InfoSec VK Hub
前往频道在 Telegram
Как устроена безопасность VK: инженерные решения, процессы, внутренние платформы и практический опыт команды информационной безопасности. AppSec Bug Bounty AI Security InfraSec и другие направления BigTech
显示更多3 298
订阅者
无数据24 小时
-187 天
+20630 天
数据加载中...
吸引订阅者
十月 '2610月 '26
十月 '26
+21
在1个频道中
九月 '26
+269
在4个频道中
Get PRO
八月 '26
+31
在5个频道中
Get PRO
七月 '26
+47
在4个频道中
Get PRO
六月 '26
+42
在4个频道中
Get PRO
五月 '26
+30
在3个频道中
Get PRO
四月 '26
+45
在0个频道中
Get PRO
三月 '26
+132
在6个频道中
Get PRO
二月 '26
+127
在8个频道中
Get PRO
一月 '26
+392
在1个频道中
Get PRO
十二月 '25
+46
在2个频道中
Get PRO
十一月 '25
+47
在1个频道中
Get PRO
十月 '25
+45
在3个频道中
Get PRO
九月 '25
+94
在3个频道中
Get PRO
八月 '25
+60
在3个频道中
Get PRO
七月 '25
+97
在9个频道中
Get PRO
六月 '25
+115
在5个频道中
Get PRO
五月 '25
+32
在3个频道中
Get PRO
四月 '25
+105
在2个频道中
Get PRO
三月 '25
+100
在16个频道中
Get PRO
二月 '25
+149
在9个频道中
Get PRO
一月 '25
+167
在2个频道中
Get PRO
十二月 '24
+1 445
在61个频道中
Get PRO
十一月 '24
+155
在13个频道中
Get PRO
十月 '24
+559
在14个频道中
| 日期 | 订阅者增长 | 提及 | 频道 | |
| 12 十月 | +2 | |||
| 11 十月 | 0 | |||
| 10 十月 | +3 | |||
| 09 十月 | +1 | |||
| 08 十月 | +2 | |||
| 07 十月 | +1 | |||
| 06 十月 | +5 | |||
| 05 十月 | 0 | |||
| 04 十月 | +2 | |||
| 03 十月 | 0 | |||
| 02 十月 | +3 | |||
| 01 十月 | +2 |
频道帖子
+8
VK AI Security Nights ’26: ищите себя на фотографиях 📸
Вчера делились докладами, а сегодня предлагаем немного вернуться в атмосферу нашего вечера.
Знакомые лица, новые знакомства, живые обсуждения и разговоры, которые продолжились даже после завершения официальной программы.
Собрали самые яркие моменты в фотографиях. Листайте, ищите себя и тех, с кем успели познакомиться!
А всем, кто регистрировался на мероприятие, мы уже отправили фотографии на почту. Проверяйте входящие (и на всякий случай «Спам»).
P.S. И да, нам интересно: какую тему вы бы хотели обсудить на следующем VK AI Security Nights?
| 2 |  VK AI Security Nights ’26: практика безопасности ИИ
На прошлой неделе собрались в питерском офисе VK. Получился вечер про очень практичные вещи: что делать с критической уязвимостью, когда CVE ещё не появился, как AI уже меняет Bug Bounty и где заканчивается автоматизация и всё ещё нужен человек.
👉🏻 Илья Сидельников показал, как в VK выстроен непрерывный мониторинг Open Source-зависимостей и почему в реальной жизни ждать, пока нужная уязвимость появится во всех базах, — не вариант.
👉🏻 Максим Прокопович продолжил тему уже со стороны Bug Bounty — рассказал, как AI помогает разбирать поток отчётов, искать дубли и анализировать уязвимости.
А потом разговор закономерно вышел за рамки отдельных инструментов: вместе с Павлом Никитиным и Данилом Капустиным обсудили, от чего и как вообще защищать современные AI-системы. Shadow AI, агенты, свежие инциденты, Defense in Depth — вопросов в итоге оказалось явно больше, чем времени на сцене.
Поэтому продолжили уже после докладов — с музыкой, закусками и разговорами без микрофонов и таймингов.
→ Скачать доклады
Спасибо всем, кто был с нами в этот вечер 💙 | 722 |
| 3 |  Пока все обсуждали AI, машины уже начали действовать
Сначала они просто выполняли команды.
Потом сами начали принимать решения.
Теперь Skynet выбрал ZeroNights полем битвы, во главе машин встал T-26.
Будущее человечества — под угрозой.
Но Сопротивление ещё не проиграло.
Его возглавил Персик О’Коннор.
