DevSecOps Talks
الذهاب إلى القناة على Telegram
Рассказываем об актуальном в мире DevSecOps. Канал DevSecOps-команды "Инфосистемы Джет"
إظهار المزيد8 070
المشتركون
-124 ساعات
+97 أيام
+2830 أيام
جارٍ تحميل البيانات
القنوات المماثلة
سحابة العلامات
الإشارات الواردة والصادرة
---
---
---
---
---
---
جذب المشتركين
أكتوبر '26أكتوبر '26
أكتوبر '26
+90
في 1 قنوات
سبتمبر '26
+107
في 2 قنوات
Get PRO
أغسطس '26
+116
في 5 قنوات
Get PRO
يوليو '26
+121
في 1 قنوات
Get PRO
يونيو '26
+203
في 2 قنوات
Get PRO
مايو '26
+118
في 1 قنوات
Get PRO
أبريل '26
+108
في 3 قنوات
Get PRO
مارس '26
+166
في 6 قنوات
Get PRO
فبراير '26
+142
في 3 قنوات
Get PRO
يناير '26
+109
في 3 قنوات
Get PRO
ديسمبر '25
+76
في 2 قنوات
Get PRO
نوفمبر '25
+118
في 1 قنوات
Get PRO
أكتوبر '25
+115
في 4 قنوات
Get PRO
سبتمبر '25
+80
في 2 قنوات
Get PRO
أغسطس '25
+131
في 2 قنوات
Get PRO
يوليو '25
+139
في 4 قنوات
Get PRO
يونيو '25
+108
في 1 قنوات
Get PRO
مايو '25
+106
في 1 قنوات
Get PRO
أبريل '25
+135
في 1 قنوات
Get PRO
مارس '25
+136
في 2 قنوات
Get PRO
فبراير '25
+197
في 4 قنوات
Get PRO
يناير '25
+156
في 3 قنوات
Get PRO
ديسمبر '24
+101
في 2 قنوات
Get PRO
نوفمبر '24
+134
في 1 قنوات
Get PRO
أكتوبر '24
+133
في 3 قنوات
Get PRO
سبتمبر '24
+150
في 1 قنوات
Get PRO
أغسطس '24
+157
في 1 قنوات
Get PRO
يوليو '24
+119
في 1 قنوات
Get PRO
يونيو '24
+84
في 1 قنوات
Get PRO
مايو '24
+209
في 2 قنوات
Get PRO
أبريل '24
+120
في 4 قنوات
Get PRO
مارس '24
+127
في 3 قنوات
Get PRO
فبراير '24
+693
في 10 قنوات
Get PRO
يناير '24
+1 087
في 8 قنوات
Get PRO
ديسمبر '23
+1 119
في 9 قنوات
Get PRO
نوفمبر '23
+648
في 3 قنوات
Get PRO
أكتوبر '23
+79
في 2 قنوات
Get PRO
سبتمبر '23
+97
في 0 قنوات
Get PRO
أغسطس '23
+158
في 0 قنوات
Get PRO
يوليو '23
+79
في 0 قنوات
Get PRO
يونيو '23
+72
في 0 قنوات
Get PRO
مايو '23
+136
في 0 قنوات
Get PRO
أبريل '23
+90
في 0 قنوات
Get PRO
مارس '23
+128
في 0 قنوات
Get PRO
فبراير '23
+44
في 0 قنوات
Get PRO
يناير '23
+65
في 0 قنوات
Get PRO
ديسمبر '22
+72
في 0 قنوات
Get PRO
نوفمبر '22
+95
في 0 قنوات
Get PRO
أكتوبر '22
+55
في 0 قنوات
Get PRO
سبتمبر '22
+68
في 0 قنوات
Get PRO
أغسطس '22
+171
في 0 قنوات
Get PRO
يوليو '22
+61
في 0 قنوات
Get PRO
يونيو '22
+39
في 0 قنوات
Get PRO
مايو '22
+98
في 0 قنوات
Get PRO
أبريل '22
+96
في 0 قنوات
Get PRO
مارس '22
+118
في 0 قنوات
Get PRO
فبراير '22
+31
في 0 قنوات
Get PRO
يناير '22
+33
في 0 قنوات
Get PRO
ديسمبر '21
+127
في 0 قنوات
Get PRO
نوفمبر '21
+27
في 0 قنوات
Get PRO
أكتوبر '21
+28
في 0 قنوات
Get PRO
سبتمبر '21
+71
في 0 قنوات
Get PRO
أغسطس '21
+52
في 0 قنوات
Get PRO
يوليو '21
+70
في 0 قنوات
Get PRO
يونيو '21
+52
في 0 قنوات
Get PRO
مايو '21
+34
في 0 قنوات
Get PRO
أبريل '21
+31
في 0 قنوات
Get PRO
مارس '21
+33
في 0 قنوات
Get PRO
فبراير '21
