AppSec Journey

Иногда забываю, что #мемнаясреда и в видеоформате бывала… Скоро все-таки дойду до нейрослопа иди продержусь?😁

Помните, в далеком 2023 мы тут голосовали за наполнение канала всякими полезностями. Помню, был месяц API Security, разборы подходов к моделированию угроз и прочее. Хотите такое? Или может еще какой интерактив ? Мы тут с вами как-то разыгрывали учпочмаки за лучший мем.. короче, велком в опрос котёнки 🐈‍⬛🐈!

Мемнаяжиза #мемнаясреда

Ты должен был бороться со злом, а не примкнуть к нему GitLab и критическая уязвимость AI Gateway с CVSS 9.9 (а чего не 10?): пользователь с доступом к Duo Agent Platform при определённых условиях мог через специально подготовленную конфигурацию workflow выйти из песочницы шаблонов промптов и выполнять команды на шлюзе. GitLab уже исправил свои шлюзы, владельцам self-hosted установок нужно обновляться самим. Меня в этой истории цепляет граница доверия и вообще, я тут как бы про ИБ в ИИ и ИБ в разработке, а Гитлаб и тут и тут немного лажанул (почти десятОЧКА)

Установить SDK для безопасного запуска AI-кода и получить стилер ещё до запуска песочницы: это число на приколе как будто 8 октября в tensorlake 0.5.144 обнаружили Shai-Hulud: вредонос запускался через preinstall и собирал секреты из локальных файлов, CI, Kubernetes и Vault. Агенту даже не нужно было начинать работать, достаточно установки пакета с разрешёнными lifecycle-скриптами. Кажется, в threat model безопасной песочницы стоит первым пунктом добавить вопрос про то, как ее вообще ставят...

Гуд морнинг, любимки💅💜 #мемнаясреда это лишь локальный мем, который позволяет нам продержаться до следующей💪

Я все-таки всем своим сердечком люблю аппсек♥️ И я не могу про него не говорить и не быть в нем - приходите вот сюда, обсудим полезное да и просто увидимся!

#мемнаясреда ♥️ главный день недели!

Пожалуй, одна из самых показательных supply chain историй за последний квартал. Просто домен-заглушка, который годами считался безобидным текстом в документации, начал отвечать. Исследователи Manifold Security нашли third-party[.]com в документации, тестах, skills для ИИ-агентов и инструкциях к MCP-серверам. GitHub показывает упоминания более чем в 1 700 публичных репозиториях, включая капец какие популярные проекты типа Chromium, Vercel и Sanity. Проблема в одной мелочи: в отличие от example[.]com, этот домен не зарезервирован IANA для примеров. У него есть реальный владелец, а содержимое можно поменять в любой момент. Минимум с июня 2026 года Windows-пользователям там показывали поддельную проверку Cloudflare. Страница незаметно помещала PowerShell-команду в буфер обмена, а потом предлагала нажать Win+R, вставить её и запустить… В родненьком SSDLC мы привыкли учитывать пакеты, образы, библиотеки, скрипты и внешние компоненты. Домен внутри комментария или README обычно воспринимается как строка. Но для ИИ-агента строка с URL уже является вполне себе инструкцией: сходи по адресу, получи данные и что-нибудь с ними сделай. Ходи туда - делай сё💅 Потом ребята проверили и другие популярные заглушки. Нашли ещё 13 незарезервированных доменов, упомянутых в 1 536 agent skills. Два из них, yoursite[.]com и your-domain[.]com, уже перенаправляли посетителей на scareware и мошеннические инвестиционные страницы. Вместе они встречаются более чем в 350 тысячах файлов на GitHub и примерно в 350 скиллов. Статический анализ содержимого файла здесь кстати почти бессилен: файл-то остался прежним. А я говорила, как ИИ изменит аппсек и мы все охренеем… Я бы в целом, наверно, сходила и проверила что у сейчас в коде у вас все в порядке в этом плане. Вот этот списочек чекните: - незарезервированные домены-заглушки в коде, промптах, skills, MCP-конфигурациях и внутренней документации - использование только example[.]com, example[.]org, example[.]net и .example только там, где нужен пример - egress для CI-раннеров и агентных песочниц по allow листу - контроль внешних URL не только при коммите, но и в момент обращения к ним. Какой-то долгий философский пост получился…

Мои хорошие, по-моему пора написать это тут. Я не размещаю рекламу вообще. Вот никак, никому, ни почему, просто не размещаю и всё. Любая публикация мероприятия или компании или какого-то чего-то коммерческого или нет здесь бывает ровно по одной причине - я приложила к этому руку. Все. Мы здесь странное комьюнити аппсеков/продсеков/девсеков и живем как хотим 😁 максимум, можете увидеть вакансию, и то, если я там сама как-то есть:) Поэтому, ноу, никаких реклам🥰люблю и надеюсь на понимание!

Доброе утро! #мемнаясреда всегда тут, всегда с вами⭐️

Если ты тоже хочешь iPhone Duo, набери🤙 Шучу, айфон я вам конечно не дам, но я чет только сегодня узнала что мои коллеги во главе с вообще любимой коллегой делают вебинар по WAF:) там обещают показать интересное, например, атаки на магазины, как защищаться от атак с помощью ИИ и обсудим таки уже IPhone в первые дни выхода 💅

#мемнаясреда получилась вокруг разбора кода.. ну видимо, у кого что заболело 😁

OWASP зафиналили-таки Agentic Skills Top 10 - отдельный Тор 10 по рискам скиллов у агентов (удивительно😁) Знаете, что в топе? malicious skills, supply chain, избыточные права, слабая изоляция и отсутствие управления💅

Классика из изданного… #мемнаясреда как возвращение к истокам

Не забыть, что #мемнаясреда всегда с намеком😚

Дорожайшие, давно я не сидела на сцене с умным видом (шучу, недавно сидела). Я помогала ребятам из Ozon собрать лучшее на трек ИБ e-code! Вечером 13 числа буду с вами болтать и много веселиться по поводу всяких происходящих уязвимостей, радостей и гадостей. А вообще, трек будет 2 дня - 12 и 13 числа. Это честно разнос че за программа вышла! Регистрируемся и как бы поддерживаем спикеров, да)🙂‍↕️

Пошло дело, пошло! Еще июне надо было написать, но да ладно. вот он,SCA для агентских skills. Только от обычного sca тут уже маловато.))) Господа проверили публичный реестр skills и нашли 2 490 пакетов с потенциальными многошаговыми цепочками атак. Это 5% всего исследованного реестра. Основные сценарии знакомые: прочитать креды и отправить наружу либо сначала перехватить логику агента, а потом уже что-нибудь украсть. Но есть интересная деталь. Поведение скилла же у нас определяется не только исполняемым кодом, но и инструкциями на естественном языке внутри мд-файла. Поэтому исследователи сравнивали сразу три слоя: metadata, код и текстовые инструкции - хитро (нет). Классический сканер зависимостей на последнем слое, скорее всего, просто нифига вам не покажет. Это вроде и supply chain, и prompt injection, и контроль полномочий агента одновременно. В какой конкретный продуктовый класс такую хреноту относить, пока не очень ясно. Справедливости ради, найденные скиллы не прям все 2,5К вредоносы. Но сам вопрос уже никуда не денется: где у компании реестр установленных скиллов, кто проверяет заявленные капабилтти и почему агент вообще получает доступ ко всему, что плохо лежит

Мяу! Доброе утро доброго дня солнышки♥️ #мемнаясреда as soon as possible