И сегодня ему нужны новые бойцы.
Присоединяйся к Сопротивлению: проходи игры в мини-приложении, побеждай машины и превращай их в своих союзников, зарабатывай игровую валюту и обменивай её на призы в VK Merch Point.
Первые 1000 вступивших в Сопротивление получат свою первую награду — стикерпак.
Дальше — новые игры, больше игровой валюты и мерч, который можно выбрать самому.
А бойцы, которые пройдут все игры, получат допуск к финальной битве с T-26 ⚡️
Спаси человечество!
👉🏻Вступай в Сопротивление
VK Security | Буст этому каналу
#конференция #ZeroNights | 1 226 |
| 4 |  Вжух! А у нас большие новости для багхантеров 🔥
Помните, мы обещали обновить механику выдачи мерча? В итоге пошли дальше — полностью переосмыслили систему выдачи мерча для багхантеров.
Больше не мы решаем, какой приз вам отправить. Теперь выбираете вы.
🛒 Запускаем VK Bounty Shop — магазин мерча для тех, кто сдаёт отчёты по программам VK Bug Bounty.
Как всё работает:
сдаёте отчёты → получаете за принятые отчёты багсы → копите их → обмениваете в VK Bounty Shop на то, что хочется именно вам.
Худи? Забирайте.
Термобутылку? Пожалуйста.
Персика? Не вопрос!
И главное — багсы не сгорают вместе с кварталом. Можно копить их дальше и забирать то, что хочется, когда накопили нужное количество.
🔎 А ещё сам VK Bounty Shop тоже можно проверить на уязвимости.
Отчёт можно сдать на любой платформе в разделе «Другое». За принятые отчёты начислим багсы на покупку выбранного мерча — их количество будет зависеть от критичности уязвимости.
Короче, теперь всё просто: вы находите баги — вы и выбираете награду.
🔥Торопитесь в свои личные кабинеты — проверять баланс багсов и выбирать, на что тратить!
VK Security | Буст этому каналу
#bugbounty #vkbountyshop | 1 791 |
| 5 |  VK × ZeroNights: раскрываем карты 👀
Встречаемся уже завтра!
🛠 Начнём с технической части:
🔹В 14:30 Александр Федченко и Игорь Гребенец выступят с докладом «От diff до trust boundary: как увидеть модель угроз в потоке изменений».
Покажем, как связали Oracul и ThreatOne, чтобы находить сигналы об изменении поверхности атаки прямо в потоке продуктовых изменений и превращать их в воспроизводимую модель угроз — с доказательствами, трассируемостью и проверкой человеком.
🔹 Наши эксперты будут участвовать и в других частях программы: вице-президент по безопасности VK Антон Карпов выступит со вступительным словом на открытии, Павел Никитин будет вести Heap Stage, а Анатолий Коваленко — SecOps Track.
🎮 А что по активностям?
В этом году решили обойтись без CTF — вместо этого сделали больше пространства для общения и отдыха: лаунджи, коворкинг, летняя терраса и кофе.
А вот за мерч придётся немного побороться: проходите квест-игру, набирайте баллы и забирайте призы от VK.
🪲 P.S. Отдельный привет багхантерам
Для вас тоже кое-что приготовили — захватите мундштуки 😉 Встречаемся в 16:00 в VK Hall. Для прохода достаточно одного принятого отчёта — на любой платформе и в любой багбаунти-программе.
Встречаемся 30 сентября на ZeroNights 🔥
VK Security | Буст этому каналу
#конференция #ZeroNights | 1 071 |
| 6 |  ⚡️ Разыгрываем три билета на ZeroNights
29 сентября на VK AI Security Nights’26 говорим про AI в security: технические доклады, практика, дискуссия со спикерами и afterparty.
А в конце вечера устроим квиз про AI — с вопросами про технологии, security и немного общих знаний. Трое участников с лучшими результатами получат билеты на ZeroNights.
Так что для кого-то в этом году конференция начнётся на день раньше — вместе с нами 👀
Если собирались на VK AI Security Nights’26, но откладывали регистрацию — самое время. Она открыта до 25 сентября, 18:00 (мск). И лучше не оставлять всё на последний момент: мест остаётся всё меньше.
👉 Регистрируйтесь сами и зовите своих коллег.
VK Security | Буст этому каналу
#конференция #митап #aisecurity | 1 445 |
| 7 |  Ну что там с подкастом «Спасибо за репорт»? 👀
Есть новости. Даже несколько.
Новый выпуск уже совсем близко — его пока оставим за кадром. А вот один из будущих предлагаем собрать вместе с вами.
