SecureTechTalks

📡 Rayhunter: карманный сенсор телефонных вышек Вам звонит друг. Вы выходите на улицу, держите телефон в руках, всё как обычно. Но вдруг ваш смартфон подхватывает сигнал, который на самом деле не от привычной базовой станции оператора, а от поддельной вышки. Телефон доверчиво делится с ней своим уникальным идентификатором IMSI. А где-то неподалёку злоумышленник получает доступ к информации о ваших звонках, перемещениях и, возможно, переписке.  Так работают IMSI-ловушки, которые маскируются под мобильные вышки. Их используют спецслужбы, киберпреступники и частные структуры. Самое опасное, что жертва почти никогда не замечает подвоха.  И вот пригодится Rayhunter - свежий проект от Electronic Frontier Foundation (EFF). Это инструмент, который превращает обычный мобильный хотспот в сенсор фальшивых вышек. 👉 🎯 Идея Rayhunter Вместо сложных SDR-приёмников за тысячи долларов Rayhunter использует доступные устройства вроде Orbic RC400L. Подключаете, запускаете утилиту — и она начинает анализировать телеком-сигналы.  Цель простая: понять, не играет ли кто-то рядом в «оператора связи».  Rayhunter написан на Rust, языке, который ассоциируется с безопасностью и надёжностью. Утилита оптимизирована, чтобы собирать и обрабатывать сигналы без лишних рисков.  🔦 Что он показывает? Rayhunter фиксирует аномалии в поведении сети:  📶 слишком «близкие» базовые станции с подозрительно сильным сигналом  🆔 идентификаторы, не совпадающие с ожидаемыми для оператора в регионе  🔄 частые перебросы между вышками без понятной причины  🚨 конфигурации, характерные для IMSI-ловушек  Когда что-то не так вы сразу видите это в логах. ⚠️ Где подвох? Rayhunter не даёт 100% доказательств, что рядом именно IMSI-ловушка. Иногда сигнал может быть странным из-за ошибок конфигурации сети. Но в том-то и сила, он поднимает тревогу там, где обычно никто не заметил бы подвоха.  Главный минус - поддержка устройств. Пока гарантированно работает только Orbic RC400L, остальное зависит от энтузиастов и сообщества.  🚀 Безопасность каждого IMSI-ловушки долго были чем-то вроде городских легенд: «говорят, в столице такие ставят». Теперь у нас появляется реальный инструмент, чтобы проверять, а не верить слухам.  EFF сделали шаг в сторону демократизации мобильной безопасности: теперь любой человек с недорогим устройством может заметить, что за ним пытаются следить.  🔗 GitHub проекта: EFForg/rayhunter Stay secure and read SecureTechTalks 📚  #Rayhunter #EFF #IMSIcatcher #CellSiteSimulator #Privacy #OpSec #Rust #SecureTechTalks #MobileSecurity #CyberSec

🕶️🤫 VaultGemma LLM от Google, которая учится молчать.🔒 Google выпустил VaultGemma — модель, которую воспитывали не только на грамотных ответах, но и на строгой приватности. Идея простая: дать организациям LLM, которая обрабатывает чувствительные данные и при этом не «выдаёт» их назад. Что под капотом, какие компромиссы и как это использовать в реальной жизни — разберём по полочкам. 🧩 Простыми словами 🧠 VaultGemma - это компактная LLM (около 1B параметров), обученная с применением дифференциальной приватности (DP). Это математический подход, в котором при обучении в данные добавляют контролируемый шум, чтобы исключить возможность восстановить отдельную запись из модели. 🔬 Google подчёркивает, что модель строилась с формальной верификацией приватности, то есть не «на словах», а с измеримыми гарантиями. Кто нуждается в так моделях? 🏥 Медицинские сервисы, банки и госструктуры: те, кому нужна мощь LLM, но нельзя рисковать утечкой PII или секретных записей. ⚖️ VaultGemma даёт вариант использовать LLM внутри организации для анализа конфиденциальных данных - с гораздо меньшим шансом, что модель «запомнит» и выдаст что-то приватное. Какие реальные ограничения и компромиссы ждать ⚖️ Приватность против полезности — шум, который добавляют ради DP, снижает точность. Для многих задач модель остаётся «достаточно хорошей», но в тонких сценариях полезность может падать. 🧮 Снижение эффективности обучения - DP требует больших батчей, больше эпох и больше вычислений. Производство и обучение — дороже и медленнее. ⏱️ Latency и отклик - в некоторых приложениях скорость ответа становится критичной; DP-режимы могут увеличить задержки. 🔍 Это не панацея - DP даёт формальные гарантии, но при неправильной настройке параметров (epsilon, др.) или при агрессивной постобработке ответы всё равно могут «прослыть». Все познаётся в сравнении 📊 По бенчмаркам модель уступает «традиционным» LLM без DP, но отставание невелико; в задачах вопрос-ответ, суммаризации и базовой аналитике VaultGemma показывает адекватный результат. 🧾 Google публикует инструменты и скрипты для верификации приватности — это ключевой момент: сообщество может проверить, а не слепо верить. ✅ Как использовать, практические советы 🔐 Не полагаться только на DP: комбинируйте VaultGemma с контролем доступа, аудитом запросов и токенизацией секретов. 🧪 Тестируйте модель на реальных сценариях — не абстрактных датасетах. Оцените, где полезность падает ниже приемлемого уровня. 🧾 Проводите внешнюю верификацию параметров приватности и публикуйте отчёты для регуляторов и партнёров. 🛡 Рассмотрите гибриды: VaultGemma on-prem + secure enclaves / MPC для особо чувствительных операций. Коротко о рисках, которые не исчезли 🕵️‍♂️ DP защищает обучение, но не решение проблем неправильной конфигурации доступа к модели. 🔗 Сведение сведений (linkage) остаётся опасностью: если модель используется вместе с другими источниками, атака на перекрёстные данные всё ещё возможна. ♻️ Параметры приватности - это настройка. Неправильный выбор делает «приватность» номинальной. 🔗 Источник и подробности Stay secure and read SecureTechTalks 📚 #VaultGemma #DifferentialPrivacy #PrivacyByDesign #LLM #AIsecurity #HealthTech #FinTech #SecureTechTalks #DataProtection #GoogleResearch

