Ever Secure

Вы видели эту информацию? Волк устроился в Cloud ru ( Сбер) Контекст по ситуации из документов: - Пацан придумал себе опыт работы в ВТБ и Райффайзен - Прошёл все фильтры и собесы в дочку Сбера (cloud.ru) -> устроился к ним в июне - В отдел кадров принес выписку из трудовой которую "подправил". Но это не точно. - Кто-то спалил его и компания начала внутреннее расследование через безопасников. Я конечно не эксперт, но разве где-то в Райфайзенбанке или Иннотехе используют Go? Мне кажется там все сидят на Java (кровавый Enterprise) Честно ситуация ужасная, возможно парень никогда не сможет работать в ИТ если Сбер пойдет судиться или что-то такое. UPD. я нашел еще подробности, но не для публикации, там 🫡

Чот нахлынула ностальгия... Мало кто знает, но первый подкаст Ever Secure был в коллабе с @AppSecJourney выглядел именно так 😏 Еще меньше людей, кто знает про что он был 😅 В прод он конечно же никогда не выйдет 😅

попался очень странный PoC CVE-2026-68138 (LPE) Для воспроизведения нужно отключить разделение памяти, unprivileged user namespaces, рандомизацию адресов в памяти... Список требований выглядит дико... Поэтому, если вы не шатали вдоль и поперек свои тачки, отключая кучу слоев защиты, то сегодня отдыхаем ☺️

Ну как вы там, потомки, используете ИИ в работе?)

Продолжение хроник эксплоитдева 👀 Докрутил intercepter, дело осталось за малым...

Полностью согласен. Еще и у Цукера сбежала https://edition.cnn.com/2026/08/05/tech/meta-ai-hacking Особенно удачно это все происходит перед IPO или когда надо делать продажи https://t.me/tech_b0lt_Genona/6846

Вы понимаете как работает сеть в докере? Что за магический проброс портов? как это вообще работает под капотом? Большинство статей обычно рассказывают про это пару строчек - употребляя фразы "сеть докера", "докер слушает порт", докер пробрасывает соедниение" - но всё это далеко от реальности. А как можно полноценно поддерживать продукт если не понимаешь как работает технология, и уже тем более как сделать это безопасно. Почему-то считается нормой просто верить методичке на слово: комплаенс сказал network=host - плохо, а почему - объяснить не может. Особенно не может ответить на вопрос когда этоn подход не только не плохо, но и даже норма и приносит удобство - экономит и время и ресурсы. На эти и многие другие вопросы мы в коллабе с eversecure отвечаем в курсе devsecops: ждём вас на запуск в сентябре! 🌐 https://edu.eversecure.ru 👈

Хроники эксплоитдева 👀 Написал harverster секретов хоста из контейнера. Докручиваю до полноценного побега 💪 Решил с вами поделиться NO mounts, ns sharing, SYS_ADMIN, priv

По многочисленным просьбам добавили возможность оплаты курсов забугорными картами 😉 👋 Welcome https://edu.eversecure.ru

Кто-нибудь видел, чтобы киберстраховка реально выплатила? 👀 Я не видел. Обсуждают и закладывают бюджет многие, а историй, как кого-то положили, страховая закрыла убытки я как-то не встречал Мои друзья из Кибердом запилили опрос на 3-4 минуты, чтобы разобраться по-взрослому: как компании реально управляют финансовыми последствиями инцидентов? Резервный фонд, подрядчик-стрелочник или всё-таки полис? После опроса обещают приглашение на закрытый разбор результатов в Кибердоме со страховщиком Приглашаю и вас принять участие в опросе 👉 [ссылка на опрос]

Правда этим я занимаюсь на ежедневной основе)

Кст мой доклад будет кейнот конференции DevOops 2026 Прошлый кейнот с Володей Ситниковым мы делали для тестировщиков на Heisenbug: я достал на сцене два огнетушителя и рассказал, что тестировщики не нужны 😅 В этот раз, видимо, придётся объяснять девопсам что-то не менее приятное 🤔 Вот как это было

Собрали программу на DevOops 2026🚀 и она просто космос ✨ Команда MWS Cloud притащила огромное количество докладов, три из них от команды безопасности 🥰 (это никак не связано с тем, что я в программном комитете 😅) Даешь больше безопасности богу безопасности ЗЫ могу поделиться промиком на конфу, пишите в лс