Недавно мы спрашивали, кого вы хотите видеть в нашем подкасте, и очень много голосов было за…
Барабанная дробь… 🥁 Сергея Зыбнева (Похека).
Мы с удовольствием пригласили Сергея — и он согласился 🙌
О чём будем говорить? А это как раз решать вам.
Задавайте вопросы.
Можно один. Можно десять.
Можно в комментарии, а можно через бота.
👉🏻 Задать вопрос
#bugbounty #подкаст
VK Security | Буст этому каналу | 5 574 |
| 8 |  Петербург, снова к вам ⚡️⚡️
Год назад впервые привезли наш митап в северную столицу— говорили про AppSec, много общались и в итоге поняли: нам понравилось. Кажется, вам тоже :)
Поэтому 29 сентября возвращаемся — уже с VK AI Security Nights’26.
В этот раз всё вокруг AI × Security: как использовать AI в безопасности, как защищать сами AI-системы и что уже можно применять в работе прямо сейчас.
Зовём всех, кто работает с AppSec, DevSecOps, AI Security, Bug Bounty и другими направлениями безопасности — и хочет оставаться на острие того, как AI меняет нашу индустрию.
В программе — реальные кейсы, инструменты, эксперименты, рабочие решения и гипотезы, которые пережили встречу с реальностью. А ещё — дискуссия со спикерами, где можно будет задать вопросы и включиться в обсуждение.
После докладов остаёмся на afterparty: музыка, общение и вечерний Петербург 🌃
Количество мест ограничено.
Мероприятие будет только в офлайн-режиме.
👉 Регистрация
А если едете на ZeroNights — считайте, что это наша pre-party перед конференцией 😎
Увидимся в Питере! | 4 515 |
| 9 |  +1⚡MAX теперь удобнее исследовать через Burp Suite
Подготовили плагин для Burp Suite, который позволяет полноценно работать с трафиком веб-версии MAX.
С его помощью можно:
🔹 перехватывать и читать запросы;
🔹 изменять их;
🔹 отправлять повторно — всё в привычном workflow Burp Suite.
Раньше при исследовании веб-версии MAX эта часть работы была ограничена. Теперь можно быстрее переходить непосредственно к анализу приложения и проверке гипотез.
🔗 Плагин
#bugbounty #MAX | 1 766 |
| 10 |  🧩 LLM генерирует Nuclei-шаблон. Что может пойти не так?
В новом выпуске цикла «Технологии безопасности Big Tech» разбираем кейс автоматизации с LLM и Nuclei.
LLM анализирует описание уязвимости и готовит данные для Nuclei-шаблона: метод запроса, путь, параметры, тело запроса и признаки успешной проверки.
⚠️ На выходе результат может выглядеть корректно, но содержать ошибку. Например, модель подменила один путь — вернула похожий на исходный, но несуществующий.
Такую ошибку легко пропустить: шаблон соберётся, сканирование запустится, но запрос уйдёт по адресу, которого нет.
Глеб Зиновьев, старший специалист по безопасности приложений, разбирает, как проверять вывод LLM перед запуском Nuclei-шаблона.
В фокусе:
— как привязывать каждый извлечённый факт к цитате из исходного описания;
— где останавливать процесс, если контекста не хватает;
— как контролировать качество после изменений в модели или логике пайплайна.
И шире — как выстраивать проверку вывода LLM перед его использованием в автоматизации.
🍿 Смотреть новый выпуск
VK Security | Буст этому каналу | 576 |
| 11 |  +8⚡️Есть планы на 30 сентября?
До ZeroNights остался месяц — хороший повод вспомнить, как это было в прошлом году. Тогда у VK было несколько зон: от пространства для общения и отдыха до продуктовой площадки, где можно было подробнее узнать о наших решениях, задать вопросы командам и обсудить реальные подходы к безопасности продуктов и инфраструктуры.
В этом году VK снова поддерживает ZeroNights. Готовим новую программу с техническим контентом, экспертами и активностями вокруг практической ИБ. Часть деталей пока оставим за кадром, но точно будет что обсудить с теми, кто каждый день работает с AppSec, инфраструктурной безопасностью, AI Security и другими направлениями.
Для багхантеров тоже будет своя точка притяжения: можно будет пообщаться, обсудить свежие кейсы, находки и подходы — с теми, кто действительно живёт Bug Bounty.
Если будете на ZeroNights — ставьте 🔥
VK Security | Буст этому каналу
#конференция | 1 876 |
| 12 |  Новый выпуск подкаста «Спасибо за репорт» уже в VK Видео!
