Сегодня много обсуждают и показывают пляски китайских роботов на концерте в честь Нового Года. Конечно, у западной аудитории превалирует мнение, что это не просто танцы, а демонстрация будущей армии.

А я бы хотел остановиться вот на каком аспекте – электроэнергия.

Есть такой Джордж Фридман, основатель Stratfor и автор книги «Следующие 100 лет». В конце нулевых я часто ее рекомендовал знакомым, сейчас уже нет, но периодически к прогнозам из нее я возвращаюсь.

Так вот, что пишет Фридман, описывая будущий военный конфликт между турецко-немецким альянсом против Польши, американского сателлита:

Подзарядка достаточным количеством энергии бронированных костюмов пехотинцев и роботов также будет представлять проблему. Костюмы приводятся в действие электричеством, их необходимо перезаряжать или ежедневно менять их огромные батареи. В сохранении электроэнергии будет сделан огромный прорыв, однако в конце концов любые аккумуляторы садятся. Следовательно, важнейшим ресурсом будет электрическая сеть, связанная с электростанциями. Стоит разрушить электростанции — и нападающим придется завозить огромные заряженные батареи оттуда, где есть доступ к электроэнергии, а затем распределять их по полю боя. Чем дальше продвигаются войска, тем длиннее будет линия доставки. Все будет зависеть от тактики в доставке электричества.

В течение 1-й половины XXI в. консорциум американских предпринимателей потратит немало денег, осуществляя множество запусков недорогих спутников, которые американцы будут использовать для попыток получения электроэнергии в космосе, ее передачи на Землю в форме микроволн и превращения в используемое электричество.

Основную технологию еще предстоит разработать. Пусковые установки можно построить быстро, так же как и солнечные панели и системы передачи микроволн. Самая сложная задача — создать ресиверы и доставить их на поле боя, однако вновь неограниченный бюджет и мотивация позволяют Америке творить чудеса. Новая «боевая звезда», о которой не знает коалиция, будет создана с двоякой целью: там начнет осуществляться как боевое командование, так и управление строительством и функционированием огромного количества солнечных батарей и систем передачи микроволновой энергии. На поле боя доставят мобильные ресиверы.

После простого нажатия кнопки включения тысячи ресиверов на польской стороне фронта начнут получать микроволновое излучение из космоса и превращать его в электроэнергию. В чем-то это окажется подобным тому, как сотовые телефоны заменили стационарные телефонные линии. Вся структура энергетики изменится.

Во время войны 50-х годов XXI в. США начнут по-настоящему использовать эту новую систему. А космический энергетический проект последующих 60-х годов сделает его частью повседневной жизни. На геостационарной орбите или на поверхности Луны будут размещены в огромном количестве фотоэлектрические ячейки, превращающие солнечную энергию в электричество, а оно, в свою очередь, преобразуется в микроволны, передаваемые на Землю, которые затем вновь будут преобразовываться в электроэнергию и распределяться через существующие и вновь построенные электрические сети.

Очевидно, что на Земле ресиверы должны быть установлены в пустынной местности, поскольку локализованное излучение микроволн будет очень высоким, однако они станут представлять меньшую опасность для окружающей среды, чем ядерный реактор или углеводородные виды топлива.

Вот такая технология, которой еще нет, которая явно нужна человечеству, но разработок в этом направлении пока не видно.

И хочется, чтобы они начались не из-за того, что это понадобится для роботозированных армий.

@gostev_future

Сначала штрафы, потом голосовые, потом замедление, дальше я не могу сказать — глава Минцифры Шадаев о судьбе Telegram в России.

Я могу сказать. Дальше будет тоже самое, что с автомобилями, вместо того чтобы пересаживаться на Ладу ... тотальный переход в китайский WeChat. С каждым днем вижу все больше случаев, что люди уходят именно туда.

@gostev_future

Anthropic выпустил интересный ресерч, основанный на собранной ими статистике с миллионов агентов Claude Code и public API.
Там много всяких выводов и цифр, но меня заинтересовали данные о том, в каких областях применяются агенты.

Разумеется, почти половина всех задач – это программирование. Затем автоматизация офиса и маркетинг/копирайтинг.

И! В десятку самых популярных вошло Cybersecurity, c показателем в 2.4%, что как по мне, так громадная цифра. Это примерно 24 000 агентов из миллиона, по кому собрали данные. Это чуть меньше, чем научный ресерч и больше, чем создание презентаций и документов.

Wow.

@gostev_future

Но вот с названием компании им явно надо что-то делать.

http://antrophic.com

Как думаете, судиться с сквоттером будут ? 😂

P.S. Некоторые не поняли — поясняю. Open AI это не они, это ChatGPT, заклятый враг.

