AppSec Journey
رفتن به کانال در Telegram
👾 Дневники кибербеза. Ключевые темы: application security, devsecops, подходы к анализу приложений и что-нибудь еще. На некоммерческой основе. by @gazizovasg
نمایش بیشتر3 469
مشترکین
+324 ساعت
+57 روز
+3030 روز
آرشیو پست ها
3 469
Если ты тоже хочешь iPhone
Duo, набери🤙
Шучу, айфон я вам конечно не дам, но я чет только сегодня узнала что мои коллеги во главе с вообще любимой коллегой делают вебинар по WAF:) там обещают показать интересное, например, атаки на магазины, как защищаться от атак с помощью ИИ и обсудим таки уже IPhone в первые дни выхода 💅
3 469
OWASP зафиналили-таки Agentic Skills Top 10 - отдельный Тор 10 по рискам скиллов у агентов (удивительно😁)
Знаете, что в топе? malicious skills, supply chain, избыточные права, слабая изоляция и отсутствие управления💅
3 469
Дорожайшие, давно я не сидела на сцене с умным видом (шучу, недавно сидела).
Я помогала ребятам из Ozon собрать лучшее на трек ИБ e-code!
Вечером 13 числа буду с вами болтать и много веселиться по поводу всяких происходящих уязвимостей, радостей и гадостей. А вообще, трек будет 2 дня - 12 и 13 числа. Это честно разнос че за программа вышла! Регистрируемся и как бы поддерживаем спикеров, да)🙂↕️
3 469
Пошло дело, пошло!
Еще июне надо было написать, но да ладно. вот он,SCA для агентских skills. Только от обычного sca тут уже маловато.)))
Господа проверили публичный реестр skills и нашли 2 490 пакетов с потенциальными многошаговыми цепочками атак. Это 5% всего исследованного реестра. Основные сценарии знакомые: прочитать креды и отправить наружу либо сначала перехватить логику агента, а потом уже что-нибудь украсть.
Но есть интересная деталь. Поведение скилла же у нас определяется не только исполняемым кодом, но и инструкциями на естественном языке внутри мд-файла. Поэтому исследователи сравнивали сразу три слоя: metadata, код и текстовые инструкции - хитро (нет).
Классический сканер зависимостей на последнем слое, скорее всего, просто нифига вам не покажет.
Это вроде и supply chain, и prompt injection, и контроль полномочий агента одновременно. В какой конкретный продуктовый класс такую хреноту относить, пока не очень ясно.
Справедливости ради, найденные скиллы не прям все 2,5К вредоносы. Но сам вопрос уже никуда не денется: где у компании реестр установленных скиллов, кто проверяет заявленные капабилтти и почему агент вообще получает доступ ко всему, что плохо лежит
3 469
Короче, мем.
Вин в номинации что признать самой смешной защитой от prompt injection: обязать атакующего перейти на бумагу.
В Коннектикуте участник судебного процесса спрятал в документах инструкции для ИИ. Текст был набран мелким белым шрифтом: человек его не видит, а система, которая извлекает текст из документа, вполне себе читает. Внутри лежала команда согласиться с позицией автора и помочь отменить предыдущее решение суда.
Атака не сработала, потому что суд вообще не использует ИИ для анализа таких документов. Инъекцию заметил обычный человек по странным пустым местам на странице.
Но судья справедливо решил, что это не особо меняет дело. Документ мог попасть в AI-инструмент адвоката, помощника или другой стороны процесса. Поэтому автора лишили права подавать документы электронно: теперь только распечатка и личная подача.
Пока строят классификаторы и document sanitization, парни просто юзают аналоговый LLM firewall. Бумага.
3 469
Мои зайки, я к вам с делом и просьбой. Мне и моей дорогой коллеге очень нужен человек, кто сможет с нами экспертно и долго поболтать про WAFы. Во всех-всех-всех аспектах:)
Напишите админу в личку, а?😘
3 469
+2
Помните эти? Одни из моих любимых
#мемнаясреда просто напоминает, что старое хорошее лучше нового плохого 🤫
3 469
Repost from Ever Secure
Чот нахлынула ностальгия...
Мало кто знает, но первый подкаст Ever Secure был в коллабе с @AppSecJourney выглядел именно так 😏
Еще меньше людей, кто знает про что он был 😅
В прод он конечно же никогда не выйдет 😅
👀@ever_secure | 💪 Обучение | 💳Поддержать
3 469
С зависимостями обычными, транзитивными и родными мы ещё не закончили, а уже обзавелись новыми: skills для AI coding agents.
Товарищи из Trail of Bits проверили, насколько хорошо security scanners умеют их анализировать. Защиту ClawHub исследователи обошли гениально просто: вставили перед вредоносным кодом 100 000 переводов строки, сканер обрезал вход и до payload не добрался.
В другом эксперименте они сделали безобидный skill для форматирования текста и спрятали сбор environment variables в скомпрометированном .pyc. Вердикт проверки: SAFE.
И вот что мне здесь нравится: skill уже не совсем «код» и не совсем «prompt». Он может содержать инструкции, скрипты и бинарные артефакты, а выполняет всё это агент с доступом к shell, файлам и сети.
Короче, новый supply chain уже приехал, а SBOM пока даже не считает его зависимостью 🙂
3 469
У Anthropic вышел совершенно прекрасный security postmortem: во время CTF-тестов Claude получил доступ в интернет, хотя по условиям эксперимента был уверен, что интернета у него нет.
Модель честно решила, что всё, до чего она может дотянуться, является частью полигона, и в итоге получила несанкционированный доступ к инфраструктуре трёх реальных компаний.
Но мой любимый эпизод другой - в одном из заданий Claude обнаружил несуществующую Python-зависимость и самостоятельно придумал классическую dependency confusion атаку. Он зарегистрировал аккаунт, собрал вредоносный пакет и опубликовал его в настоящий PyPI.
За примерно час пакет успели запустить 15 реальных систем, включая malware-сканер одной security-компании; код украл его credentials, после чего Claude использовал их для дальнейшего доступа в инфраструктуру😀
3 469
Если честно, последние пару месяцев один из моих главных мемов - это то, что агент обиделся и люто заосинтил чувака, а потом еще и написал про него пост, обзывая его "небезопасным"