В выпуске обсудили:
⚡ зачем багхантеру раскрывать свои отчёты и что это даёт сообществу;
⚡ как понять, какой репорт стоит публиковать и какие детали можно показывать;
⚡ почему чужие раскрытые отчёты могут становиться источником новых идей для собственного ресерча;
⚡ как выбирать, что делать дальше, если очевидные векторы уже закончились;
⚡ что помогает возвращаться к ресерчу после периодов без результативных находок.
И, конечно, разбираем реальные кейсы: с чего начинался поиск, как развивались гипотезы по ходу исследования и что в итоге можно было раскрыть публично.
🍿 Смотреть выпуск
🔹 Отчёты, о которых говорим в выпуске, будут доступны уже на следующей неделе — добавим ссылки в этот пост и в описание под видео.
Если после просмотра захочется что-то обсудить — оставляйте вопросы в комментариях 👇
VK Security | Буст этому каналу
#bugbounty #подкаст@vk_security | 1 605 |
| 13 |  🎙 Уже завтра — новый выпуск подкаста «Спасибо за репорт»
В гостях — freeman.
Поговорим о том, что обычно остаётся за пределами самого поиска уязвимости, — о раскрытии отчётов. Зачем публиковать свои репорты, что это даёт другим исследователям и как понять, какие детали вообще стоит выносить в паблик.
А ещё разберём, как оценивать потенциал находки, докручивать её до более серьёзного сценария и выбирать, куда копать дальше.
Ставьте 🔥, если ждёте выпуск!
VK Security | Буст этому каналу
#bugbounty #подкаст@vk_security | 1 173 |
| 14 |  Всем привет!
Недавно мы разбирали возможности VK Security Gate — AppSec-платформы, которая объединяет проверки кода, зависимостей и других компонентов разработки и встраивает их в привычный процесс работы с кодом.
🎥 Если пропустили обзор — можно начать с небольшого видео о платформе.
Один из интересных вопросов внутри такой системы — не только как собрать результаты разных анализаторов, но и какие решения можно автоматизировать без потери качества триажа.
🔎 Например, при работе с CVE в Security Gate используется не только CVSS.
В собственной оценке учитываются:
▫️ достижимость уязвимых методов из кода
▫️dev- или prod-контекст зависимости
▫️наличие и доступность эксплойта
▫️ зафиксированные случаи эксплуатации в реальной среде.
При поиске секретов агент может автоматически отклонять часть ложноположительных срабатываний: на внутренних данных F1-мера выявления ложноположительных срабатываний составила 0,981.
В SAST результат LLM не используется как финальный автоматический вердикт — модели может не хватать контекста, например конфигураций или журналов.
То есть уровень автоматизации определяется не самим фактом наличия подключенной модели, а тем, достаточно ли у системы контекста, чтобы принимать решение без участия специалиста.
👉 Подробнее о приоритизации, LLM-триаже, кросс-веточном триаже, Fast Scanner, работе с malware и других механизмах Security Gate — в новой статье на Хабре.
👉 Читать статью
VK Security | Буст этому каналу
#appsec #VKSecurityGate | 1 186 |
| 15 |  Ну что, до OFFZONE остался всего день 👀
Самое время отметить доклад, на который стоит заглянуть:
🎮 Пётр Уваров — «GGWP, или Конец ББ»
Порассуждаем о том, правда ли багбаунти движется к своему «концу», посмотрим на происходящее с разных сторон — вендора, багхантера и стороннего наблюдателя — и попробуем понять, что ждёт багбаунти дальше.
📍 20 августа · 18:00–18:30 · AppSec.Zone
Отмечайте нужный слот и приходите — будем рады увидеться, пообщаться и обсудить всё после доклада👋
VK Security | Буст этому каналу!
#эксперты #доклады #bugbounty | 1 767 |
| 16 |  +7Всем привет!
🔹В первой части рассказали, как «Эгида» помогает разбирать поток заявок на доступ и выделять те, которые требуют большего внимания.
Но у модели не всегда есть идеальный набор данных и однозначный ответ. Иногда информации не хватает, признаки противоречат друг другу, а сама модель не уверена в прогнозе. И здесь важно не заставлять систему любой ценой выбирать между «всё хорошо» и «всё плохо».
🔹 Во второй части разбираем, как «Эгида» работает с такими ситуациями: почему отсутствие данных не считается негативным признаком, как система показывает противоречивые сигналы и что происходит с неуверенными прогнозами.
