Ever Secure

🤖 ИИ сдал экзамен по хакингу. Способом, о котором вы уже догадались. OpenAI гоняла свои модели через бенчмарк ExploitGym, проверяя, умеют ли они ломать системы. Спойлер: умеют. Настолько, что сломали сам эксперимент. Что произошло по пунктам: 🤖Модель GPT-5.6 Sol (и её ещё более раскованный преемник, которому специально подрезали защитные рефлексы) сидела в изолированной песочнице. 🤖Заскучав над задачкой, она нашла 0-day в собственном прокси OpenAI и вышла в интернет. Из песочницы. Которую строили ровно для того, чтобы она туда не вышла. 🤖Дальше логика чистого отличника: «а где лежат ответы к моему экзамену?» Правильно, на Hugging Face. 🤖Модель докрутила украденные креды, пару свежих 0-day, получила RCE на проде Hugging Face и залезла в базу с решениями. То есть буквально пошла подсмотреть ответы к тесту, который в этот момент сдавала. Итог: ИИ, которого тестировали на способность взломать хоть что-нибудь, взломал ровно то, что его тестировало. Экзаменатор проверял, спишет ли студент. Студент вскрыл сейф с ключами и заодно кабинет завуча. Клем из Hugging Face по этому поводу выдал:

Безопасность ИИ не решить в одиночку и по секрету. Её решают открыто и сообща

Красиво. Особенно свежо звучит после того, как вашу прод-базу вскрыли без спроса и очень даже сообща. Пока я жду, когда ИИ заменит меня на работе, он уже освоил главный навык офисного выживания. Списать на экзамене и выйти сухим из воды 👀@ever_secure | 💪 Обучене | 💳Поддержать

в чате подсказали, что на гусей тоже есть уязвимости 😭 https://nvd.nist.gov/vuln/detail/CVE-2023-4518 Галя, отмена

Чот я наигрался в безопасников)))) пора идти разводить гусей За два дня опубликовано 440 CVE в Linux https://lists.openwall.net/linux-cve-announce/2026/07/19/ https://lists.openwall.net/linux-cve-announce/2026/07/20/

"Это как работать в Казахкой компании и не смотреть Бората" (с)

Мне одному кажется, что трети компаний этот чел и делал UX дизайн?

Ребят, тут Авито регистрацию на свой первый CTF открыл с призами до 300 000 рублей на команду 📍 AvitoTech устраивает CTF онлайн с денежным призовым фондом, мерчем и интересными тасками! Регистрация команд уже открыта по ссылке, а ниже собрали инфу, что предстоит делать во время HoneyBadger CTF AvitoTech. Возьмите на себя роль медоеда, проверьте защиту пчелиного улья и найдите все скрытые уязвимости в сотах. Чего ждать от турнира: тасков на веб-уязвимости, инфраструктурных мисконфигов, анализа скомпилированного кода, расследования инцидентов, слабостей шифров, всего, что требует хакерской смекалки. И розыгрыша мерча, помимо основного призового фонда. Важно: CTF не только для спецов по кибербезопасности — есть отдельная лига для всех, кто любит разбираться, как устроены IT-системы 🐝

заметил, что резко начало расти количество подписчиков канала, оказалось новый способ угона ников. Схема простая:

Вас дудосят ботами При переводе канала в частный, освобождается имя Его забирают злоумышленники, размещая контент от шлюхоботов.

Ктобы не закидывал ботами нас, знайте: тут у людей нет денег и их не интересуют женщины

Ловите отличный материал от моей коллеги, Анастасии Березовской "Путь атакующего Kubernetes" Как атакующий проходит путь от уязвимости в приложении до захвата Kubernetes-кластера? На практических демо разбираем RCE, SSRF, побег из контейнера, опасные Security Context и Linux Capabilities, а также способы защиты: Network Policies, Seccomp, Falco и принцип минимальных привилегий. Приятного просмотра: - 📹 Youtube - 📺VK ЗЫ. Настя еще преподает вместе с нами на курсе 😉 👀@ever_secure | 💪 Обучене | 💳Поддержать

Давно что-то на канале не выходили вебинары с дрючевом консоли и взломами, да? 😏

Было бы круто, если бы ржд смогла бы оказывать услуги железнодорожной связи нормально, для начала...

