InfoSec VK Hub

VK AI Security Nights ’26: ищите себя на фотографиях 📸 Вчера делились докладами, а сегодня предлагаем немного вернуться в атмосферу нашего вечера. Знакомые лица, новые знакомства, живые обсуждения и разговоры, которые продолжились даже после завершения официальной программы. Собрали самые яркие моменты в фотографиях. Листайте, ищите себя и тех, с кем успели познакомиться! А всем, кто регистрировался на мероприятие, мы уже отправили фотографии на почту. Проверяйте входящие (и на всякий случай «Спам»). P.S. И да, нам интересно: какую тему вы бы хотели обсудить на следующем VK AI Security Nights?

VK AI Security Nights ’26: практика безопасности ИИ На прошлой неделе собрались в питерском офисе VK. Получился вечер про очень практичные вещи: что делать с критической уязвимостью, когда CVE ещё не появился, как AI уже меняет Bug Bounty и где заканчивается автоматизация и всё ещё нужен человек. 👉🏻 Илья Сидельников показал, как в VK выстроен непрерывный мониторинг Open Source-зависимостей и почему в реальной жизни ждать, пока нужная уязвимость появится во всех базах, — не вариант. 👉🏻 Максим Прокопович продолжил тему уже со стороны Bug Bounty — рассказал, как AI помогает разбирать поток отчётов, искать дубли и анализировать уязвимости. А потом разговор закономерно вышел за рамки отдельных инструментов: вместе с Павлом Никитиным и Данилом Капустиным обсудили, от чего и как вообще защищать современные AI-системы. Shadow AI, агенты, свежие инциденты, Defense in Depth — вопросов в итоге оказалось явно больше, чем времени на сцене. Поэтому продолжили уже после докладов — с музыкой, закусками и разговорами без микрофонов и таймингов. → Скачать доклады Спасибо всем, кто был с нами в этот вечер 💙

Пока все обсуждали AI, машины уже начали действовать Сначала они просто выполняли команды. Потом сами начали принимать решения. Теперь Skynet выбрал ZeroNights полем битвы, во главе машин встал T-26. Будущее человечества — под угрозой. Но Сопротивление ещё не проиграло. Его возглавил Персик О’Коннор. И сегодня ему нужны новые бойцы. Присоединяйся к Сопротивлению: проходи игры в мини-приложении, побеждай машины и превращай их в своих союзников, зарабатывай игровую валюту и обменивай её на призы в VK Merch Point. Первые 1000 вступивших в Сопротивление получат свою первую награду — стикерпак. Дальше — новые игры, больше игровой валюты и мерч, который можно выбрать самому. А бойцы, которые пройдут все игры, получат допуск к финальной битве с T-26 ⚡️ Спаси человечество! 👉🏻Вступай в Сопротивление VK Security | Буст этому каналу #конференция #ZeroNights

Вжух! А у нас большие новости для багхантеров 🔥 Помните, мы обещали обновить механику выдачи мерча? В итоге пошли дальше — полностью переосмыслили систему выдачи мерча для багхантеров. Больше не мы решаем, какой приз вам отправить. Теперь выбираете вы. 🛒 Запускаем VK Bounty Shop — магазин мерча для тех, кто сдаёт отчёты по программам VK Bug Bounty. Как всё работает: сдаёте отчёты → получаете за принятые отчёты багсы → копите их → обмениваете в VK Bounty Shop на то, что хочется именно вам. Худи? Забирайте. Термобутылку? Пожалуйста. Персика? Не вопрос! И главное — багсы не сгорают вместе с кварталом. Можно копить их дальше и забирать то, что хочется, когда накопили нужное количество. 🔎 А ещё сам VK Bounty Shop тоже можно проверить на уязвимости. Отчёт можно сдать на любой платформе в разделе «Другое». За принятые отчёты начислим багсы на покупку выбранного мерча — их количество будет зависеть от критичности уязвимости. Короче, теперь всё просто: вы находите баги — вы и выбираете награду. 🔥Торопитесь в свои личные кабинеты — проверять баланс багсов и выбирать, на что тратить! VK Security | Буст этому каналу #bugbounty #vkbountyshop