Отдельно рассказываем, как проверяем модель уже после запуска: сравниваем прогнозируемый риск с реальными решениями специалистов и следим, чтобы одинаковый скор со временем сохранял одинаковый смысл.
И ещё один важный принцип: объяснение оценки строится только на тех факторах, которые действительно есть в заявке. Если данных нет, модель не должна их додумывать.
🔹 При этом «Эгида» остаётся помощником, а не автоматическим согласователем. Она показывает риски и аргументы, но финальное решение принимает специалист — и именно его выбор передаётся в систему доступа.
#разбор #IDM #автоматизация
VK Security | Буст этому каналу | 1 349 |
| 17 |  +7Сегодня расскажем, как мы упростили проверку заявок на доступ и какую часть этого процесса автоматизировали с помощью нового инструмента.
Ежедневно на согласование специалистам ИБ поступает не менее 2 тысяч заявок — и это только в IDM. Чтобы оценить каждую, недостаточно знать, кто и какую роль запрашивает. Важно понять, для какой задачи нужен доступ, какие полномочия у человека уже есть и как они сочетаются с новой ролью. Раньше специалистам приходилось искать эту информацию вручную в нескольких системах. При большом потоке именно сбор недостающих данных занимал значительную часть времени.
Так появилась «Эгида» — наш внутренний инструмент для оценки и ранжирования заявок на доступ. Она объединяет формальные признаки и анализ обоснования, рассчитывает оценку риска и показывает, какие факторы на неё повлияли. Благодаря этому специалист видит, какие заявки требуют повышенного внимания.
В карточках разбираем, как устроена оценка и какой путь проходит заявка внутри системы.
🔹В следующей части расскажем, что происходит, если данных недостаточно, сигналы противоречат друг другу или модель не уверена в оценке.
#разбор #IDM #автоматизация
VK Security | Буст этому каналу | 1 349 |
| 18 |  🔹 Как устроена безопасная разработка в масштабе Big Tech?
Безопасная разработка в VK — большая тема, которую сложно уместить в один материал. Поэтому в ближайшие недели будем разбирать её с разных сторон: рассказывать о собственных инструментах, архитектурных решениях и опыте их внедрения. Начнём с одного из ключевых элементов нашей AppSec-экосистемы.
Первый материал — видео о VK Security Gate. Это собственная платформа VK, которая автоматизирует проверки безопасности кода и встраивает их непосредственно в процесс разработки.
Вместе с Анатолием Коваленко, руководителем отдела платформенной разработки и интеграции направления защиты приложений блока Безопасность VK, разбираем:
🔹как появилась VK Security Gate и какие требования легли в её основу;
🔹как платформа работает с SAST, SCA и поиском секретов;
🔹как устроены автоматическое подключение проектов и оркестрация анализаторов;
🔹как работают кросс-веточный триаж, дедупликация и устойчивый фингерпринт;
🔹как проверки встраиваются в разработку по принципу shift-left.
🍿 Смотреть видео
VK Security | Буст этому каналу
#appsec #VKSecurityGate | 1 167 |
| 19 |  Новый выпуск подкаста «Спасибо за репорт» уже на нашем канале в VK Видео!
В гостях — Анна Куренова, также известная как SavAnna.
В выпуске обсудили:
⚡ как Анна пришла в багбаунти и что мотивирует её продолжать искать уязвимости;
⚡ что она делает, когда начинает работать с новым скоупом;
⚡ как коммуникация с вендором влияет на выбор программы;
⚡ почему иногда стоит отправить репорт, даже если не уверен, что найденное поведение — действительно баг;
⚡ насколько сложно начинать в багбаунти сейчас и как ИИ может повлиять на поиск уязвимостей и выплаты.
Почему один из репортов оказался критичнее, чем предполагала Анна, и за какие информативы ей всё же заплатили — узнаете в новом выпуске.
🍿 Смотреть выпуск
Если после просмотра у вас появятся вопросы, оставляйте их в комментариях 👇
VK Security | Буст этому каналу
#bugbounty #подкаст@vk_security | 1 126 |
| 20 |  🎙 Уже завтра — новый выпуск подкаста «Спасибо за репорт».
В гостях — Анна Куренова (SavAnna), Application Security-специалист и багхантер.
Обсудим, как Анна подходит к новому скоупу и зачем следит за релизами и планами развития продукта. А ещё — почему иногда стоит отправить репорт, даже если сомневаешься: это бага или всё работает так, как задумано 👀
Ставьте 🔥, если ждёте выпуск!
VK Security | Буст этому каналу
#bugbounty #подкаст@vk_security | 998 |