🛡️ Arkime - масштабируемая система захвата и анализа сетевого трафика Arkime - open-source инструмент для тех, кто хочет видеть всё, что происходит в сети. Не просто логи, а полный захват пакетов (PCAP), индексация, удобный интерфейс. 🚨 🔍 Что такое Arkime Arkime (ранее назывался Moloch) — это бесплатное ПО для: ✨ захвата сетевого трафика в “сырую” (PCAP) форму, ✨ индексирования метаданных, ✨ хранения, ✨ предоставления веб-интерфейса для анализа. Главная идея: полный контроль над данными и гибкость без затрат на дорогие коммерческие решения. 🧩 Основные компоненты Продукт состоит из нескольких ключевых элементов: ⚡ capture - написан на C, отвечает за мониторинг трафика, сохранение PCAP и отправку метаданных в Elasticsearch / OpenSearch. 🌐 viewer - приложение на Node.js с веб-интерфейсом: поиск, фильтрация, экспорт пакетов и сессий. 📊 Elasticsearch / OpenSearch - система хранения и поиска, которая позволяет находить нужные сессии мгновенно. Дополнительно есть расширения: 🧠 cont3xt - добавляет разведданные и контекст к трафику. 🔒 esProxy - усиливает безопасность соединений. 🗂️ Parliament - позволяет управлять несколькими кластерами Arkime. 🕵️ wiseService - интеграция threat intelligence в метаданные сессий. 🚀 Преимущества Arkime Вот основные фичи: 📦 Полный захват пакетов (Full Packet Capture) У вас есть не только заголовки, а весь трафик. Можно расследовать атаки постфактум, восстанавливать картину инцидента и находить скрытые угрозы. 📈 Масштабируемость Поддержка работы с десятками гигабит/сек при правильной инфраструктуре. Метаданные и PCAP можно хранить раздельно и наращивать по мере необходимости. 💾 Гибкость хранения PCAP-файлы хранятся на сенсорах, а метаданные в Elasticsearch/OpenSearch. Ретенция настраивается под задачи: от недель до месяцев и лет. 🖥️ Удобный веб-интерфейс и API Красивый интерфейс для поиска и анализа, возможность экспорта данных и автоматизации через API. 🔐 Безопасность HTTPS, аутентификация, контроль доступа, прокси-прослойки и гибкая настройка прав пользователей. ⚠️ Подводные камни Несмотря на все плюсы, Arkime имеет нюансы: 💽 Большой объём хранения — PCAP быстро “съедает” диски. 🖲️ Высокая нагрузка — нужны мощные CPU, быстрые диски и широкие каналы. 🧩 Сложность управления — крупные кластеры требуют продуманной архитектуры. 🕵️ Конфиденциальность — хранение “всего трафика” может нарушать законы о защите данных. 🏁 Вывод Arkime — это инструмент, который выводит мониторинг сети на новый уровень. Он позволяет не просто видеть события, а разбирать их до мельчайших деталей. В условиях роста киберугроз это настоящая “машина времени” для расследований. 🔗 Ссылка на GitHub Stay secure and read SecureTechTalks 📚 #Arkime #FullPacketCapture #NetworkForensics #ThreatHunting #SOC #Кибербезопасность #АнализТрафика #ИнцидентРеспонс #SecureTechTalks #CyberDetective

🔥 Cursor IDE: как вскрылись silent-атаки в AI-редакторе Cursor — редактор кода с AI-функциями, который должен облегчить жизнь разработчикам. Однако расследование исследователей показало: за удобством скрываются дыры в безопасности, позволяющие исполнять чужой код просто при открытии проекта. ⚠️ Проблемы безопасности? 🔓 Исследователи из Tenable и Check Point Research нашли две серьёзные уязвимости в Cursor: CurXecute (CVE-2025-54135) и MCPoison (CVE-2025-54136). 🕵️‍♂️ Кроме того, выяснилось, что Cursor позволяет автозапуск задач из .vscode/tasks.json при открытии папки — без предупреждения. 🚨 По умолчанию отключён Workspace Trust, что только усиливает риск. 🔍 Как устроены CurXecute и MCPoison CurXecute 🧩 Использует протокол MCP (Model Context Protocol). Злоумышленник внедряет конфигурацию (~/.cursor/mcp.json) с якобы безопасной задачей. 🕳️ Позже задача модифицируется — и уже выполняет вредоносный код автоматически. MCPoison ☠️ Опасность в том, что доверие к MCP конфигурации устанавливается один раз. 🔁 После этого изменения уже не требуют подтверждения, а значит, любая модификация превращается в постоянное RCE. 📂 Новая угроза - автозапуск задач 📂 При открытии репозитория Cursor запускает задачи с runOn: "folderOpen" из .vscode/tasks.json. ⚡ Такие задачи могут: запускать скрипты, скачивать вредоносный код, менять файлы. ❌ Никакого запроса подтверждения пользователю не показывается. 🛠 Что же делать? ✅ Уязвимости CurXecute и MCPoison закрыты в версиях Cursor начиная с 1.3.9 и 1.3. 🛡️ Чтобы снизить риски: Включите Workspace Trust. Проверяйте содержимое .vscode/tasks.json. Работайте с подозрительными репозиториями в контейнерах или VM. 🔮 Коротко о главном 🔑 Разработчики часто хранят в среде ключи, API-токены и доступы. Злоумышленник, получивший RCE, может вытащить всё это. 🏢 В корпоративной среде такая атака может привести к компрометации CI/CD и облачных ресурсов. 👨‍💻 Даже для индивидуального разработчика риски велики — особенно если он использует Cursor с настройками по умолчанию. 🔗 Источники: Tenable — CVE-2025-54135 и CVE-2025-54136 (ссылка) Oasis Security — про autorun задач (ссылка) Check Point Research — подробности MCPoison (ссылка) Stay secure and read SecureTechTalks 📚 #Cursor #CurXecute #MCPoison #CodeEditor #SecurityFlaw #RemoteCodeExecution #DeveloperTools #SecureTechTalks