VK × ZeroNights: раскрываем карты 👀 Встречаемся уже завтра! 🛠 Начнём с технической части: 🔹В 14:30 Александр Федченко и Игорь Гребенец выступят с докладом «От diff до trust boundary: как увидеть модель угроз в потоке изменений». Покажем, как связали Oracul и ThreatOne, чтобы находить сигналы об изменении поверхности атаки прямо в потоке продуктовых изменений и превращать их в воспроизводимую модель угроз — с доказательствами, трассируемостью и проверкой человеком. 🔹 Наши эксперты будут участвовать и в других частях программы: вице-президент по безопасности VK Антон Карпов выступит со вступительным словом на открытии, Павел Никитин будет вести Heap Stage, а Анатолий Коваленко — SecOps Track. 🎮 А что по активностям? В этом году решили обойтись без CTF — вместо этого сделали больше пространства для общения и отдыха: лаунджи, коворкинг, летняя терраса и кофе. А вот за мерч придётся немного побороться: проходите квест-игру, набирайте баллы и забирайте призы от VK. 🪲 P.S. Отдельный привет багхантерам Для вас тоже кое-что приготовили — захватите мундштуки 😉 Встречаемся в 16:00 в VK Hall. Для прохода достаточно одного принятого отчёта — на любой платформе и в любой багбаунти-программе. Встречаемся 30 сентября на ZeroNights 🔥 VK Security | Буст этому каналу #конференция #ZeroNights

⚡️ Разыгрываем три билета на ZeroNights 29 сентября на VK AI Security Nights’26 говорим про AI в security: технические доклады, практика, дискуссия со спикерами и afterparty. А в конце вечера устроим квиз про AI — с вопросами про технологии, security и немного общих знаний. Трое участников с лучшими результатами получат билеты на ZeroNights. Так что для кого-то в этом году конференция начнётся на день раньше — вместе с нами 👀 Если собирались на VK AI Security Nights’26, но откладывали регистрацию — самое время. Она открыта до 25 сентября, 18:00 (мск). И лучше не оставлять всё на последний момент: мест остаётся всё меньше. 👉 Регистрируйтесь сами и зовите своих коллег. VK Security | Буст этому каналу #конференция #митап #aisecurity

Ну что там с подкастом «Спасибо за репорт»? 👀 Есть новости. Даже несколько. Новый выпуск уже совсем близко — его пока оставим за кадром. А вот один из будущих предлагаем собрать вместе с вами. Недавно мы спрашивали, кого вы хотите видеть в нашем подкасте, и очень много голосов было за… Барабанная дробь… 🥁 Сергея Зыбнева (Похека). Мы с удовольствием пригласили Сергея — и он согласился 🙌 О чём будем говорить? А это как раз решать вам. Задавайте вопросы. Можно один. Можно десять. Можно в комментарии, а можно через бота. 👉🏻 Задать вопрос #bugbounty #подкаст VK Security | Буст этому каналу

Петербург, снова к вам ⚡️⚡️ Год назад впервые привезли наш митап в северную столицу— говорили про AppSec, много общались и в итоге поняли: нам понравилось. Кажется, вам тоже :) Поэтому 29 сентября возвращаемся — уже с VK AI Security Nights’26. В этот раз всё вокруг AI × Security: как использовать AI в безопасности, как защищать сами AI-системы и что уже можно применять в работе прямо сейчас. Зовём всех, кто работает с AppSec, DevSecOps, AI Security, Bug Bounty и другими направлениями безопасности — и хочет оставаться на острие того, как AI меняет нашу индустрию. В программе — реальные кейсы, инструменты, эксперименты, рабочие решения и гипотезы, которые пережили встречу с реальностью. А ещё — дискуссия со спикерами, где можно будет задать вопросы и включиться в обсуждение. После докладов остаёмся на afterparty: музыка, общение и вечерний Петербург 🌃 Количество мест ограничено. Мероприятие будет только в офлайн-режиме. 👉 Регистрация А если едете на ZeroNights — считайте, что это наша pre-party перед конференцией 😎 Увидимся в Питере!

⚡MAX теперь удобнее исследовать через Burp Suite Подготовили плагин для Burp Suite, который позволяет полноценно работать с трафиком веб-версии MAX. С его помощью можно: 🔹 перехватывать и читать запросы; 🔹 изменять их; 🔹 отправлять повторно — всё в привычном workflow Burp Suite. Раньше при исследовании веб-версии MAX эта часть работы была ограничена. Теперь можно быстрее переходить непосредственно к анализу приложения и проверке гипотез. 🔗 Плагин #bugbounty #MAX

🧩 LLM генерирует Nuclei-шаблон. Что может пойти не так? В новом выпуске цикла «Технологии безопасности Big Tech» разбираем кейс автоматизации с LLM и Nuclei. LLM анализирует описание уязвимости и готовит данные для Nuclei-шаблона: метод запроса, путь, параметры, тело запроса и признаки успешной проверки. ⚠️ На выходе результат может выглядеть корректно, но содержать ошибку. Например, модель подменила один путь — вернула похожий на исходный, но несуществующий. Такую ошибку легко пропустить: шаблон соберётся, сканирование запустится, но запрос уйдёт по адресу, которого нет. Глеб Зиновьев, старший специалист по безопасности приложений, разбирает, как проверять вывод LLM перед запуском Nuclei-шаблона. В фокусе: — как привязывать каждый извлечённый факт к цитате из исходного описания; — где останавливать процесс, если контекста не хватает; — как контролировать качество после изменений в модели или логике пайплайна. И шире — как выстраивать проверку вывода LLM перед его использованием в автоматизации. 🍿 Смотреть новый выпуск VK Security | Буст этому каналу