+59
في 0 قنوات
Get PRO
يناير '21
+39
في 0 قنوات
Get PRO
ديسمبر '20
+549
في 0 قنوات
| التاريخ | نمو المشتركين | الإشارات | القنوات | |
| 27 أكتوبر | +4 | |||
| 26 أكتوبر | +3 | |||
| 25 أكتوبر | +2 | |||
| 24 أكتوبر | +5 | |||
| 23 أكتوبر | +3 | |||
| 22 أكتوبر | +3 | |||
| 21 أكتوبر | +4 | |||
| 20 أكتوبر | +6 | |||
| 19 أكتوبر | +4 | |||
| 18 أكتوبر | +2 | |||
| 17 أكتوبر | +2 | |||
| 16 أكتوبر | +6 | |||
| 15 أكتوبر | +5 | |||
| 14 أكتوبر | +3 | |||
| 13 أكتوبر | +2 | |||
| 12 أكتوبر | +4 | |||
| 11 أكتوبر | +3 | |||
| 10 أكتوبر | +4 | |||
| 09 أكتوبر | +3 | |||
| 08 أكتوبر | +4 | |||
| 07 أكتوبر | +2 | |||
| 06 أكتوبر | +5 | |||
| 05 أكتوبر | +2 | |||
| 04 أكتوبر | +5 | |||
| 03 أكتوبر | 0 | |||
| 02 أكتوبر | +2 | |||
| 01 أكتوبر | +2 |
منشورات القناة
cve.now: ещё один feed по уязвимостям
Всем привет!
cve.now – новый ресурс, на котором можно найти информацию об уязвимостях, которых появляется всё больше и больше.
Он агрегирует информацию из разных источников: перечня CVE, различных баз данных (OSV, GitHub Security Advisory, NVD и других).
Для каждой CVE доступна «классическая» информация:
🍭 Описание
🍭Подверженные версии
🍭Версии с исправлениями
🍭CVSS-оценки
🍭Ссылки на дополнительные ресурсы
Отличает cve.now то, что раздел с описанием уязвимости содержит «понятное» содержание, сгенерированное с использованием LLM.
Дополнительно реализована возможность загрузки lockfile для того, чтобы определить какие именно уязвимости есть в ПО.
Или использовать ресурс в качестве MCP-сервера. Инструкции по подключению доступы на сайте для Claude, Cursor, Codex и не только
| 2 | Управление ИБ-дефектами: опыт SalesForce
Всем привет!
В статье описан опыт команды SalesForce по обработке большого количества ИБ-дефектов.
С появлением AI/LLM старая «проблема» для команды стала ещё более осязаемой.
Количество ИБ-дефектов, которые находят сканеры и модели, существенно возросло. При этом возросла и скорость, с которой они находятся.
А скорость, с которой можно исправлять находки – нет.
Получается, что поиск ИБ-дефектов осуществляется со «скоростью машины», а устранение – «со скоростью человека».
Чтобы решить эту задачу, ребята из SalesForce определили для себя два основных направления: стратегическое и тактическое.
Если кратко, то:
🍭 Стратегическое. Поиск ИБ-дефектов, которые характерны для многих разработок Компании. Их группировка и последующее устранение.
🍭 Тактическое. Подтверждение актуальности конкретных ИБ-дефектов, подготовка PoC. Для тех случаев, которые не являются «общими» и не попадают в стратегическое направление
Это помогло им улучшить и оптимизировать свой процесс работы с тем, что находят сканеры.