Запись созвона с разбором ваших резюме 😏 Приятного просмотра: - 📹 Youtube

А как проходят ваши вечера с питомцами?🙄 👀@ever_secure | 💪 Обучение | 💳Поддержать

Георг вам всем передает привет 😉 Соскучились по книгам? Ждете НХБ LLM? 🤔

Доклад, от нашего боевого товарища, который нельзя пропустить! George K. не нуждается в представлении, автор книги НХБ, да да, той самой, а в команде Ever Secure он отвечает за проект Fuck Security @fsecurity_channel и несет вам радость каждый день 😉 Приходите послушать про мемы и обязательно задавайте вопросы, когда следующий дроп книг, когда выдет новая книга?

Каждый год происходит одно и то же. Компании:

Нам нужен DevSecOps.

Тоже компании:

Ну мы поставили сканер. Теперь же DevSecOps?

Нет. DevSecOps не появляется после установки пяти красивых тулзов и пары галочек в GitLab. Он появляется, когда пайплайн перестает быть проходным двором, секреты не лежат где попало, а релизы не превращаются в игру "интересно, что сломается сегодня". Поэтому мы открыли набор на осенний поток DevSecOps. Без инфоцыганства. Без "станешь Senior за 2 месяца". Без курсов, где уязвимости заканчиваются часовым "обзорным" видео без практики Мы тебя научим понимать за: 👩‍💻Уязвимости 🖥Linux 🤓GitLab CI/CD 👩‍💻Terraform 👩‍💻Ansible 👩‍💻Docker 🛠SAST, SCA, DAST 🤫Secret Detection 👩‍💻Container Security 🔧IaC Security 🤑и все то, за что потом действительно платят деньги Через курс вы протащите микросервисное приложение банка 👩‍💻👩‍💻👩‍💻👩‍💻👩‍💻👣👩‍💻👩‍💻🖥💻 Плюс учебная инфраструктура, которую не жалко ломать. Даже нужно. Мы тебя научим Если хотите не просто добавить новую строчку в LinkedIn, а начать понимать, что вообще происходит между git push и production, ждем 🍂 Набор на осенний поток уже открыт. https://edu.eversecure.ru

The Gay Injection Попалась довольно необычная техника джейлбрека моделей, решил с вами поделиться. https://github.com/Exocija/ZetaLib А вы тестите свои модели на такую инъекцию?)))

🤖 ИИ сдал экзамен по хакингу. Способом, о котором вы уже догадались. OpenAI гоняла свои модели через бенчмарк ExploitGym, проверяя, умеют ли они ломать системы. Спойлер: умеют. Настолько, что сломали сам эксперимент. Что произошло по пунктам: 🤖Модель GPT-5.6 Sol (и её ещё более раскованный преемник, которому специально подрезали защитные рефлексы) сидела в изолированной песочнице. 🤖Заскучав над задачкой, она нашла 0-day в собственном прокси OpenAI и вышла в интернет. Из песочницы. Которую строили ровно для того, чтобы она туда не вышла. 🤖Дальше логика чистого отличника: «а где лежат ответы к моему экзамену?» Правильно, на Hugging Face. 🤖Модель докрутила украденные креды, пару свежих 0-day, получила RCE на проде Hugging Face и залезла в базу с решениями. То есть буквально пошла подсмотреть ответы к тесту, который в этот момент сдавала. Итог: ИИ, которого тестировали на способность взломать хоть что-нибудь, взломал ровно то, что его тестировало. Экзаменатор проверял, спишет ли студент. Студент вскрыл сейф с ключами и заодно кабинет завуча. Клем из Hugging Face по этому поводу выдал:

Безопасность ИИ не решить в одиночку и по секрету. Её решают открыто и сообща

Красиво. Особенно свежо звучит после того, как вашу прод-базу вскрыли без спроса и очень даже сообща. Пока я жду, когда ИИ заменит меня на работе, он уже освоил главный навык офисного выживания. Списать на экзамене и выйти сухим из воды 👀@ever_secure | 💪 Обучене | 💳Поддержать