⚡️Есть планы на 30 сентября? До ZeroNights остался месяц — хороший повод вспомнить, как это было в прошлом году. Тогда у VK было несколько зон: от пространства для общения и отдыха до продуктовой площадки, где можно было подробнее узнать о наших решениях, задать вопросы командам и обсудить реальные подходы к безопасности продуктов и инфраструктуры. В этом году VK снова поддерживает ZeroNights. Готовим новую программу с техническим контентом, экспертами и активностями вокруг практической ИБ. Часть деталей пока оставим за кадром, но точно будет что обсудить с теми, кто каждый день работает с AppSec, инфраструктурной безопасностью, AI Security и другими направлениями. Для багхантеров тоже будет своя точка притяжения: можно будет пообщаться, обсудить свежие кейсы, находки и подходы — с теми, кто действительно живёт Bug Bounty. Если будете на ZeroNights — ставьте 🔥 VK Security | Буст этому каналу #конференция

Новый выпуск подкаста «Спасибо за репорт» уже в VK Видео! В выпуске обсудили: ⚡ зачем багхантеру раскрывать свои отчёты и что это даёт сообществу; ⚡ как понять, какой репорт стоит публиковать и какие детали можно показывать; ⚡ почему чужие раскрытые отчёты могут становиться источником новых идей для собственного ресерча; ⚡ как выбирать, что делать дальше, если очевидные векторы уже закончились; ⚡ что помогает возвращаться к ресерчу после периодов без результативных находок. И, конечно, разбираем реальные кейсы: с чего начинался поиск, как развивались гипотезы по ходу исследования и что в итоге можно было раскрыть публично. 🍿 Смотреть выпуск 🔹 Отчёты, о которых говорим в выпуске, будут доступны уже на следующей неделе — добавим ссылки в этот пост и в описание под видео. Если после просмотра захочется что-то обсудить — оставляйте вопросы в комментариях 👇 VK Security | Буст этому каналу #bugbounty #подкаст@vk_security

🎙 Уже завтра — новый выпуск подкаста «Спасибо за репорт» В гостях — freeman. Поговорим о том, что обычно остаётся за пределами самого поиска уязвимости, — о раскрытии отчётов. Зачем публиковать свои репорты, что это даёт другим исследователям и как понять, какие детали вообще стоит выносить в паблик. А ещё разберём, как оценивать потенциал находки, докручивать её до более серьёзного сценария и выбирать, куда копать дальше. Ставьте 🔥, если ждёте выпуск! VK Security | Буст этому каналу #bugbounty #подкаст@vk_security

Всем привет! Недавно мы разбирали возможности VK Security Gate — AppSec-платформы, которая объединяет проверки кода, зависимостей и других компонентов разработки и встраивает их в привычный процесс работы с кодом. 🎥 Если пропустили обзор — можно начать с небольшого видео о платформе. Один из интересных вопросов внутри такой системы — не только как собрать результаты разных анализаторов, но и какие решения можно автоматизировать без потери качества триажа. 🔎 Например, при работе с CVE в Security Gate используется не только CVSS. В собственной оценке учитываются: ▫️ достижимость уязвимых методов из кода ▫️dev- или prod-контекст зависимости ▫️наличие и доступность эксплойта ▫️ зафиксированные случаи эксплуатации в реальной среде. При поиске секретов агент может автоматически отклонять часть ложноположительных срабатываний: на внутренних данных F1-мера выявления ложноположительных срабатываний составила 0,981. В SAST результат LLM не используется как финальный автоматический вердикт — модели может не хватать контекста, например конфигураций или журналов. То есть уровень автоматизации определяется не самим фактом наличия подключенной модели, а тем, достаточно ли у системы контекста, чтобы принимать решение без участия специалиста. 👉 Подробнее о приоритизации, LLM-триаже, кросс-веточном триаже, Fast Scanner, работе с malware и других механизмах Security Gate — в новой статье на Хабре.   👉 Читать статью VK Security | Буст этому каналу #appsec #VKSecurityGate

Ну что, до OFFZONE остался всего день 👀 Самое время отметить доклад, на который стоит заглянуть: 🎮 Пётр Уваров — «GGWP, или Конец ББ» Порассуждаем о том, правда ли багбаунти движется к своему «концу», посмотрим на происходящее с разных сторон — вендора, багхантера и стороннего наблюдателя — и попробуем понять, что ждёт багбаунти дальше. 📍 20 августа · 18:00–18:30 · AppSec.Zone Отмечайте нужный слот и приходите — будем рады увидеться, пообщаться и обсудить всё после доклада👋 VK Security | Буст этому каналу! #эксперты #доклады #bugbounty

