Такие сообщения получаю конечно редко, но они вдвойне приятны, так как понимаешь, что не зря что-то делаешь, пишешь, советуешь.

На самом деле парень пример того, как при желании можно добиться многого, главное стремиться.

Дальше больше, но ваша обратная связь позволяет понять, что все не зря.

За месяц я попробовал все основные ИИ подписки, агенты и приложения.
Конечно пришлось потратиться, но оно того стоило. Лишний раз увидел, что сколько ни читай, пока руками не потрогаешь, не поймёшь, что пригодится конкретно в твоём случае.

Главный вывод - ИИ прекрасный помощник, если ты понимаешь, что и для чего делаешь.

Темные паттерны в управлении уязвимостями: как метрики ломают безопасность

https://www.securitylab.ru/analytics/575607.php

Немного от меня на тему управления уязвимостями

Positive Hack Camp

Внёс сегодня свой небольшой вклад в большое ИБ. Спасибо за приглашение, первый опыт международных выступлений можно считать успешным.

Спасибо коллеги, очень приятно ❤️😅

Попробовав почти все доступные AI подписки я сделал следующие выводы. Полноценный ресерч писать желания нет, так как такой доклад все равно не пройдет, а тратить время впустую не вижу смысла. Поэтому вот мои выводы в короткой форме.

Я не могу сказать, что какая-то из моделей лучше - лучший вариант использования это симбиоз, так как Claude, Codex и Cursor вместе способны сделать намного больше и интереснее.

Вайбкодинг - это уже не смешной термин про тех, кто так и не научился программировать, а современная реальность, когда исчез барьер в виде умения писать код, теперь он не важен, важен результат. Про уязвимости в нем и его качество можете не писать, ИИ нашел проблемы многолетней давности, когда программисты писали без всех этих Codex.

Что понравилось от взаимодействия с агентами?

1. Я наконец-то смог реализовать свои инструменты и теперь мне не нужна команда программистов, которая работает только с 9 до 18 (то что я теперь почти не сплю не в счёт 😅)

2. Как Red Team Lead я увидел огромные возможности, которые открываются для пентеста, благодаря наличию агента на машине

3. Если грамотно построить процесс, ИИ реально начинает экономить тебе время и все подписки быстро окупаются

4. ИИ не заменит пентестеров, по крайней мере в данный момент - это дополнение, но не замена, как трактор вместо лошади

5. Полагаться только на агента - нажить себе проблем. Ты должен понимать, что делает модель, а значит развиваться нужно ещё больше.

Увидев как один из агентов сам подготовил лабу, установил ОС, выполнил необходимые команды, я начал верить во все эти новости с выходом агентов из песочниц - он не смог доставить нужный файл и нашел обходной путь.

В ближайшем будущем вряд-ли что-то кардинально изменится в нашей сфере, роботы пока не научились физическому пентесту (пока), но главный плюс, который я вижу в стремительном развитии AI - творческие люди получили инструмент, который даст им возможность реализовать свои идеи и это здорово, так как на мой взгляд помогает делать мир ещё безопаснее

Я тут провел небольшой эксперимент под видом "случайно оставленного репозитория в паблике" на GitHub.

Не скажу, что результаты меня удивили, но сканирование на поиск ключей (sk-aws-example передает ботам привет) по скорости стало напоминать censys или shodan, поэтому коллегам разработчикам конечно нужно быть сверх внимательными.

За одну машину до окончания очередного сезона на HTB взял Holo Tier.

На последние лабы времени практически нет, но обидно было бросать пройдя большую часть. Следующий сезон будет иметь смысл взять перед экзаменом ради скидки.

Только что свои инструменты проверил на чем-то, как видно из результатов весьма успешно.

То чувство, когда человек, который постоянно спрашивает "какой статус по задаче" - теперь ты сам

Небольшой эксперимент на остатки токенов на тему "заменит ли ИИ пентестеров" закончился ожидаемо.

Были задействованы разные модели и Harness, effort выкручивался так, что счетчик токенов зашкаливал, но как итог - задачи легкого уровня сложности решались - средние и выше уже нет, при том, что в Industry сегменте на Standoff 365 агенты смогли сделать боковое перемещение, поискать информацию в интернете о том, как лучше делать path traversal, но до конца средние и сложные задания так и не довели. Был забавный момент, когда одна из моделей вытащила флаг, но не поняла, что это, а другая уже нашла его в логах и сообщила об этом. Вот такая командная работа от AI.

Я все жду, когда кто-то заявит, что их модель сдала CRTO или OSCP, но пока агент так и остается инструментом в руках того, кто знает, что с ним делать.

Вывод - развиваться нужно все так же, чтобы знать, что подсказать агенту.
Отмечу, что свою задачу по автоматизации рутины он выполняет на отлично. Это не полноценная замена джуна пентестера, но задачи, которые хотелось бы делегировать кому-то еще, ИИ решает.

Интересно наблюдать за развитием AI решение не только в offensive security, но и в defensive части, так как справляться SOC с такой нагрузкой вручную уже кажется очень сложным и бессмысленным.