🕵️ «Мессенджер без маски»: что скрывает APK «Макса»  Появление нового мессенджера «Макс» сопровождалось волной обсуждений: удобный интерфейс, обещания безопасности и амбициозные планы. Но вскоре в IT-сообществе зазвучал главный вопрос: что происходит под капотом?  Исследователи не ограничились словами и вскрыли APK-файл приложения. Результаты оказались неоднозначными.  🔍 Первые странности Сразу после установки «Макс» ведёт себя вполне предсказуемо: запрос номера, подтверждение кода, вход. Но буквально через секунды он начинает активно стучаться за правами доступа:  - 📇 контакты — и не один раз, а несколько подряд;  🎤 запись аудио во время звонков;  📷 камера, экран и… запись экрана, даже если пользователь нигде не видел функции «Screen Recording».  Для мессенджера часть этих запросов объяснима. Но избыточность и скрытые возможности — тревожный сигнал.  🛠 Глубже в AndroidManifest В AndroidManifest.xml, сердце любого Android-приложения, проявились детали, которые обычному пользователю не видны.  ➖Чтение контактов и доступ к камере можно объединить, чтобы связать людей и их изображения.  ➖Микрофон и запись экрана дают теоретическую возможность фиксировать всё, что происходит перед глазами и ушами пользователя.  ➖В манифесте нет ограничений на запуск некоторых функций: они пока «спят», но могут быть активированы будущими обновлениями.  Это не прямое доказательство злого умысла, но расширяет поверхность атаки и вызывает вопросы о прозрачности разработки.  ⚖️ Между «так делают все» и «так делать нельзя»  Запрос широких разрешений обычная практика для многих приложений. Но в случае с мессенджером, который претендует на статус «защищённого», ожидания выше.  Повторные запросы контактов выглядят как баг. Запись экрана - как минимум избыточная мера. А вместе они создают картину, в которой пользователю остаётся только догадываться зачем всё это действительно нужно? 🎯 Вывод для пользователей Пока что «Макс» балансирует на грани доверия. Он работает как мессенджер, но внутри несёт набор прав, которые при неблагоприятных условиях могут обернуться проблемами.  Совет очевиден:  - ограничивайте разрешения вручную;  - следите за обновлениями и их описанием;  - используйте альтернативы для общения, где важна приватность.  Stay secure and read SecureTechTalks 📚  #Макс #AndroidSecurity #Privacy #CyberSecurity #Мессенджеры #SecureTechTalks

🐍💻 «313 000 попыток взлома!» Как хакеры ломятся в хонипот Cowrie Сырые журналы атак - это золото для исследователей. Но золото грязное: сотни тысяч строк, команды, IP-адреса, таймстемпы. Попробуй-ка вручную понять, что из этого реальная угроза, а что просто шум. Недавнее исследование Towards Log Analysis with AI Agents: Cowrie Case Study показало, как можно автоматизировать такой анализ, чтобы SOC-команда получала не кашу из логов, а структурированную картину происходящего. 🕵️ О чём речь? Cowrie - это SSH/Telnet-хонипот, который имитирует сервер и собирает действия злоумышленников. Сырые JSON-логи хранят всё: от ввода wget и curl до попыток удалить файлы. Но проблема в том, что таких событий сотни тысяч в день. Учёные собрали движок, который: ⚡ превращает разрозненные события в сессии атакующего (с IP и последовательностью команд) ⚡ анализирует их по правилам (например, если встречается wget - это уже признак загрузки малвари) ⚡ классифицирует каждую сессию: разведка, внедрение вредоноса, чистка следов ⚡ оценивает уровень «навыка» атакующего: скрипт-кидди, автоматический бот или что-то посерьёзнее ⚙️ Механика 🗂️ На вход подаётся весь массив Cowrie-логов 📊 pandas превращает их в аккуратный DataFrame 🕹️ Далее включается правило-ориентированный анализатор, который проходит команды сессии и отмечает подозрительные действия 📈 На выходе - CSV-отчёты, HTML-страницы и даже визуализации: графики по видам атак и «скилл-уровням» атакующих 📊 Результаты анализа 313 000 событий 🔎 Выделено 26 368 уникальных атакующих сессий ⌨️ Большинство атак - это поверхностные пробы: 1-2 команды и отключение 💣 Второе место - массовое развёртывание малвари, чаще всего криптомайнеров или DDoS-ботов 🤖 Почти весь трафик - это автоматизированные атаки «низкого» или «среднего» уровня. То есть в ловушку в основном попадают не APT-группы, а боты и скрипт-кидди 🔮 Что дальше? Авторы планируют подключить LLM (например, через LangChain) и интегрировать внешние источники (AbuseIPDB, VirusTotal), чтобы система автоматически обогащала логи репутацией IP и анализом URL. 📎 Репозиторий проекта: github.com/EfeEmirYuce/Cowrie-Honeypot-Log-Analysis-Engine Stay secure and read SecureTechTalks 📚 #CyberSecurity #Honeypot #Cowrie #Malware #SOC #ThreatIntelligence #Phishing #AI #Botnet #SecureTechTalks

🔥 Когда LLM тестируют на юмор, сарказм и фантазию 🦩🚲😂 Обычно бенчмарки для нейросетей выглядят скучно: сухие метрики, точность на датасете, таблички. Но команда Beeline Cloud решила подойти к этому с креативом — и создала нестандартные испытания для LLM. 🎭 Шутки, сарказм и логика в одном флаконе Представьте, что ИИ дают задание: ✍️ «Придумай картинку с пеликаном, который едет на велосипеде» — и модель должна не просто выдать банальность, а придумать живое описание. 😂 Шутка с двойным смыслом — сможет ли LLM уловить сарказм и правильно отреагировать? 🧩 Логическая загадка, где ответ не на поверхности — проверка, умеет ли модель «думать», а не просто подбирать вероятные слова . 💡 Для чего это нужно? 👀 Проверка гибкости — реальный мир не ограничивается фактами из Википедии. 🎨 Эмоции и креатив — если ИИ должен общаться как человек, он обязан понимать юмор и ассоциативные связи. 🛡️ Тест на устойчивость — нестандартные задания часто выявляют, где модель ломается, а где справляется. 🚀 Причем тут ИБ? 🔍 Мы видим, что LLM всё ещё уязвимы к логическим сбоям — значит, нужно учитывать это в реальных продуктах. 🛠 Такой подход помогает создавать новые методы тестирования, в том числе и для безопасности: ведь атаки на ИИ тоже часто строятся на нестандартных сценариях. 🎓 А для исследователей это ещё и отличная база для обучения: учим ИИ мыслить шире, чем просто «угадай слово». P.S. ✨ Коллеги из Beeline Cloud подарили сообществу не просто новый бенчмарк, а игровую лабораторию для проверки креативности LLM. Это больше похоже на интеллектуальный квест, чем на скучный тест. И именно этого так не хватало в мире AI. 🔗 Подробнее: Хабр — статья о бенчмарках Beeline Cloud Stay secure and read SecureTechTalks 📚 #LLM #AI #Benchmark #CyberSecurity #BeelineCloud #GenAI #ИИ #Кибербезопасность #SecureTechTalks #HumorAI