Всем привет! 🔹В первой части рассказали, как «Эгида» помогает разбирать поток заявок на доступ и выделять те, которые требуют большего внимания. Но у модели не всегда есть идеальный набор данных и однозначный ответ. Иногда информации не хватает, признаки противоречат друг другу, а сама модель не уверена в прогнозе. И здесь важно не заставлять систему любой ценой выбирать между «всё хорошо» и «всё плохо». 🔹 Во второй части разбираем, как «Эгида» работает с такими ситуациями: почему отсутствие данных не считается негативным признаком, как система показывает противоречивые сигналы и что происходит с неуверенными прогнозами. Отдельно рассказываем, как проверяем модель уже после запуска: сравниваем прогнозируемый риск с реальными решениями специалистов и следим, чтобы одинаковый скор со временем сохранял одинаковый смысл. И ещё один важный принцип: объяснение оценки строится только на тех факторах, которые действительно есть в заявке. Если данных нет, модель не должна их додумывать. 🔹 При этом «Эгида» остаётся помощником, а не автоматическим согласователем. Она показывает риски и аргументы, но финальное решение принимает специалист — и именно его выбор передаётся в систему доступа. #разбор #IDM #автоматизация VK Security | Буст этому каналу

Сегодня расскажем, как мы упростили проверку заявок на доступ и какую часть этого процесса автоматизировали с помощью нового инструмента. Ежедневно на согласование специалистам ИБ поступает не менее 2 тысяч заявок — и это только в IDM. Чтобы оценить каждую, недостаточно знать, кто и какую роль запрашивает. Важно понять, для какой задачи нужен доступ, какие полномочия у человека уже есть и как они сочетаются с новой ролью. Раньше специалистам приходилось искать эту информацию вручную в нескольких системах. При большом потоке именно сбор недостающих данных занимал значительную часть времени. Так появилась «Эгида» — наш внутренний инструмент для оценки и ранжирования заявок на доступ. Она объединяет формальные признаки и анализ обоснования, рассчитывает оценку риска и показывает, какие факторы на неё повлияли. Благодаря этому специалист видит, какие заявки требуют повышенного внимания. В карточках разбираем, как устроена оценка и какой путь проходит заявка внутри системы. 🔹В следующей части расскажем, что происходит, если данных недостаточно, сигналы противоречат друг другу или модель не уверена в оценке. #разбор #IDM #автоматизация VK Security | Буст этому каналу

🔹 Как устроена безопасная разработка в масштабе Big Tech? Безопасная разработка в VK — большая тема, которую сложно уместить в один материал. Поэтому в ближайшие недели будем разбирать её с разных сторон: рассказывать о собственных инструментах, архитектурных решениях и опыте их внедрения. Начнём с одного из ключевых элементов нашей AppSec-экосистемы. Первый материал — видео о VK Security Gate. Это собственная платформа VK, которая автоматизирует проверки безопасности кода и встраивает их непосредственно в процесс разработки. Вместе с Анатолием Коваленко, руководителем отдела платформенной разработки и интеграции направления защиты приложений блока Безопасность VK, разбираем: 🔹как появилась VK Security Gate и какие требования легли в её основу; 🔹как платформа работает с SAST, SCA и поиском секретов; 🔹как устроены автоматическое подключение проектов и оркестрация анализаторов; 🔹как работают кросс-веточный триаж, дедупликация и устойчивый фингерпринт; 🔹как проверки встраиваются в разработку по принципу shift-left. 🍿 Смотреть видео VK Security | Буст этому каналу #appsec #VKSecurityGate

Новый выпуск подкаста «Спасибо за репорт» уже на нашем канале в VK Видео! В гостях — Анна Куренова, также известная как SavAnna. В выпуске обсудили: ⚡ как Анна пришла в багбаунти и что мотивирует её продолжать искать уязвимости; ⚡ что она делает, когда начинает работать с новым скоупом; ⚡ как коммуникация с вендором влияет на выбор программы; ⚡ почему иногда стоит отправить репорт, даже если не уверен, что найденное поведение — действительно баг; ⚡ насколько сложно начинать в багбаунти сейчас и как ИИ может повлиять на поиск уязвимостей и выплаты. Почему один из репортов оказался критичнее, чем предполагала Анна, и за какие информативы ей всё же заплатили — узнаете в новом выпуске. 🍿 Смотреть выпуск Если после просмотра у вас появятся вопросы, оставляйте их в комментариях 👇 VK Security | Буст этому каналу #bugbounty #подкаст@vk_security