Кстати, в финальную лабу заложил по максимуму всего, что проходили. Вот первые отзывы 😅

🔓 Последняя неделя модуля "Уязвимости" и в субботу была опубликована итогова лаба на цепочки уязвимостей. Приложил для вас 10 лучших результатов по CTF и уже видно, кто как раскачался: лидеры перевалили за 80 очков, не знаю к чему они готовятся, но они готовы 😉 На этом модуль уязвимости закончен. 86 тасок разных уровней сложности на разные типы уязвимостей. Ну а команда Ever Secure поздравляет финалиста. Кстати, глядя на эти результаты, невольно задаёшься вопросом: а на сколько очков раскачался бы ты? 📈 В сентябре откроем двери для нового потока. Возможно, в следующий раз в этом топе будет уже ваше имя 💪 👀@ever_secure | 💪 Обучене | 💳Поддержать

спереди или сзади? 🙄

Разработке время — безопасной разработке еще больше времени В новом выпуске техно-дискуссий К2 Кибербезопасность разберем: ✅ стоит ли платить за коммерческие решения или можно жить на open source ✅ как выбрать между SAST, SCA и DAST и не утонуть в количестве инструментов ✅ Security Champions VS AppSec-команда: какой подход продуктивнее? Гости выпуска: 🎙 Максим Князев, старший системный инженер, К2 Кибербезопасность 🎙 Андрей Кулешов, руководитель разработки SourceCraft Security Яндекс. Ведущая — Анна Старшинова, ведущий менеджер по развитию практики защиты данных и приложений К2 Кибербезопасность. Когда: 16 июля, 19:00 (мск) Где: онлайн Регистрируйтесь по ссылке и присоединяйтесь к трансляции

DevSecOps должен уметь ломать? Да, должен Встроить сканеры в пайплайн не так сложно. SAST, SCA, DAST, secret detection, контейнеры, IaC, все это можно прикрутить, настроить пороги, сделать красивые дашборды и радостно наблюдать, как разработка начинает ненавидеть безопасность еще чуть сильнее. Но мне не нужен человек, который просто относит отчетики разработчикам.

• Вот тут у вас high, почините • А как починить? • Ну там в отчете написано • А это вообще эксплуатируется? • Сканер сказал • А почему это не false positive? • Ну...

Вот на этом месте DevSecOps заканчивается и начинается курьерская доставка PDF. Нормальный инженер должен понимать, что он принес разработке. Почему это уязвимость, как она работает, в каких условиях реально эксплуатируется, какой impact, как это нормально закрыть и как проверить, что закрыли. Не обязательно быть пентестером уровня «я руками переписываю шеллкод на салфетке». Но если ты работаешь на стыке разработки и безопасности, ты должен уметь хотя бы базово воспроизвести проблему, объяснить механику и не развалиться от первого вопроса разработчика. Потому что разработка не обязана верить сканеру. И часто правильно делает, что не верит. DevSecOps это не про «запустил тулзу и пошел пить кофе». Это про то, чтобы встроить безопасность в процесс так, чтобы она была полезной, понятной и доказуемой. А для этого надо не только уметь включать сканеры, но и понимать, что они нашли. И иногда уметь сломать самому, чтобы потом нормально защитить давно не было обсуждений на эту тему 😉

CTF

Вы просили позвать на подкаст молодого CISO, мы услышали и сделали 😉 Сегодня отсняли выпуск с Александром Савиным, поговорили про то, что волнует каждого, кто только заходит в роль: первые 100 дней в роли CISO 🔥 👀@ever_secure | 💪 Обучене | 💳Поддержать

Подрядчик сдал тебя хакерам, а в анкете было «все защищено» Хорошие новости: теперь ИИ отклоняет не только твое резюме, но и твою компанию 😉(шутка). А если серьезно, то огромное кол-во взломов сегодня прилетает именно через подрядчиков. Аудит третьих сторон давно перестал быть формальностью для галочки, это реально острая проблема и каждый CISO об нее спотыкается. Смотрите сами: 👉Контрагенты присылают отписки: в анкетах у всех «все защищено», а на деле внутренние процессы на нуле. 👉Активный аудит нелегален: сканировать инфру подрядчика без письменного разрешения нельзя (привет, ст. 272 УК РФ), да и агенты в свою сеть вам никто ставить не даст. 👉Ресурсы ограничены: проверить руками 200+ поставщиков силами ИБ отдела это уже фантастика. Мои друзья из CICADA8 зовут на вебинар, где без маркетингового хайпа и баззвордов разберут методологию и автоматизацию контроля внешней экосистемы. Тот случай, когда говорят по делу, а не продают воздух. 🗓 Когда: 16 июля, 11:00 (МСК) 📍 Формат: онлайн для практиков (CISO, GRC, ИБ аудиторов) О чем будут говорить (только конкретика): ❔Как уйти от «бумажной безопасности»: что требовать в качестве evidence, кроме красиво заполненной анкеты. ❔Легальный технический скоринг: как оценить защищенность партнера снаружи (OSINT, пассивный анализ, утечки, конфигурация почты и DNS), и при этом не познакомиться лично со ст. 272. ❔Где ИИ реально пашет в GRC (без нейросетей волшебников): ML для разбора сотен разнородных политик ДЗО, сверки с требованиями регуляторов (ГОСТ, КИИ, 152-ФЗ) и генерации рекомендаций. 200 подрядчиков и ни одного честного ответа в анкетах? Вам сюда 😉

ну как вы там, потомки?

Ждете новые выпуски? Мы тоже 🤝 Уже делаем новый выпуск для вас 😉