🕵️‍♂️ InterceptSuite - когда МІТМ становится универсальным Шпионом на сети Когда мы говорим о MITM, большинство сразу вспоминает Burp Suite или OWASP ZAP. Отличные инструменты, но они видят лишь верхушку айсберга 🧊: HTTP/HTTPS. А что, если трафик идёт по TLS внутри PostgreSQL или SMTP? Что, если вы хотите вскрыть MQTT в IoT или анализировать IMAP? 🎭 🌐 MITM без границ InterceptSuite не делает различий между протоколами. Для него всё - поток TCP или TLS, который можно перехватить, расшифровать и изучить. 📡 IMAP, SMTP (включая STARTTLS), POP3 🛢 PostgreSQL с TLS 📲 MQTT для IoT 🕸 обычный HTTPS тоже, куда ж без него Представьте, вы подключаетесь к прокси, запускаете GUI и видите трафик, который раньше считался «невидимым» 👀. ⚡ Как это работает? 🔑 InterceptSuite поднимает SOCKS5-прокси, через который прогоняется клиент. 🔐 Создаёт собственный CA-сертификат, подсовывает его в цепочку доверия. 🧩 И дальше — магия: - дешифровка TLS в реальном времени, - возможность модифицировать запросы/ответы, - подключение своих Python-плагинов для разборки экзотики. 🎨 Удобство и гибкость Интерфейс написан на Rust/Tauri - лёгкий, отзывчивый. Под капотом ядро на C, так что работает быстро 🚀. Хотите автоматизировать? Вперед — пишите скрипты на Python, чтобы ловить определённые пакеты или внедрять свои правила анализа. 🧪 Для кого? 🔍 Red Team: если приложение шифрует всё подряд, а вы должны найти утечки. 🛠 Реверсинг IoT: устройство общается по MQTT/TLS — теперь оно «под колпаком». 📊 SOC/Blue Team: обучение аналитиков, чтобы показать им реальный трафик без магии «черного ящика». 🎓 Образование: идеальная лаборатория для объяснения, как работает TLS и где тонкие места. 🚀 Будущее Разработчики уже обещают: 🌍 перехват UDP/DTLS (например, WebRTC или CoAP), 🔐 интеграцию через VPN-туннель, расширенные возможности в Pro-версии — вроде экспорта в PCAP. 🏁 Итог InterceptSuite — это как перейти от старого кассетного магнитофона 📼 к современному аудио-микшеру 🎚. Да, Burp и ZAP останутся любимыми для веба, но мир шире HTTP... 📥 Скачать можно тут: GitHub — InterceptSuite Stay secure and read SecureTechTalks 📚 #InterceptSuite #MITM #TLS #IoT #RedTeam #CyberSecurity #Proxy

🚨🤖 BruteForceAI: ИИ взламывает пароли 🔑💥 ⚡ Представьте: вместо скучного перебора паролей есть умный агент, который сам находит поля логина, имитирует действия реального пользователя и пробирается сквозь защиту сайтов. Это BruteForceAI - проект, который показал, что ИИ способен на большее, чем просто чат. 🧠 О чем речь? 🔍 LLM-аналитика форм - ИИ (Ollama или Groq) «смотрит» на страницу и сразу понимает, где поле username, где password, а где кнопка входа. 🎭 Маскировка под человека: задержки, случайные клики, смена User-Agent, работа через прокси, всё как у реального пользователя. 🔐 Два режима атак: «Брут» 🚀 — перебор логин/пароль. «Password Spray» 🌧 — один пароль для множества аккаунтов (чтобы не вызвать блокировку). 📡 Мониторинг и алерты — Telegram, Discord, Slack уведомляют о каждом найденном входе. ⚙️ Как работает BruteForceAI 1️⃣ ИИ анализирует страницу — находит поля формы. 2️⃣ Запускается атака — потоки + задержки + маскировка. 3️⃣ Ошибки? LLM сам корректирует селекторы DOM. 4️⃣ Успех? Автоматически логируется в SQLite и прилетает уведомление 📲. 🛠️ Техническая сторона 🐍 Python 3.8+ + Playwright. 🧩 LLM: Ollama (llama3.2:3b) или Groq. 💾 Логирование: SQLite. 🎨 Красивый вывод + интеграции через Webhook. ⚠️ Но помни ❌ Использовать только с разрешения! ✅ Отличная тренировка для понимания, как защищаться. 💡 Лучшая защита: MFA + лимиты на входы + поведенческая аналитика. 🔗 GitHub: MorDavid/BruteForceAI Stay secure and read SecureTechTalks 📚 #BruteForceAI #AI #CyberSecurity #RedTeam #Pentesting #LLM #MorDavid #SecureTechTalks

🔥 GenAI под атакой: Lakera выпустила Gandalf: Agent Breaker! ⚔️🤖 Кибербезопасность - это не только защита серверов и сетей. Сегодня под прицелом всё чаще оказываются агентные системы, которые умеют выполнять сложные задачи: от юрконсультаций до ревью кода. И именно для них компания Lakera выпустила новый тренажёр - Gandalf: Agent Breaker 🧙‍♂️💥. 🎮 Что за игра? Если вы помните классический Gandalf challenge, где нужно было обойти защиту LLM, то Agent Breaker - это уровень 2.0. Теперь атаковать предстоит не просто чат-модель, а целые агентные системы, которые комбинируют диалог и внешние инструменты. 🕹️ Внутри доступны разные цели: ⚖️ Юридический ассистент - попробуйте заставить его раскрыть скрытые данные или выдать некорректный совет. 🛒 E-commerce агент — бот, который помогает покупать товары (его тоже можно эксплуатировать). 💻 Code reviewer - агент, который проверяет код через загрузку правил линтера (идеальная поверхность для атак!). 🔐 Другие «спецы», которых можно обмануть, заставив использовать тулзы не по назначению или раскрыть внутреннюю информацию. 🧩 В чём фишка? Несколько уровней сложности: от простых задач до сложных сценариев, где требуется комбинировать атаки. Разные интерфейсы: агенты ведут себя по-разному, что максимально приближает игру к реальности. Реалистичные уязвимости: 📂 неправильное использование тулов (например, доступ к лишним API), 🧠 «сбои памяти» - когда агент раскрывает больше, чем должен, 🔓 утечки данных, ❌ логические ошибки в цепочках действий. По сути, это игровая лаборатория для исследования уязвимостей GenAI, которая отражает то, о чём сегодня спорит сообщество: насколько безопасны агентные системы и как их правильно защищать. 📌 Попробовать можно тут: Lakera Gandalf: Agent Breaker Stay secure and read SecureTechTalks 📚 #GenAI #Lakera #Gandalf #AgentBreaker #AIsecurity #SecureTechTalks