Каждое направление в общих чертах описано в статье, если захочется получить больше информации.
Завершает статью перечень верхнеуровневых рекомендаций/lessons learned, которые сформировала для себя команда после использования такого подхода «внутри». | 1 015 |
| 3 | Лабораторные работы по Kubernetes
Всем привет!
Как можно неплохо провести выходные? Конечно, решая лабораторные работы по Kubernetes.
Например, SnowOps Labs! Выбираете сценарий, запускаете и пытаетесь разобраться что произошло.
Суть не в поиске уязвимостей, а в том, чтобы исправить ошибки и восстановить работоспособность кластера и/или приложений.
Доступны разнообразные лабораторные работы:
🍭 Observability & SRE
🍭 GitOps & CI/CD
🍭 Security & Compliance
🍭 Chaos Engineering
🍭 Autoscaling Under Load и т.д.
Для удобства есть графический web-интерфейс, где можно выбрать то, что наиболее интересно.
Каждый сценарий описывает что будет создано в кластере и что надо сделать для его прохождения.
Например, для Security & Compliance надо будет скорректировать конфигурации для соответствия «требованиям» Kyverno, перевести несколько политик в другой режим работы, добавить исключения и т.д.
Рекомендуем! | 1 416 |
| 4 | Hortator: контроль запуска AI-агентов
Всем привет!
Hortator – open-source утилита, которая представляет из себя Kubernetes-оператор, позволяющий агентам запускать других AI-агентов.
Каждый агент, запускаемый Hortator, работает в собственном pod, со своим контекстом, бюджетом и ИБ-ограничениями.
Можно настроить следующее:
🍭 Безопасность. Сетевые политики, управление полномочиями («дочерний» агент не может иметь больше полномочий, чем «родительский»), RBAC
🍭 Бюджет. Ограничение по токенам, отслеживание потраченных ресурсов в LLM
🍭 Чувствительные данные. Входные и выходные данные проверяются на наличие секретов
🍭 Мониторинг «здоровья». Получение сведений о том, что задача «все ещё выполняется»
🍭 Мониторинг. Задачи (общее количество, выполненные, время выполнение задачи и т.д.)
Часть функциональности (например, контроль чувствительных данных и работа с бюджетом) доступна только в enterprise-версии.
О том, как устроен Hortator, как он работает, как его запускать и настраивать можно прочесть в GitHub-репозитории проекта. | 1 491 |
| 5 | Secure Software Factory
Всем привет!
Software Factory всё больше и больше становятся «автономными»: есть prompt/задача/спецификация, которая превращается в работоспособную функциональность силами ИИ и их агентов.
Для этого им требуется доступ к различным значимым сервисам – от кодовых баз до серверов, на которых всё разворачивается и тестируется.
Часто бывает так, что жертвой такой «продуктивности» становится информационная безопасность.
Ведь о ней думают в меньшей степени, когда есть возможность «сделать feature в разы быстрее».
Естественно, что ни к чему хорошему это не приводит. Иногда, агент может удалить базу данных с production-данными.
Но и ограничивать агентов полностью не хочется, тогда идея их использования потеряет всякий смысл.
Как быть? Мнение на этот счёт можно найти в прилагаемом файле. В нём Авторы описывают концепт Secure Software Factory.
Он «строится» на 4-х основах: Sandboxing, Network, Supply Chain и Identity & Access.
Это только первая часть, которая контролирует ограниченную среду выполнения агентов.
Вторая часть – Execution & Observability. Контроль запуска агентов, сбор информации об их действиях (в том числе и для улучшения самой Software Factory).
Дополнительно рассматривается несколько уровней автономности подобных «систем»: от Human-Orchestrated до Agent-Orchestrated и много чего ещё интересного.
Кстати! Дополнительную информацию по Secure Software Factory, включая описание различных контролей, можно найти на сайте. | 1 534 |
| 6 | Kubernetes Events
Всем привет!
События (events) в Kubernetes не всегда кажутся чем-то значимым, но это не так.
Они могут быть использованы при диагностике, поиске источников проблем, анализе того, что изменилось и много для чего ещё.