@gostev_future

Любовь ChatGPT и Anthropic наглядно отразилась на AI саммите в Дели. Сэм Альтман и Дарио Амодеи не захотели взяться за руки.

И теперь все угорают с них, конечно.

@gostev_future

Техас против TP-Link

17 февраля генпрокурор Техаса Ken Paxton подал иск против TP-Link Systems — крупнейшего производителя домашних роутеров в США с 65% рыночной доли (по мнению прокурора).
Обвинения интересные: обманчивый маркетинг и потенциальный доступ Китая к данным американцев через уязвимости в продуктах.

Центральный аргумент иска — наклейка "Made in Vietnam" на роутерах. TP-Link действительно собирает устройства во Вьетнаме, но почти все компоненты импортируются из Китая. Вьетнамские фабрики выполняют только финальную сборку — менее 1% производственного процесса. Paxton называет это обманом потребителей, хотя такая практика стандартна для всей индустрии электроники. Apple делает то же самое с iPhone.

Второй блок обвинений связан с китайскими законами о разведке. Китайский National Intelligence Law от 2017 года обязывает компании и граждан сотрудничать с разведслужбами. Логика иска: раз supply chain проходит через Китай, данные могут уйти властям КНР по запросу. TP-Link это категорически отрицает, заявляя, что компания американская, их CEO (китаец) живёт в Калифорнии, данные пользователей хранятся на серверах AWS в США, и никаких связей с компартией нет.

Технические факты, впрочем, тоже прилагаются. Microsoft в октябре 2024 писал, что китайская группа Storm-0940 контролирует сеть из тысяч скомпрометированных роутеров TP-Link, используемую для атак на западные think tanks, правительственные организации и поставщиков Минобороны США. Check Point в 2023 году зафиксировал эксплуатацию уязвимостей прошивки группой Camaro Dragon.

При этом иск не обвиняет TP-Link в намеренных бэкдорах. Речь идёт о том, что компания знает об уязвимостях, но продолжает заявлять о "высокой безопасности" в маркетинге.

Политический контекст добавляет циничности. Иск подан в первый день досрочного голосования — Paxton баллотируется в Сенат против действующего республиканца. Это первый из обещанной серии исков против "компаний, связанных с КПК". Ранее он также подал на китайских производителей телевизоров Hisense и TCL. Три федеральных ведомства ранее уже расследовали TP-Link, все ожидали полного запрета на продажу в США — но на федеральном уровне его так и не ввели.

Вопрос остаётся философским: можно ли доверять оборудованию, чья supply chain проходит через геополитического противника? И если нет — то что делать с остальной электроникой? А вот использование законов о защите прав потребителей для решения вопросов национальной безопасности — это новинка.

@gostev_future

Глядя на появляющиеся постепенно отчеты компаний за 2025 год, все чаще вижу игры с понятиями «отгрузки», «управленческая прибыль», учет по РСБУ/МСФО и тд.

Вот Р7-Офис тут сообщил, что в 2025 году выручка по РСБУ достигла 3,3 млрд рублей. А вот за 2024 год они сообщали о 3,2 млрд по МСФО. Видите рост? А он есть?

Раз уж сегодня поднял тему исков к компаниям, то вот очень интересный пример манипуляции с контрактами. В России, такого, конечно же нет и быть не может 😁

В последний день третьего квартала 2023 года CrowdStrike закрыл контракт с правительственным дистрибьютором Carahsoft на поставку identity and threat protection software для IRS (налоговой службы США) на $32 млн. Тайминг был идеальным: сделка позволила компании выполнить ожидания Уолл-стрит, и акции взлетели на 10%. CEO George Kurtz даже похвастался на звонке для инвесторов: "Мы выиграли восьмизначный контракт с федеральным правительством".

Но есть нюанс. IRS утверждает, что никогда не покупал этот софт.

Следователи Министерство юстиции США и SEC (комиссии по ценным бумагам) допрашивали налоговиков снова и снова: "Вы приобрели продукт CrowdStrike?" Ответ каждый раз был одинаковым: "Нет".

Структура сделки выглядит подозрительно. Carahsoft исправно платит CrowdStrike четыре транша по $8 миллионов. Обе компании называют это "non-cancellable order". Но софт никуда не поставлен.

В июне 2025 CrowdStrike официально подтвердил получение запросов от DOJ и SEC.

CrowdStrike настаивает: "Мы уверены в корректности учёта сделки", хотя в ноябре 2024 CrowdStrike тихо исключил $26 миллионов из своей годовой recurring revenue, сославшись на некие "transferability rights" дистрибьютора.