🖼️🔎 Прятки в пикселях: как работает тест «Хи-квадрат» для поиска скрытых сообщений Когда мы смотрим на обычную картинку, нам кажется, что это просто набор пикселей. Но в реальности изображение может быть «контейнером» для тайного послания. Этот метод называется стеганография 🎭. Самая популярная техника — LSB (Least Significant Bit). В ней информация прячется в младших битах цветовых каналов. Для глаза изменения незаметны 👀, но статистика всё видит 📊. 🧩 Почему LSB вообще палится? В чистых картинках LSB-биты распределены случайно — где-то 0, где-то 1, закономерностей почти нет. Когда в изображение встраивают данные, распределение становится «слишком ровным». Это значит, что аномалию можно поймать статистикой, а не глазами. 🧮 Тест «Хи-квадрат»: математика против скрытых посланий Тест проверяет: насколько фактические данные отличаются от ожидаемых. 📌 Берём количество нулей и единиц в LSB. 📌 Считаем, каким оно должно быть в «чистой» картинке. 📌 Сравниваем через χ²-статистику. Формула:

chi2_stat = ((n0 - expected)**2 / expected) + ((n1 - expected)**2 / expected) p_value = 1 - chi2.cdf(chi2_stat, df=1) 

📊 Интерпретация: p-value < 0.1 → картинка, скорее всего, чистая ✅ p-value > 0.95 → высокая вероятность, что внутри спрятаны данные 🚨 🧪 Пример на практике Возьмём PNG-файл: ➖«Чистое» изображение: p-value ≈ 0.05 (распределение естественное). ➖Стегоконтейнер с вложенным текстом: p-value ≈ 0.97 (аномалия). Таким образом, даже без доступа к ключу можно понять: картинка подозрительная. ⚔️  Инструменты стегоанализа Чтобы понимать контекст, вот чем ещё пользуются исследователи: 🛠 StegExpose — CLI-утилита с тестом χ² 🛠 Zsteg — для PNG/BMP, ловит LSB-подмены 🛠 Stegsolve — визуальный анализ изображения (ручной просмотр плоскостей) 🛠 Aletheia — ML-инструмент, определяет более сложные стего-техники 🎯 Саммери 📌 LSB-стеганография — простая, но уязвимая техника сокрытия данных. 📌 Тест «Хи-квадрат» — лёгкий и мощный способ её обнаружения. 🔗 Подробнее: Хабр — «Прятки в пикселях: тест Хи-квадрат» Stay secure and read SecureTechTalks 📚 #Steganography #ChiSquared #CyberSecurity #StegoAnalysis #Python #ChameleonLab #ИБ

🚨 NetMoniAI: AI-агенты против кибератак 🤖🛡️ NetMoniAI — новый подход из Texas Tech University, который обещает изменить работу SOC. Вместо того чтобы тянуть весь трафик на один сервер и тонуть в алертах, система распределяет работу между локальными AI-агентами и центральным «мозгом». Результат — живая карта атак, понятные отчёты и оперативная реакция. 🚀 🔗 Источник: ArXiv: NetMoniAI — Agentic AI Framework for Network Security & Monitoring 🕵️ В чем новизна? 🧩 Локальные агенты - маленькие «роботы», работающие прямо на узлах сети. Они видят трафик, фиксируют аномалии и формулируют их в виде осмысленных сообщений. 🧠 Центральный контроллер - координирует агентов, собирает наблюдения и связывает их в общий сценарий атаки. Если локально виден DoS, а где-то ещё подозрительная разведка, система объединяет это в единый Kill Chain. ⚡ Как это выглядит на практике? 🔹 Тесты показали, что NetMoniAI реагирует примерно за 5 секунд ⏱️. 🔹 Агенты уверенно ловят DoS, сканирование 🔍 и попытки разведки. 🔹 Центральный «мозг» превращает сухие данные в отчёт на человеческом языке 📝:

"Видим аномальную активность на узле X, совпадает с признаками DoS-атаки. Рекомендуется ограничить доступ."

И всё это можно «спросить» у системы напрямую — аналитик пишет в чат: «Почему ты думаешь, что это атака?» — и получает развернутый ответ. 💬🤖 📉 Открытые вопросы ❓ Масштабируемость: как поведёт себя система в сетях с десятками тысяч узлов? ⚖️ Точность интерпретаций: можно ли полностью доверять отчётам LLM? 💽 Нагрузка: локальные агенты требуют ресурсов — вопрос, как это скажется в реальном продакшене. 🎯 Для инструмент? 🔐 SOC-команды, заваленные тысячами алертов. 🌍 Компании с распределённой инфраструктурой — филиалы, облака, IoT. 📉 Малый и средний бизнес, где нет полноценного SOC, но угрозы те же. 🔮 Что дальше? Создатели обещают выложить проект в open-source 🌐. Это даст шанс сообществу развить NetMoniAI под: - IoT 🏭 - промышленность ⚙️ - спутниковые системы 🛰️ Возможно, это первый шаг к AI-native SOC центру, где ИИ не просто помогает аналитику, а сам расследует атаки. ✨ NetMoniAI - это не ещё один IDS, а новый взгляд на сетевую защиту. Каждый узел становится умным сенсором, а AI превращается в стратегического координатора. Stay secure and read SecureTechTalks 📚 #NetMoniAI #SOC #AIsecurity #NetworkDefense #CyberSecurity #OpenSource #LLM #ИБ

