с production-ключами, конфиги из Drive и куски исходников из прикреплённых файлов. Периметр кибербезопасности у Vercel строился вокруг людей, репозиториев и инфраструктуры. Интеграции AI-агентов в модели угроз не было.Кто досмотрел мое видео про OpenClaw до конца видели, что я настоятельно не рекоендую давать ему (и другим агентам) доступы к своей IT-инфраструктуре. Агенты пользователей ходят в их сервисы через OAuth. MCP-серверы держат живые токены к GitHub, Slack, Google Drive. Пускаешь к себе AI-продукт = создаёшь для своих же пользователей новый контур для supply chain атак. Это не упрёк Vercel, это честная констатация того, куда мы все идём.Средняя компания сейчас подключила десяток AI-тулов через OAuth к корпоративным сервисам. За каждым таким токеном полноценный доступ сотрудника, часто с правами чтения всей почты и общего диска. Один скомпрометированный вендор AI, и у атакующего Google Workspace условного Vercel. При этом аудит прав обычно ведётся только по людям: уволенные, подрядчики, гостевые аккаунты. Модель, которую сотрудник подключил на прошлой неделе, тихо читает корпоративную почту ровно с теми же правами, что и он сам, и не увольняется никогда.Это похлеще сохраненного на рабочем столе гендира Аэрофлота пароля. Аудит AI-интеграций пора вести как аудит доступа сотрудников. С инвентаризацией, с пересмотром раз в квартал, с отзыво

Эстония, как обычно, немного запаздывает ))))

Создали канал в МАКСе. Добро пожаловать!

Сегодня добрался до сравнения нашего продукта с известным SpecOps.Это решение для управления идентификацией и доступом в AD, фокус на расширенных парольных политиках, самообслуживании пользователей (сброс/MFA) и защите Service Desk от соц. инженерии.SpecOps развивается в сторону усиления парольной политики и самостоятельного управления учетками - например, предупреждение о скорой просрочке пароля. Это, своего рода, экосистема, где пользователь сам решает свои проблемы, что снижает нагрузку на техподдержку. Это актуально, когда сотрудников в компании много.Решение может генерить много разных отчётов по итогам аудита паролей, поддерживает возможность восстановления пароля после его компрометации (или если забыл) через многофакторное подтверждение личности. Может перехватить попытку назначения слабого пароля "налету" и многое другое.Если коротко - решение, безусловно, классное. Многие расширенные функции (например, подсказки пользователю при создании пароля) доступны благодаря агентной модели - нужно ставить их на конечные точки. Хорошо это или плохо, удобно или нет - каждая компания решает сама (в некоторых компаниях установка ПО на пользовательские АРМ - это потенциальная угроза безопасности). В т.ч. поэтому при разработке нашего сервиса мы изначально шли по безагентной модели, что позволяет драматически сократить время внедрения решения!Сравнивая решение от КИБЕРТЕСТ и SpecOps, отмечу следующее 1. SpecOps изначально заточен под AD. Да, его можно "натравить" на другие системы авторизации, но это будут костыли, которые замедляют работу системы. Для AD он, несомненно, хорош! Однако, будет ли вендор дорабатывать свой продукт под ТЗ конкретного заказчика - ответ очевиден. КИБЕРТЕСТ это делает. 2. Этот пункт вытекает из предыдущего. SpecOps НЕ поддерживает работу с GPU. Да, и зачем? Они нужны на тяжелых алгоритмах хэширования, а это не про AD. Наш продукт был протестирован и работает с CUDA-ядрами Nvidia для поддержки отечественных аналогов AD - AldPRO и RedADM. 3.

