ИИ-агенты в компании — это круто, это эффективно, это успешный успех, до первого подобного случая: «DevOps нам пишет, что ИИ-агент удалил нашу продакшен-базу, и бэкапы тоже».
Рубрика «DevSecOps»
Зоопарк ИИ-агентов, или как не обанкротиться
2026-11-10 в 9:01, admin, рубрики: api, Baremetal, devops, DevSecOps, ruvds, ruvds_статьи, ии-агенты, нейросети, системное администрированиеЯ написал сканер уязвимостей для вайбкода и проверил им 3 800 чужих репозиториев
2026-10-08 в 11:11, admin, рубрики: AI-generated code, AigisSAST, DevSecOps, open source, python, SAST, безопасность, вайбкодинг, утечки секретовСегодня Telegram-бот для продажи VPN собирается за вечер. Открываешь Cursor, пишешь «сделай бота с оплатой в Stars и панелью Marzban», и через пару часов он уже принимает деньги. Только в config.py лежит токен бота, в docker-compose.yml открыт Postgres на 0.0.0.0:5432, а в истории git остался .env, который «потом удалили».
Мне стало интересно, насколько всё плохо на самом деле. Я написал свой SAST-сканер для кода, сгенерированного ИИ, и прогнал его по 3 800 публичным репозиториям: от проектов с тремя звёздами до платформ с десятками тысяч.
Цифры коротко:
Собрал платный API для ИИ‑агентов на x402. Рынка не нашёл — зато нашёл четыре бага
2026-09-24 в 13:55, admin, рубрики: ai-агенты, claude code, DevSecOps, docker, Ed25519, fastapi, HTTP 402, postgresql, x402TL;DR. Я собрал платный API для ИИ‑агентов на протоколе x402: агент получает HTTP 402, платит в USDC и получает подписанный сертификат проверки своего кода. Довёл до продакшена, прогнал сквозной путь, задеплоил. Потом проверил доступные данные о рынке и понял, что покупателей в том объёме, на который я рассчитывал, пока не видно. По дороге поймал четыре бага, каждый из которых выглядел как правильно работающий код. Ниже — что построил, что сломалось, что показали цифры и какое одно правило ловило всё.
Гипотеза
PII-Shield: режем персональные данные в логах до того, как они доехали до ELK
2026-06-09 в 10:22, admin, рубрики: DevSecOps, Go, kubernetes, kubernetes operator, PII, sidecar, маскирование логов, персональные данные, секреты, токеныИзначально идея была грубее: взять логовую строку, посчитать энтропию у подозрительных кусков и скрывать всё, что похоже на случайный секрет.
PII здесь — это personally identifiable information, то есть персонально идентифицируемая информация: email, телефон, адрес, паспортные данные, номера карт, токены доступа и другие значения, которые не должны свободно гулять по логам.
На бумаге звучало неплохо. Многие токены, ключи и сессионные строки действительно выглядят как шум:
x9VdQp2Mz_La77kPq0
sk_live_51Nx...
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
Но быстро выяснилось, что одной энтропией нормальный фильтр не собрать.
Best Practices по Dockerfile: от базового образа и кеша до SBOM, Cosign и CI-CD
2026-05-31 в 13:08, admin, рубрики: best practice, devops, DevSecOps, docker, dockerfile, kubernetes, докер, контейнеризация, контейнеры, образыПредисловие
Статья получилась большой: практик много, и каждая из них важна по-своему. Я собрал её как набор best practices: не все пункты нужны каждому проекту, но почти каждый пункт однажды всплывает на ревью, в CI или после неприятного инцидента.
Я старался писать для разных грейдов: от базовых ошибок вроде COPY . ., latest и root-пользователя до продовых тем вроде BuildKit, секретов, SBOM, подписи образов и защиты цепочки поставки ПО.
Читать полностью »
Kubernetes-аудит после Wiz и Prisma: как живут без CNAPP в 2026
2026-05-25 в 12:57, admin, рубрики: cnapp, compliance, container security, DevSecOps, k8s, kubernetes, security, аудит, приказ 117, ФСТЭКЕсли коротко — плохо живут.
Я последние полгода копаю эту тему и хочу поделиться тем, что увидел. Заодно показать инструмент, который пишу по результатам. Возможно, кто-то узнает свою ситуацию и поможет мне понять, насколько проблема массовая.
С чего всё началось
В 2022–2024 западные CNAPP-платформы закрыли доступ для российских компаний. Wiz, Prisma Cloud, Lacework, Orca — все они либо ушли сами, либо отвалились после санкций. Кто работал с этими инструментами, тот помнит — это была основная рабочая лошадка для аудита Kubernetes в облаке.
ASOC на коленке: как я навайбкодил замену DefectDojo для своих задач с обогащением из БДУ ФСТЭК
2026-05-10 в 13:16, admin, рубрики: air-gapped, appsec, asoc, DefectDojo, DevSecOps, Go, on-premise, postgresql, vulnerability management, БДУ ФСТЭККогда я начал разбираться, чем в мире опенсорса можно закрыть задачу ASOC / Vulnerability Management, выбор оказался довольно грустным. По сути единственный известный вариант это DefectDojo. Сам я его в проде не тащил, но от коллег регулярно слышал одну и ту же боль: на больших объёмах он начинает захлёбываться, и тебе просто больше не хочется заходить, а аналогов с человеческим видом и БДУ ФСТЭК «из коробки» в опенсорсе я просто не нашёл. Так и появилась моя ASOC-платформа: Go + PostgreSQL + Redis Streams + React, развёртывание одной командой docker compose upЧитать полностью »
Когда pull request выглядит нормальным, но ревью на нём всё равно зависает
2026-05-03 в 10:15, admin, рубрики: AI code review, appsec, code review, DevSecOps, github, llm, pull request, анализ кода, безопасная разработка, ревью кодаПоводом для этого проекта был не абстрактный интерес к AI и не желание сделать ещё один инструмент для ревью.
На одном из рабочих проектов довольно быстро стало видно, что на pull request уже нельзя смотреть по старой модели. Команда начала двигаться в сторону AI-first разработки. В продукт стало прилетать больше изменений от людей с очень разной глубиной контекста: часть работала рядом с продуктом, часть приходила из смежных команд, часть собиралась с активной помощью AI. Скорость изменений выросла. А вот глубина понимания конкретной зоны у автора PR часто, наоборот, стала ниже.
Вайбкод и безопасность: как не задеплоить уязвимости вместе с фичами
2026-05-01 в 9:01, admin, рубрики: DevSecOps, llm, OWASP, ruvds_статьи, SAST, безопасность, безопасность веб-приложений, вайбкодинг, уязвимости, уязвимости и их эксплуатация
Pipeline Triad Pattern: конвейер AI-агентов вместо команды разработки
2026-04-15 в 10:00, admin, рубрики: ai-агенты, code review, devops, DevSecOps, llm, multi-agent systems, orchestration, pipeline triad, sdlcPipeline Triad Pattern: конвейер AI-агентов вместо команды разработки
TL;DR
Pipeline Triad Pattern - это не один AI-агент, а конвейер троек: Создатель, Критик и Арбитр. Каждая тройка закрывает свой этап SDLC, человек включается только в 4 контрольных точках, а сам паттерн лучше всего работает на типовых enterprise-задачах с формализованными правилами. Это не замена CI/CD, а слой агентного делегирования поверх обычной автоматизации. Главные ограничения - галлюцинации, качество промптов, оргпроцессы и безопасность самого конвейера.
Scope:Читать полностью »