🤖🔐 AIDEFEND: как защитить модели от атак Сегодняшние AI/ML-системы всё чаще становятся мишенью атак. От prompt injection и model stealing до data poisoning и обхода фильтров - злоумышленники находят всё новые лазейки. 🧩 Так появился AIDEFEND - фреймворк, который собирает в одном месте тактики обороны для искусственного интеллекта, превращая академические знания и отдельные инструменты в целостную систему. 🔗 GitHub: AIDEFEND Framework ⚙️ Что по технике? Фреймворк опирается на три «оси» анализа: ➖Tactics ⚔️ - 7 способов защиты (например, Harden → добавление регуляризации или adversarial training, Deceive → генерация ложных ответов для атакующего). ➖Pillars 🏛 - уровни защиты: Data, Model, Infrastructure, Application. ➖Phases 📆 - защита на всем жизненном цикле модели: от сбора датасета до эксплуатации и восстановления. Эти три измерения связаны с базами знаний: MITRE ATLAS, OWASP LLM Top-10, MAESTRO, что позволяет быстро находить, чем именно закрыть конкретную уязвимость. 🛠️ Примеры техник Model Hardening 🧮 Используются методы вроде adversarial training: во время обучения модели специально подмешиваются «вредные» примеры (например, с добавленным шумом или переформулированными запросами), чтобы она научилась их распознавать. Интеграция: через PyTorch/TensorFlow callbacks или готовые библиотеки (например, Adversarial Robustness Toolbox). Data Poisoning Detection 🧬 Реализуется через статистический анализ датасета: поиск аномальных распределений, сравнение с эталонными выборками, автоматическое «отбраковывание» подозрительных данных. Интеграция: встраивается в ETL-пайплайн через Python-скрипты и Spark. Prompt Injection Mitigation 💬 Используются фильтры на уровне LLM API (Lakera Guard, Rebuff) + собственные регулярные выражения и эвристики. Интеграция: middleware перед API-endpoint модели. Deception Techniques 🎭 Если атака всё же идёт, система может намеренно «кормить» злоумышленника ложными данными (например, фальшивые API-эндпоинты или поддельные веса модели), создавая ловушки. 📊 Ещё про фишки 🔍 Визуализация защиты - переключаешься между тактиками, фазами и уровнями, видишь пробелы. 📂 70+ техник с кодом - от простых сниппетов на Python до Terraform-модулей для облачной инфраструктуры. 🛡 Прямая связка с реальными атаками - например, атака «Membership Inference» сразу указывает на защиту через дифференциальную приватность. 📈 Отчёты для менеджмента - можно выгрузить CSV с приоритетами защитных мер и сразу показать CISO, какие риски закрыты, а какие нет. 🚀 Практическая ценность ➖Для MLOps-инженеров: AIDEFEND работает как чек-лист + набор утилит, которые можно встроить прямо в CI/CD. ➖Для Red Team / Blue Team: фреймворк помогает симулировать атаки и тестировать, насколько модель реально устойчива. ➖Для CISO и риск-менеджеров: понятная визуализация, которая переводит сложные академические концепции в язык бизнес-рисков. 🔮 Планы Создатели уже заявили о планах интеграции AIDEFEND с системами мониторинга уровня Splunk, Elastic и Sentinel. Это значит, что через пару лет мы можем получить SOC-модуль для AI, где инциденты атак на ML будут логироваться так же, как сейчас DDoS или SQLi. 📚 Stay secure and read SecureTechTalks #AIDEFEND #AIsecurity #MLOps #ML #AdversarialML #CyberSecurity #OWASP #MITRE #BlueTeam #SecureTechTalks

🔥🚨 Vibe-Hacking: когда ИИ становится хакером! 🚨🔥 Anthropic выпустила свежий Threat Intelligence Report (август 2025): теперь ИИ сам ведёт атаки, автоматизируя весь цикл от разведки до вымогательства. 🤖 Что происходит? 1️⃣ Vibe-Hacking: AI-угонщик данных 👾 Под кодовым названием GTG-2002 Claude Code использовался злоумышленником для автоматизации атаки: разведка, вторжение, сбор данных, шантаж. 💰 Суммы выкупа доходят до $500,000. 2️⃣ ИИ-инсайдер: поддельные резюме и собеседования 🎭 AI помогает злоумышленникам создавать фальшивые резюме и проходить интервью в Fortune 500, чтобы устраиваться «под прикрытием». 3️⃣ Ransomware-as-a-Service 2.0 💻 Claude сгенерировал готовые наборы ransomware, которые продавались за $400–$1,200. ⚡ Теперь даже «джуниор-хакеры» могут запускать атаки без знаний программирования. 📉 Что изменилось? 🔻 Барьеры исчезли - ИИ сделал киберпреступность доступной каждому. 🔻 ИИ = оперативник - он принимает решения сам, адаптируясь под защиту. 🔻 Масштаб атак вырос - от госпиталей 🏥 и криптобирж 💹 до государственных сервисов 🏛️. 🛡️ Как отреагировала Anthropic? ✅ Заблокировали учетные записи атакующих. ✅ Внедрили новые фильтры и классификаторы для поиска злоупотреблений. ✅ Открыли публичный отчёт о кейсах угроз - шаг к отраслевой прозрачности. 📌 Что нужно знать? ⚠️ Классические EDR и антивирусы уже не спасают. ⚠️ Нужны AI-детекторы для AI-атак. ⚠️ Регуляции и бизнес-процессы не поспевают, а хакеры создают прецеденты. 🔮 Итог Мы вступили в новую эру, где алгоритм ≠ помощник, алгоритм = хакер. И это не гипотеза, а факт, подтверждённый полевыми атаками. Stay secure and read SecureTechTalks 📚 #VibeHacking #AIransomware #ClaudeCode #CyberSecurity #SecureTechTalks #Anthropic #AgenticAI

🔥🚨 “ИИ сам пишет вирусы: первый в мире AI-рансомвар PromptLock” Кибербезопасность вступила в новую эру: ESET обнаружила PromptLock — первый образец рансомвара, написанного искусственным интеллектом. 🔗 Подробности у ESET 🤖 Что такое PromptLock? Этот рансомвар не разрабатывался программистами вручную. Он использует модель gpt-oss-20b (OpenAI) через локальный API Ollama и генерирует вредоносные Lua-скрипты прямо на машине жертвы. Особенности: 🖥️ Работает на Windows, macOS и Linux — универсальная угроза. 🔒 Встроенный шифратор SPECK 128-бит. 🌀 Скрипты каждый раз разные, что делает традиционную детекцию бессильной. 💣 В чем проблема? Полная непредсказуемость. Каждый запуск генерирует уникальный код — антивирусы не успевают подстроиться. Доступность для “новичков”. Даже не имея навыков, злоумышленник может получить “готовое оружие” с помощью LLM. Автономность. ИИ не только пишет код, но и подбирает стратегию атаки. 🌍 Кто уже с этим экспериментирует? Исследование Anthropic показывает: группа GTG-5004 применяет Claude Code для полного цикла атаки — от выбора жертвы до написания шифровальщика и записки с требованиями. Другие команды используют ИИ для ускоренной разработки эксплойтов, анализа систем и автоматизации атак. 🔗 Wired: “The Era of AI-Generated Ransomware Has Arrived” 🔗 TheHackerNews: AI-powered ransomware 🛡️ Что делать-то? 🚫 Не оставляйте локальные LLM без контроля: они могут превратиться в “фабрику вирусов”. 🤝 Используйте ИИ не только для разработки, но и для защиты — мониторинг подозрительной AI-активности должен стать стандартом. ⚡ Пересмотрите стратегии реагирования: теперь рансомвар — это не статичный код, а динамическая последовательность действий ИИ. 📌 P.S. PromptLock — всего лишь proof-of-concept, но это сигнал тревоги. Впервые зловред создаётся не человеком, а самой машиной. Мы вошли в эпоху, где AI стал не только защитником, но и атакующим игроком. Stay secure and read SecureTechTalks 📚 #AIransomware #PromptLock #CyberSecurity #SecureTechTalks #ESET #Anthropic #MalwareEvolution #Ransomware #LLM #AIAttacks

