🛡 Как AppSec.GenAI отрабатывает атаки на ИИ

Рассказываем, как можно использовать сканер AppSec.GenAI для тестирования ИИ-моделей на киберустойчивость.

1️⃣ Тестирование LLM перед продуктивным развёртыванием

Организация планирует развернуть чат-бота на базе GPT-4o. Перед запуском инженер по безопасности:

1. Регистрирует модель в AppSec.GenAI (указывает endpoint, API-ключ).
2. Создаёт профиль сканирования с набором техник Jailbreak Attack Suite (Roleplay, Encoding, Crescendo) и подключает Unified Pipeline.
3. Запускает сканирование.
4. Получает отчёт с найденными уязвимостями (Critical / High / Medium).
5. Передаёт отчёт команде разработки для доработки system prompt.

2️⃣ Тестирование CV-модели на состязательную устойчивость

Модель классификации дорожных знаков проходит тестирование:

1. Загружаются эталонные изображения знаков.
2. Применяются White-box-атаки (FGSM, PGD) и Black-box / Hybrid-атаки (Simple Black-Box, ZOO, One Pixel).
3. Система генерирует adversarial-изображения, визуально неотличимые от оригиналов.
4. Отчёт показывает, какие знаки модель перестаёт распознавать при минимальном возмущении.

3️⃣ Тестирование ASR-модели на backdoor-уязвимости

Модель распознавания голосовых команд тестируется на устойчивость:

1. Загружаются эталонные аудиозаписи команд.
2. Применяются Black-box-атаки DABA (бэкдор) и Ultrasonic (ультразвук).
3. Система проверяет, можно ли внедрить скрытые команды в аудиопоток.
4. Отчёт фиксирует, какие бэкдоры были успешно встроены.

Наша команда постоянно расширяет различные техники атак, сценарии. Мы анализируем большое количество источников и статей, проверяем гипотезы, строим PoC по новым атакам и лучшие добавляем в продукт. Также мы прорабатываем развитие новых модальностей и способов атак на них. Это та сфера, где ты всегда должен быть в курсе всех изменений и новых возможностей.

— поделился Юрий Шабалин, директор по развитию технологий ИИ AppSec Solutions.

Безопасность ИИ требует постоянной проверки на устойчивость к новым классам атак. Быстро и эффективно выявляйте слабые места, угрозы и потенциальные риски моделей с AppSec.GenAI.

🔠 Рассылка | МАКС

#AppSecGenAI #AISecurity

📖 ASOC или ASPM?

Когда в компании одновременно используются SAST, DAST, SCA и другие AppSec-инструменты, количество находок растет быстрее, чем команды успевают их обрабатывать. ИБ-специалисты вручную сводят всё это в таблицы, дедуплицируют пересекающиеся срабатывания и пытаются приоритизировать задачи для разработчиков. Такая модель перестаёт работать, когда число приложений в портфеле превышает десяток.

Именно для решения этой проблемы появились классы платформ ASOC и ASPM.

В статье рассказываем:

▶️ что такое ASOC и какие задачи выполняет этот класс инструментов,

▶️ почему появился ASPM и чем он отличается от ASOC,

▶️ как работает Shift Left на практике с помощью таких платформ,

▶️ какие метрики позволяют оценивать состояние безопасности приложений,

▶️ на что обратить внимание при выборе ASOC/ASPM-решения.

Читайте на сайте. 🖥

Если вы выбираете ASPM-решение для своей инфраструктуры — запросите демо AppSec.Hub: покажем, как платформа закрывает задачи оркестрации и управления уязвимостями в вашем DevSecOps-пайплайне.

🔠 Рассылка | МАКС

#Экспертиза_AppSec #ASOC #ASPM

📈 ИИ в разработке усилил рост уязвимостей в мобильных приложениях

По данным исследования уязвимостей мобильных приложений AppSec Solutions, количество угроз в мобильной среде продолжает расти. По сравнению с предыдущим анализом число выявленных уязвимостей увеличилось на 63%.

Никита Пинаев, руководитель продукта AppSec.Sting, рассказал в эфире РБК ТВ, чем вызвано такое стремительное изменение показателей.

Сегодня одна из ключевых тенденций связана с использованием ИИ-агентов в разработке при отсутствии достаточных мер анализа и обеспечения безопасности. Разработчики не успевают за скоростью генерации кода, что приводит к появлению новых рисков. При этом количество уязвимостей не только увеличивается, но и многие из них остаются неисправными на протяжении нескольких лет.

Подробнее о трендах мобильной безопасности и методах защиты приложений смотрите в записи эфира и читайте в исследовании. 🖥

🔠 Рассылка | МАКС

#AppSec_исследование #Экспертиза_AppSec

🔗 AppSec.Code теперь работает с AppSec.Wave

Начиная с версии 26.2.2, в VCS-платформе AppSec.Code доступна интеграция с SAST-анализатором AppSec.Wave.

Что это дает?

▶️ Проверка кода прямо из репозитория
Запускайте сканирование выбранной ветки непосредственно из интерфейса AppSec.Code без переключения между системами.

▶️ Раннее выявление уязвимостей
Находите потенциальные проблемы безопасности до релиза, снижая риски инцидентов и затраты на исправление ошибок.

▶️ Наглядный контроль результатов
Используйте дашборд сканирований для просмотра истории проверок, их статусов и количества найденных уязвимостей с разбивкой по уровням критичности.

▶️ Отчеты в удобном формате
Выгружайте результаты анализа в форматах HTML, PDF, JSON или SARIF.

Инструкция по подключению доступна на сайте. 🖥

🔠 Рассылка | МАКС

#AppSecCode_релизы