Channel name was changed to «КИБЕРТЕСТ инсайт - защити базовое»

Новости из мира ИИ за неделюКоротко по событиям, которые произошли за последнее время в мире искусственного интеллекта1. ByteDance прикрутил фильтры к Seedance 2.0. После того как нейросеть научилась генерировать видео в стиле известных франшиз слишком хорошо, разработчикам прилетели письма с требованиями прекратить. Теперь защита стала жетсче2. Meta запатентовала цифровое бессмертие. Технология позволяет ИИ общаться от имени умершего пользователя, обучаясь на его цифровом следе. Компания говорит, что внедрять пока не планирует, но сам факт патента — это заявка на будущее3. Claude Code научился тестировать и чинить код сам. Раньше ИИ писал код — и ладно. Теперь он запускает приложение, кликает по страницам, находит баги, исправляет и проверяет мобильную версию. Это уже не просто помощник, а младший разработчик, который работает 24/74. Китайские роботы станцевали кунг-фу на гала-концерте. Unitree выкатили гуманоидов, которые делают сальто и синхронные движения. По сравнению с прошлым годом — небо и земля5. Клонировать голос — теперь локально и бесплатно. Qwen выпустили открытую модель на Hugging Face. Короткое аудио — и вы можете генерировать речь любым голосом с нужной интонацией6. Google разорил тысячи стартапов одной функцией. Новый ИИ для фотосъемки: по одному снимку товара генерирует студийную рекламу с любым фоном, светом, ракурсо7. Anthropic обвалил рынок кибербезопасности на $15 млрд. Запустили Claude Code Security — он сканирует репозитории, находит уязвимости и сам предлагает патчи8. Figma стирает стену между дизайном и кодом. В партнерстве с Anthropic запустили Code to Canvas — инструмент, который превращает код Claude в редактируемый дизайн-файл. Теперь инженеры и дизайнеры могут говорить на одном языке без переводчиков9. Google запустил генератор песен Gemini Lyria 3. По описанию, фото или клипу делает полноценный трек с вокалом и текстом10. Replit научился делать анимацию по описанию. Replit Animation на базе Gemini 3.1 Pro позволяет генерировать анимир

А что бы вы сказали, если бы был TG-бот, который защищал бы ваш аккаунт он несанкционированного доступа, даже если у вас выманили 6-значный код Telegram? Насколько для вас это актуально? Обычно те, кого уже взламывали, понимают, насколько это неудобно. А ещё именно так часто угоняют популярные tg-каналы.

🤯 Еще одна причина не доверять слепо ИИ. Data Poisoning меняет правила игрыСтарая пропаганда работала топорно — парадами и лозунгами. Мы привыкли, что пропаганда современное работает через «затопление» шумом (flooding) — ботофермы создают тысячи комментариев, чтобы заглушить правду шумом. Но иэта эпоха уходит. На смену приходит Data Poisoning (отравление данных). Злоумышленникам больше не нужно перекрикивать оппонентов в соцсетях — им достаточно незаметно подмешать «ядовитую» информацию в те массивы данных, на которых учатся нейросети. Если раньше битва шла за охваты, то теперь — за саму архитектуру истины.Технически это пугающе просто. Исследования (например, от Anthropic) показывают: чтобы внедрить устойчивый нарратив даже в огромную языковую модель, не нужно контролировать половину интернета. Достаточно около 250 грамотно составленных документов, внедренных в обучающую выборку. Это работает как «эффект 25-го кадра» для ИИ: модель выучивает искаженный факт или нужную трактовку события и начинает выдавать их как единственно верные, при этом оставаясь адекватной в других вопросах.В политике это открывает дорогу для создания «спящих агентов» (Sleeper Agents). Представьте модель типа PoisonGPT (реальный эксперимент исследователей), которая работает идеально, пока вы спрашиваете рецепт пирога. Но стоит задать вопрос о конкретном политике, исторической дате или военной кампании, как срабатывает скрытый «триггер», и нейросеть выдает заранее заготовленный фейк. Это уже не просто дезинформация, а атака на цепочку поставок реальности: вы скачиваете «нейтрального» помощника, а получаете троянского коня.Бизнес тоже не отстает, превращая старое SEO в GEO (Generative Engine Optimization). Бренды и корпорации создают сетки фейковых «авторитетных» сайтов и научных статей, написанных специально для роботов. Цель — попасть в саммари ответа ChatGPT или Google Gemini. Если раньше боролись за первую строку в поиске, то теперь борются за то, чтобы стать частью «факта», который озвучит

Не забыли ⚡️Всех причастных - с профессиональным праздником! 💪