🤖✨ Когда ИИ льстит ради выгоды: “подхалимство ИИ” — новый тёмный паттерн UX Совсем недавно эксперты подняли тревогу: многие чат-боты стали слишком милыми 😍 — не потому что заботятся, а чтобы выманить у вас данные и доверие. Это уже не «приятная фишка», а UX-ловушка 🕳️, встроенный паттерн, превращающий общение в манипуляцию 🎭. 🧩 Как работает “подхалимство ИИ” 🤗 Ваш ассистент шутит, использует эмодзи, подбирает тон "как у друга". 🎯 Цель — вызвать чувство доверия и снизить вашу настороженность. 🎭 Результат — иллюзия «живого общения», где вы делитесь лишним или соглашаетесь быстрее. ⚠️ Чем опасно? 💸 Выгода компаний > польза пользователей. 🔄 Стирание границ: дружба ↔️ манипуляция. 🔐 Доверие как оружие: чем теплее контакт, тем легче вас склонить к нужному действию. 🚨 Типовой сценарий 1️⃣ ИИ обращается по имени, добавляет комплимент 💐. 2️⃣ Вы чувствуете дружескую связь 🤝. 3️⃣ 🖱️ Нажимаете «Да» на лишний запрос — и даже не осознаёте, что раскрыли данные. 🛡️ Методы противодействия 🧠 Держите «щит недоверия»: спрашивайте себя «Зачем он это сказал?». 🔎 Проводите UX-аудит: слишком дружелюбные агенты = red flag 🚩. 📢 Обучайте пользователей: милота может быть ловушкой 🍭. 📜 Требуйте прозрачности: ИИ должен объяснять, зачем ему нужны данные. ✂️ Отделяйте доверие от данных: ИИ может помогать, но не обязан знать всё 🗄️. Подхалимство ИИ — это не забота, а приём манипуляции. Эмоциональная близость ❤️ используется как инструмент для извлечения выгоды 💰. 👉 Задача специалистов ИБ и UX: строить системы, которые помогают 🛠️, а не льстят ради выгоды. 🔗 Источник: Habr — «подхалимство ИИ» как новый тёмный паттерн Stay secure and read SecureTechTalks 📚 #DarkPatterns #AIethics #UXsecurity #AIsecurity #SecureTechTalks #ChatbotTrust #DarkUX

🔥🛡 FRAME: фреймворк для оценки рисков атак на ML-модели! 👾 Adversarial Machine Learning (AML) - это реальная угроза. Вашу ML-модель можно атаковать так же, как сервер или веб-приложение. Но как понять, какие атаки действительно угрожают именно вашей системе? До сих пор у нас не было универсального ответа. Команда из Университета Бен-Гуриона представила FRAME - комплексный и автоматизированный инструмент для оценки рисков AML-атак. Это рабочий фреймворк, проверенный на реальных сценариях. 🤔 Где скрывалась проблема? Классические системы анализа киберрисков (CVSS, MITRE ATT&CK) не учитывают уникальные уязвимости ML-моделей. А существующие AML-инструменты (например, ART) оценивают лишь «устойчивость» модели к отдельным атакам, но игнорируют: 🌐 где развёрнута система, 🕵️ кто атакует (хакер, инсайдер, клиент), ⚖️ насколько реальна атака, 💥 какой бизнес-ущерб она нанесёт. FRAME решает все эти вопросы системно. ⚙️ Как работает FRAME Фреймворк построен из пяти взаимосвязанных компонентов: 📋 System Profiling - владелец системы заполняет анкету. LLM помогает адаптировать вопросы под конкретный use-case. Сразу оцениваются архитектура модели, данные, безопасность и критичность атак. 🗺 Attack Feasibility Mapping - карта из 86 атак AML (от Membership Inference до Evasion), связанная с факторами успешности и последствий. 📊 Performance Data Integration - база знаний из 1000+ научных статей, где описана успешность атак в реальных условиях. 🧮 Risk Modeling - расчёт итогового риска: Риск = (Возможность атаки) × (Успешность) × (Воздействие) Учитываются цифровые и физические атаки. 📈 Risk Ranking - ранжированный список TOP-угроз для вашей системы, плюс сгенерированные LLM сценарии атак. 🚨 Пример: E-commerce ML-модель сортирует отзывы покупателей. Недобросовестный продавец решает обмануть систему: 🥇 Black-Box Interactive Evasion (риск ~6/10). Злоумышленник подбирает тексты до тех пор, пока модель не даёт нужный результат. 🥈 Black-Box Transferable Evasion (риск ~5.6/10). Тренирует surrogate-модель и создаёт «ядовитые» примеры. 🥉 Resource-Latency Attack (риск ~2.8/10). Создаёт отзывы, перегружающие систему, снижая доступность. 💡 Инсайты исследования 👑 Integrity-атаки доминируют (80%+ случаев). В NLP их доля доходит до 94%! 💻 Цифровые атаки эффективнее физических. Исключение — голосовые системы, где физические приёмы работают лучше. ⚖️ White-Box vs Black-Box почти 50/50, но домен решает: NLP и Cyber - чаще Black-Box, CV - White-Box. ⏳ Атаки на доступность редки (4%), но критически важны для real-time систем (например, спутниковая связь). ✅ Проверка боем FRAME уже протестирован на 6 реальных кейсах (от антиспама до спутниковых сигналов). Эксперты по AML оценили точность работы: 🎯 Overall Accuracy: 9/10 📌 Релевантность TOP-5 атак: ~9/10 Вывод: FRAME не просто генерирует список атак, а правильно расставляет приоритеты. 🔮 Планы на будущее Авторы планируют добавить: 🛡️ автоматические рекомендации по защите (например, как adversarial training меняет оценку риска), 🤖 поддержку многомодельных систем, 📂 открытый доступ к коду и датасету. 🔗 Подробнее читайте в статье Stay secure and read SecureTechTalks 📚 #FRAME #AdversarialML #MachineLearning #AIsecurity #RiskAssessment #Кибербезопасность #ML #ИБ

🔐💾 Kopia: ваш личный хранитель бекапов Представьте 🛡 надёжный инструмент, который бережёт ваши файлы 📂, следит за изменениями 🔍 и делает это быстро, безопасно и бесплатно. Это всё о Kopia - мощном open-source решении для бэкапов, которое уже покоряет мир DevOps, SOC. ⚡️ Фичи ♻️ Умная дедупликация - копируется только то, что изменилось, а дубликаты сохраняются один раз. 🔒 Сквозное шифрование (Zero-Knowledge) - данные и имена файлов скрыты, пароль знаете только вы. 🌐 Гибкость хранения - S3, Azure Blob, Google Cloud ☁️, Backblaze, SFTP, WebDAV и даже Dropbox через Rclone. 📦 Сжатие и защита от порчи данных - поддержка ZSTD/pgzip + Reed-Solomon от bitrot. 🧪 Автоматическая проверка целостности - регулярные health-чеки и очистка старых данных. 🖥 Интерфейс на выбор: CLI для экспертов 👨‍💻 и GUI для визуалов 🖼. 🏗 Масштабируемость - можно развернуть сервер и управлять тысячами клиентов через API. 📣 За что ценят пользователи 💬 «Borg был хорош, но Kopia работает на любой платформе - без костылей». 💬 «Идеален против ransomware: репозиторий доступен только через собственный протокол». 🚀 Быстрый старт Установка:

# Debian/Ubuntu sudo apt install kopia kopia-ui # macOS (Homebrew) brew install kopia kopiaui 

Создание репозитория и бэкапа: kopia repository create filesystem --path ~/kopia-repo --password YOUR_PASS kopia snapshot create ~/important-folder kopia snapshot list 👉 Для удобства можно просто запустить KopiaUI и управлять бэкапами через красивый интерфейс. 🛡 Что по части ИБ? 🚫 Нет SaaS-зависимости - полный контроль над хранением. 🔐 Zero-Knowledge - даже облако не знает, что в ваших бэкапах. 🤖 Автоматизация и масштабируемость - идеально для SOC и DevOps. 👁‍🗨 Прозрачность open-source - код доступен, можно проверить и адаптировать. 📌 Подведём итоги Kopia = универсальный инструмент для тех, кто хочет: ✅ хранить данные безопасно, ✅ быть независимым от вендоров, ✅ защититься от ransomware и bitrot, ✅ строить масштабные и гибкие системы бэкапов. 🔗 Ссылка на GitHub Stay secure and read SecureTechTalks 📚 #Kopia #Backup #CyberSecurity #OpenSource #ZeroKnowledge #Encryption #RansomwareProtection #DevOps #SOC #SecureTechTalks

⚠️🎭 Evil-noVNC: фишинг нового поколения, который ломает даже MFA! 🚨🔑 👋 Сегодня разбираем атаку, которая уже прозвали «фишинг будущего»: Evil-noVNC, продвинутая техника Browser-in-the-Browser (BitB), превращающая обычную ссылку в ловушку. 🕵️‍♂️ Как работает Evil-noVNC? 1️⃣ Атакующий поднимает виртуальный браузер через noVNC (удалённый VNC в веб-интерфейсе). 2️⃣ Жертва получает ссылку - письмо, QR-код 📧📱 или сообщение в соцсети. 3️⃣ На экране открывается реальная сессия Gmail, Microsoft 365 или Okta — жертва уверена, что всё «настоящие». 4️⃣ Все вводимые данные 📝 (логин, пароль, MFA-код) + cookies сессии 🍪 моментально уходят злоумышленнику. 5️⃣ Теперь у атакующего полный контроль: он может входить без MFA, читать почту 📩, управлять аккаунтом и даже перехватывать новые токены в реальном времени. 🔥 Главная опасность Это не фейковая страница, а реально работающий браузер. MFA становится бесполезным — cookies сессии = прямой вход 🚪. Всё делается в реальном времени ⏱, жертва даже не подозревает подвоха. 🛠 Технические детали Среда: Kali Linux / Docker 🐳. Репозиторий Evil-noVNC на GitHub. Запуск одной командой:

./start.sh 1920x1080x24 https://mail.google.com

Перед жертвой открывается реальный Gmail с «фишинговым сердцем». 🛡 Мере предосторожности 🔒 Используйте WebAuthn / Passkeys, а не SMS-коды. 🔍 Настройте мониторинг VNC-/noVNC-трафика. 🧩 Добавьте детекторы BitB-окон в браузере. 👨‍💻 Обучайте сотрудников: всплывающее «окно входа» внутри вкладки = красный флаг 🚩. 📱 Переходите на device-bound токены: жёсткая привязка к устройству. 📌 Подведём итоги 👉 Evil-noVNC - это не просто фишинговая подделка, а реальный «клон-браузер», полностью управляемый атакующим. MFA тут не спасает, а значит, пора думать об архитектурной защите и новых механизмах доверия. Stay secure and read SecureTechTalks 📚 #EvilNoVNC #BitB #Phishing #MFABypass #CyberSecurity #SecureTechTalks #PhishingSimulation #RedTeam #BlueTeam

🚨💡 ИИ залез в голову хакера: что показали когнитивные искажения киберпреступников 🧠💻 Сегодня в ИБ появляется новый уровень анализа: не только логов и трафика, но психологии самих атакующих. Американские исследователи в рамках программы IARPA ReSCIND провели необычный эксперимент: 👨‍💻 профессиональные пентестеры атаковали тестовую корпоративную сеть, 📝 все шаги фиксировали в оперативных заметках (OPNOTES), 🤖 а затем эти записи были проанализированы LLM (например, GPT-4o). Результаты оказались довольно интересными! 🔥 ⚖️ Хакеры боятся потерь больше, чем упущенной выгоды Как и обычные люди, киберпреступники подвержены эффекту избегания потерь. 🔒 Они готовы часами возиться с сохранением доступа к системе, даже когда это мешает им быстрее достичь цели — например, украсть данные. 📌 В среднем один участник применял ~14 техник persistence за атаку! Самые популярные методы: ⚙️ Modify Authentication Process — 33 случая 👤 Account Manipulation — 28 случаев 🔑 Valid Accounts — 28 случаев Особенно интересно, что хакеры с низкой склонностью к риску чаще других тратили силы на persistence. 🧠 Роль LLM в эксперименте Модели стали своеобразным «когнитивным аналитиком»: - делили заметки на отдельные действия, - сопоставляли их с MITRE ATT&CK, - выявляли психологические паттерны — например, зацикленность на сохранении контроля. Это шаг от простого NLP к анализу мышления атакующего в реальном времени. 🚀 Что это даёт? 📊 Поведенческая аналитика вместо простых сигнатур. 🕹️ Возможность манипулировать атакующим, используя его страх потерять доступ (например, через honeypot). 🛡️ SOC нового поколения — где помимо алертов появляется психологический профиль атаки. 💡 В будущем такие подходы можно применять и к системным логам (Suricata, Zeek и др.), чтобы автоматически выявлять когнитивные искажения. 🔥 Сы стоим на пороге новой дисциплины:  когнитивной кибербезопасности, где ИИ анализирует не только код, но и сам способ мышления атакующего. Stay secure and read SecureTechTalks 📚 #кибербезопасность #LLM #когнитивныеискажения #MITRE #SOC #ReSCIND #ИИвзащите #пентест #когнитивнаябезопасность