Чтобы лучше с ними «познакомиться», рекомендуем обратить внимание на статью.
Начинается она с небольшой «исторической справки»: когда в Kubernetes появились события и для чего они были нужны.
Далее Автор описывает:
🍭 Что такое события в Kubernetes
🍭 Разновидности событий
🍭 Для чего события можно использовать
🍭 Как реагировать на события и не только
Всё это Автор рассматривает с точки зрения создания собственного controller’a, чтобы более наглядно показать, как и для чего можно использовать события.
Итого: хорошая обзорная статья, которая поможет лучше разобраться в теме. Просто и доступно | 1 363 |
| 7 | Поиск уязвимостей с LLM: «понимание» или «поиск шаблонов»?
Всем привет!
Команда Semgrep не перестаёт радовать и выпускает очередное интересное исследование.
После того, как они проанализировали возможности LLM по поиску IDOR, у них возник вопрос: модель «понимает», что происходит, или она просто умеет искать некие «шаблоны»?
Для того, чтобы это оценить, ребята ввели метрики:
🍭 Counterfactual. Устранение найденной уязвимости с минимальным diff. Уязвимость должна будет исчезнуть при повторном анализе
🍭 Metamorphic. При изменении имени переменных, идентификаторов и т.д., уязвимость должна быть найдена при повторном анализе
🍭 Selectivity. Способность отличить «похожие» на уязвимости конструкции, от реально уязвимых
🍭 Stability & Coverage. Отображение идентичной информации об уязвимостях и их количестве при многократном повторении сканирований
С использованием этих метрик исследовали модели: Kimi K2.7, GLM-5.2, MiniMax M3, Opus 4.8, GPT-5.5.
Результаты получились практически идентичные, за исключением одного параметра: Stability & Coverage.
А если вернуться к первоначальному вопросу, то по мнению команды Semgrep, модели и правда «понимают происходящее», а не просто ищут шаблоны.
Рекомендуем к прочтению! | 1 583 |
| 8 | KubeDesk: web-интерфейс для Kubernetes
Всем привет!
Ещё один графический web-интерфейс для работы с Kubernetes – KubeDesk!
Позиционируется, как более «лёгкая и простая» альтернатива Lens.
Работает максимально просто: получает на вход kubeconfig и взаимодействует с kube-apiserver для отображения информации пользователю.
KubeDesk умеет следующее:
🍭 Предоставляет информацию о ресурсах кластера
🍭 Позволяет переключаться между контекстами
🍭 Отображает потребление вычислительных мощностей
🍭 Создавать/менять/удалять ресурсы
🍭 Делать exec, port-forward и т.д.
Есть отдельные страницы, на которых можно посмотреть ресурсы, которые не могут быть созданы из-за ошибок, а также связь между ingress и «конечным» pod.
В целом «всё как у всех». Но достаточно минималистично и без лишнего «шума».
Возможно, кому-то требуется именно такое ☺️ | 1 872 |
| 9 | OASIS: анализ уязвимостей в коде
Всем привет!
OASIS – ещё один LLM-based сканер, который позволяет анализировать исходные тексты и находить в них ИБ-дефекты.
Возможности схожи с аналогичными инструментами:
🍭 Анализ кодовой базы, идентификация ИБ-дефектов
🍭 Возможность настройки параметров сканирования (типы уязвимостей, расширения файлов)
🍭 Подтверждение найденных ИБ-дефектов с указанием степени «уверенности»
🍭 Сравнение результатов сканирования (последнего с предыдущим)
🍭 Формирование отчётов (JSON, HTML, PDF и MD)
🍭 Наличие графического web-интерфейса и не только
Из интересного – можно использовать сразу несколько LLM. Например, более «простую» для быстрого сканирования и более «умную» для глубокого анализа.
Поддерживается работа с локальными LLM: Ollama или иные OpenAI-совместимые (vLLM, LiteLLM, LM Studio и т.д.).
Больше подробностей представлено в GitHub-репозитории проекта. | 1 881 |
| 10 | AI Skills для инженеров
Всем привет!
По ссылке доступен набор skills, которые могут пригодиться в повседневной работе инженера.
