SQL-инъекцию мы лечили 20 лет и вылечили. Prompt injection — фундаментально нерешаема. Это не я придумал. OWASP ставит её на первое место второй год подряд. Найдена в 73% продакшн AI-систем при аудитах.
Вы не за статистикой сюда пришли. Вы пришли за мясом. Ниже — 10 кейсов, которые не попали в типичный пересказ про Chevrolet за доллар. Тут пострашнее.
Вообще, это мой первый опыт написания статьи на хабре, но с выпуска патча прошло несколько дней, и вдруг я решил поделиться самим процессом исследования.
Всем привет, я Daytrift Newgen, и вот моя простая и весьма смешная история обнаружения байпаса от начала исследований до патча и advisory.
Еще где-то в конце 2025 года я решил попробовать вкатиться в исследования open-source продуктов и, недолго думая, выбрал тему байпасов WAF, ибо любой коллега знает, насколько такие продукты бывают противными :-)
Привет! Alsok на связи.
Все, кто хоть раз сталкивался с инфобезом, знают эту боль: ручные пентесты. Это долго, дорого, и пока эксперт ковыряет одно, в другом месте уже три новых дыры. Рутина съедает уйму времени.
И вот, на днях я натыкаюсь в своей ленте на классический «вау»-заголовок: «HackGPT провел тест на проникновение за 2 минуты, где экспертам требуется час».
Конечно, мой внутренний скептик сразу включился, и я пошел «тыкать палочкой», что это за чудо-инструмент нам выкатили. Делюсь тем, что нарыл.
Оказалось, речь идет о HackGPT EnterpriseЧитать полностью »
В прошлой части мы рассмотрели документы:
TR 104 066 «Security Testing of AI»,
TR 104 222 «Mitigation Strategy Report»,
TR 104 221 «Problem Statement»,
TR 104 048 «Data Supply Chain Security»,
TS 104 224 «Explicability & Transparency» –
в которых описываются проблемы тестирования безопасности, предотвращения рисков и объяснимости предиктивных ML‑моделей.
В этой части продолжим обозревать оставшиеся документы, тем более последние охватывают не только классический ML, но и генеративные модели.
Сегодня в программе разбор следующих отчетов ASI группы из ETSI:
Откройте для себя OWASP Top 10 для LLM и GenAI и изучите основные стратегии защиты ваших моделей и приложений искусственного интеллекта.
После ухода платформы HakerOne (h1) в России появилось несколько отечественных площадок Bug Bounty. Две из них информационная служба Хабра уже осветила, и вот настало время рассказать ещё об одной. На удивление, самую первую в России Bug Bounty площадку мы обозреваем самой последней. BugBounty.ru появилась ещё до ухода h1, до санкций и всех известных событий последнего года.
2021 вот-вот закончится, а значит, настало время подведения итогов! Сегодня мы поговорим о том, что нового появилось в анализаторе PVS-Studio за прошедший год. Устраивайтесь поудобнее, мы начинаем.
В этом посте мы расскажем, как сломанная логика, самописные сервисы и графические пароли могут привести к захвату сетевой инфраструктуры компании, полной потере денег и пользовательских данных.