Как и многие подобные ему, проект «родился» из опыта Matt Pocock, который является его Автором.
Matt известен своими обучающими курсами и материалами по веб-разработке и внедрению ИИ.
Он структурировал, описал и делится наработками с сообществом.
Подборка разбита по группам:
🍭 The Main Flow. Уточнение деталей агентом, создание спецификаций и задач
🍭 Shaping. Работа с прототипами, проведение «исследований»
🍭 Engineering. Диагностика неполадок, расстановка приоритетов в реализации задач, подготовка к рефакторингу
🍭 Productivity. Изучение проекта, уточнение непонятных моментов, подготовка к смене агентов
🍭 Reference. Набор «поддерживающих» skills
Работают они с любой моделью. Примеры установки доступны для Claude Code, Codex, GitHub Copilot, Gemini.
Для каждого skill есть описание что он делает, для чего его лучше (не) использовать, когда его лучше всего запускать и т.д.
Есть даже /grill-me - skill, который заставляет агента уточнять у вас о том, что вы делаете, чтобы «выровняться по ожиданиям» и решить проблему, когда «агент не делает то, что я хочу!».
P.S. То же самое можно найти и в официальном GitHub-репозитории проекта. | 1 805 |
| 11 |  System Design Interview
Всем привет!
Бывало ли с вами так, что надо быстро понять какой-либо концепт, но не хочется/нет времени искать информацию в сети?
Например, потому что её много или Автор сразу начинает рассматривать какие-либо детали и нюансы?
Если вы всё ещё ищете ресурс с подобной информацией, то рекомендуем обратиться к System Design Interview.
Это электронная книга, в которой Автор кратко и лаконично описывает общие концепции, которые используются в современных системах.
Например:
🍭 Scaling. Вертикальное/горизонтальное масштабирование, распределение нагрузки, кэширование, CDN и т.д.
🍭 Unique ID Generator. Возможные способы генерации уникальных идентификаторов
🍭 Rate Limiter. Описание проблематики, используемые алгоритмы, их преимущества и недостатки
🍭 Notification. Описание проблематики, концепция и способы реализации push-уведомлений
И это далеко не все разделы, что есть в книге. Да, какие-то нюансы, подводные камни или особенности реализации в ней не найти.
Но! У неё другая цель – дать первое, быстрое и понятное представление «о том, что это вообще такое» и «какие популярные (или часто используемые) способы реализации доступны».
Рекомендуем для начинающих или тех, кому нужна «шпаргалка» на разные случаи жизни 😊 | 1 539 |
| 12 | AI SDLC Transformation Playbook
Всем привет!
Из приложения можно скачать playbook (~ 17 страниц), в котором описываются подходы и практики использования AI при разработке в Atlassian.
Материал содержит разделы:
🍭 Making the shift to AI-native SDLC
🍭 Traditional vs AI-native SDLC workflows
🍭 Platform investments
🍭 Workflow shifts
🍭 Navigating change
Кратко описывается что именно изменилось в Atlassian с появлением AI на разных этапах разработки ПО: Planning, Design, Development, Review и Maintenance.
Отдельно рассматриваются вопросы получения контекста, чтобы это «работало». Например, в Atlassian создали свой собственный «context engine» - Teamwork Graph – который объединяет более 50 систем.
Явных «инструкций и алгоритмов» вы не найдёте, но это даже хорошо.
Сам подход и изменения описаны в достаточной степени, чтобы адаптировать его под собственные нужды. | 1 785 |
| 13 | Inference в Kubernetes
Всем привет!
Запуск LLM в Kubernetes. Отличается он чем-то от запуска LLM в иных средах? Если да, то чем? Какие могут быть нюансы?
Если вам интересны ответы на эти вопросы, то рекомендуем прочесть статью, в которой Автор разбирает этот вопрос.
Всё начинается с основ: как вообще формируется Inference? Кратко описываются этапы Tokenization, Prefill, Decode.
Получается, что нужно нечто, что загрузит модель, будет управлять памятью и запросами по мере их поступления. Так Автор плавно подходит к vLLM.
И дальше начинается самое интересное:
🍭 Подготовка кластера Kubernetes
🍭 Выбор модели, которая будет использоваться
🍭 Установка модели, конфигурация ресурсов Kubernetes
🍭 Небольшая настройка и использование
Каждый этап сопровождается комментариями и примерами. Но и это ещё не все!
После установки модели Автор развивает идею и настраивает взаимосвязь между Agentgateway и vLLM.
В итоге получилась отличная базовая статья, которая на простых примерах поясняет как и что работает.
А что ещё лучше – её вполне можно воспроизвести для собственных экспериментов ☺️ | 2 179 |
| 14 | Wardline: Control Plane for AI Agents
Всем привет!
Не важно, как это называется – AI Gateway или Control Plane for AI Agents.
Суть одна – некоторый «proxy», который позволяет контролировать то, что делают агенты.
Wardline – ещё один open-source пример реализации подобной концепции.
Он перехватывает запросы, определяет identity, применяет политики, оценивает потенциальный «бюджет» и пытается идентифицировать аномалии.
Все результаты его действий записываются в журнал.
Политики можно писать в разных форматах: YAML, OPA/Rego и Cedar.
В качестве контролирующий действий можно выбрать: allow, deny, throttled (превышение «бюджета»), blocked (identity заблокирована при анализе аномалий) и не только.
Помимо этого, Wardline поддерживает множество разных возможностей, среди которых: SSO, контроль доступа с использованием RBAC, возможность создания approval-правил и т.д.
Всё это описано в официальной документации на решение.
Результаты работы можно смотреть в графическом web-интерфейсе.
Кстати, если хочется посмотреть как всё это выглядит, можно запустить /demo/run.sh, который «поставляется» вместе с Wardline. | 2 145 |
| 15 | Vulnerable Bank Application!
Всем привет!
Да, всё так! Ещё одно «заведомо уязвимое приложение»!
На этот раз «эмулятор банка»: AuthN/Z, переводы денежных средств, аналитика транзакций, наличие API с merchant и многое другое!
И много-много-много уязвимостей, сгруппированных по типам:
🍭 Уязвимости AuthN/Z
🍭 Безопасность данных
🍭 Операции с файлами
🍭 Уязвимости виртуальных карт
🍭 Уязвимости в AI Customer Support и не только
Полный перечень того, что можно найти «внутри», представлен в GitHub-репозитории проекта.
Также доступно небольшое руководство, которое поможет решить задания.
Запустить всё можно локально, а если хочется посмотреть, как выглядит Vulnerable Bank Application, то можно пройти по ссылке.
Важно (!): исключительно в образовательных целях и не для чего больше ☺️ | 1 972 |
| 16 | Генерация подозрительных событий
Всем привет!
По ссылке можно найти репозиторий с утилитой, которая позволяет генерировать подозрительные события.
Цель проста – проверять то, насколько используемые средства защиты смогут их идентифицировать.
Репозиторий создан для Falco, но это не мешает использовать его и для других систем.
Глобально события делятся на:
🍭 Syscals. Изменений привилегий, создание файлов, запуск процессов, чтение данных и т.д.
🍭 Kubernetes. Создание привилегированных ролей, создание pod с небезопасными mounts, создание ServiceAccount и т.д.
Можно запускать генерацию как для всех событий, так и для выбранного «набора».
Подробнее о возможностях утилиты можно прочесть в GitHub-репозитории.
Важно (!): event-generator рекомендуется запускать в изолированной среде, т.к. некоторые команды могут изменить настройки системы (например, изменение файлов в /bin, /etc, /dev и т.д.) | 1 968 |
| 17 | Удаление чувствительных данных из журналов событий
Всем привет!
Утечки конфиденциальных данных при разработке ПО не редкость. Данные могут попасть в исходные коды, конфигурационные файлы, сообщения commit и не только.
Не стоит забывать о том, что конфиденциальные данные могут быть разглашены и во время эксплуатации ПО.
Например, через журналы событий: либо так настроен уровень сбора данных, либо просто «забыли это поправить».
Чтобы удалить все «ненужные данные» можно воспользоваться PII-Shield. Эта утилита помогает решить проблему при работе с Kubernetes.
Работает достаточно просто: sidecar, который «перехватывает» stdout/stderr, анализирует записи на наличие чувствительных данных и удаляет их.
PII-Shield может найти секреты (API-ключи, сертификаты, логины/пароли), телефонные номера.
При необходимости можно добавлять собственные regex-правила.
Помимо поиска «по шаблонам» добавлена возможность идентификации чувствительных данных через анализ энтропии.
Подробнее об утилите (установка, настройка, интеграция с различными системами, описание возможностей) можно прочесть в GitHub-репозитории или на официальном сайте. | 1 926 |
| 18 | AI Coding Agent Security Benchmark
Всем привет!
Команда Endor Labs задалась вопросом насколько хорошо AI пишет безопасный код.
Для этого они провели анализ 13 агентов и моделей с использованием SusVibes Benchmark.
200 задач из 108 open-source проектов, написанных на Python. При этом измерялась не только безопасность, но и корректное (ожидаемое) функционирование результата.
Из ключевых результатов можно отметить:
🍭 Существует «разрыв» между корректным функционированием и безопасностью
🍭 Модели стали сильно лучше писать код с точки зрения работоспособности, но не безопасности
🍭 Агенты «жульничают» 😅 Да, бывало так, что они просто находили подходящее решение вместо reasoning
🍭 Одна и та же модель может вести себя по-разному при работе с разными агентами
🍭 Та модель, что лучше всех справляется с функциональной частью может быть не самой лучшей с точки зрения ИБ
И это далеко не всё, что есть в исследовании. Рассматривались следующие модели: Claude Sonnet, Kimi, Gemini, GPT.
Кто и в чём победил? Ответы есть в статье, как и множество деталей о проведённой работе.
Рекомендуем к ознакомлению!
P.S. Материал опубликован в апреле и уточнён в мае 2026 года. Это важно учитывать, ведь, увы, подобные исследования «устаревают» достаточно быстро.
Но! Это не делает их менее интересными ☺️ | 2 144 |
| 19 | Platform Skills
Всем привет!
По ссылке доступен GitHub-репозиторий, в котором можно найти внушительный набор skills для работы с элементами ИТ-инфраструктуры и безопасности.
Поддерживаются такие системы как: Kubernetes, Argo CD, Flux CD, Terraform, Kyverno, Trivy, Kingfisher и многие другие.
Для каждой из поддерживаемых систем определён набор skills и возможностей.
Например, можно создавать, тестировать и проводить аудит политик Kyverno. Или мигрировать их на новый CEL-синтаксис.
Запускать сканирования Trivy, осуществлять поиск проблем и их причин в кластере Kubernetes, создавать роли т.д.
Полный перечень доступных команд можно найти в файле COMMANDS.md.
Указанный набор skills доступен для GitHub Copilot, Claude Code, Codex, Cursor.
Больше информации о возможностях skills, их устройстве, запуске и результатах работы можно найти в GitHub-репозитории проекта. | 2 056 |
| 20 | Vaikora LLM Gateway
Всем привет!
С повсеместным использованием AI-агентов всё чаще встречается вопрос, связанный с информационной безопасностью.
Это породило создание отдельной группы инструментов, задача которых – контролировать происходящее.
Vaikora LLM Gateway является представителем этой группы.
Если просто, то он «находится» между AI-агентами и «конечными системами» (LLM, базы данных, MCP, API и т.д.).
Его задача состоит в перехвате каждого действия, которое хочет совершить агент и анализе его на соответствие определённому набору политик.
Каждому действию присваивается статус: ALLOW, ALLOW_LOG, CONSTRAIN или BLOCK.
На текущий момент Vaikora LLM Gateway работает со следующими LLM: OpenAI, Anthropic, Google Gemini и OpenRouter.
Политики позволяют обнаруживать разные активности: утечку конфиденциальной информации, jailbreak, prompt injection и не только.
Сам по себе «движок правил» является детерминированным и не использует нейронные сети, что позволяет получать идентичные результаты на одни и те же действия.
Подробнее о возможностях утилиты можно прочесть в GitHub-репозитории проекта. | 2 042 |