Следователи подозревают pre-booking — классическую схему завышения продаж для отчётности перед инвесторами. Внутренние документы показывают, что минимум один сотрудник CrowdStrike поднимал вопросы о "полноте транзакции". Теперь DOJ и SEC проверяют, что знали топ-менеджеры компании и не нарушили ли они правила бухучёта.

Проверяют уже год, а новостей по теме с июня просто нет, Crowdstrike в своих последовавших квартальных отчетах никак не упоминает этот иск.

@gostev_future

Anthropic отправила акции кибербеза в нокдаун: минус $20 миллиардов за день

Вчера на биржах произошла распродажа, которая стёрла миллиарды с капитализации компаний кибербезопасности за считанные часы. Виновник — анонс Claude Code Security от Anthropic, ИИ-инструмента, который сканирует код на уязвимости и предлагает готовые патчи.

Реакция была мгновенной и беспощадной. Все кто делает vulnerability management — угодили в продажи. JFrog рухнул на 24.6%, став худшим в секторе — компания потеряла почти четверть стоимости за одну торговую сессию. SailPoint потерял 9.4%, Okta упал на 9.2%, а CrowdStrike и Cloudflare просели на 8% каждый. Zscaler отделался относительно лёгким испугом, потеряв 5.5%.

Global X Cybersecurity ETF закрылся на минимуме с ноября 2023 года, потеряв 4.9% за сессию и углубив свои потери в 2026 до -14%.

Anthropic заявила, что Claude Opus 4.6 нашёл более 500 уязвимостей в открытых проектах — баги, которые оставались незамеченными десятилетиями. ИИ не использует шаблонное сканирование, как традиционные инструменты статического анализа, а «рассуждает о коде как исследователь безопасности», понимая бизнес-логику и потоки данных между компонентами.

Инвесторы увидели в этом угрозу. Если ИИ может делать то, что делают дорогие корпоративные системы защиты, зачем платить тысячи долларов за подписки?

Барклайс назвал распродажу «нелогичной», заявив, что Claude Code Security не конкурирует с этими компаниями. Но рынок торгует направление развития тренда, а он в, в принципе, уже ясен.

@gostev_future

KarmaStrike 🎯
Что-то у меня много про CrowdStrike, но поводы они дают постоянно. Как говорится — назвался груздем, полезай в корзину.

Итак, в пятницу CRWD бахнулся на 8%, потому что Anthropic запустила Claude Code Security. Об этом был мой прошлый пост.
Но рынок в панике не разбирается в деталях — а детали важные. Claude Code Security конкурирует не с CrowdStrike, а со Snyk, Checkmarx и Veracode — инструментами статического анализа кода. CrowdStrike — это endpoint protection, совсем другой сегмент в цепочке безопасности.

CEO Курц попытался защититься — и не смог. За выходные он написал развёрнутый пост в LinkedIn. Ход, как бы, остроумный: Курц спросил самого Claude, заменит ли Claude Code Security платформу Falcon? Claude ответил — нет, это разные продукты на разных уровнях стека. Курц опубликовал ответ как аргумент в свою защиту. Инвесторы пожали плечами и продали ещё.

Пока Курц публично защищал компанию в LinkedIn, его брокерский отчёт показывал другое. 4 февраля он продал 28 853 акции по ~$413 — на $11.9 млн. CFO и президент тоже продавали. За последние полгода — 164 сделки инсайдеров. Покупок — ноль.

К этому добавился фон: Bank of America незадолго до событий перевёл прогноз CRWD в Hold — из-за замедления роста и ценовой неопределённости после программы скидок клиентам, пострадавшим фейла с апдейтом в 2024 году. Ну и оценка в 21x выручки не оставляла запаса прочности — когда акция переоценена, любой намёк на риск роняет её непропорционально.

Итого за два дня: −18% капитализации. Испарилось ~$19 млрд — примерно столько, сколько стоят Okta и SentinelOne вместе взятые.

Но CRWD был не одинок — в понедельник вторая волна накрыла весь сектор. Досталось всем: Netskope и Tenable по −12%, SailPoint −9%, Cloudflare −9%, Zscaler -10%, Okta −6% , Fortinet и SentinelOne по −4%

За февраль в минусе : Palo Alto и CrowdStrike по -18%, SentinelOne -10%, Zscaler -15%, Okta -15%, и тд и тп.

А Claude Code Security в полноценный релиз еще даже не вышел 🍿

@gostev_future

Лукацкий вон пересказал новость трехдневной давности, и отметил, что а) Positive при этом рос, б) Хорошо, что в России только одна публичная компания в ИБ и у нас такие скачки маловероятны.

Ага, это верно. Ведь имей PT хоть сколь-нибудь заметные зарубежные продажи, не говоря уже о размещении на Nasdaq – его котировки бы точно так же летели вниз.

Помнится, в прошлом сентябре, тот же PT писал, что они попали в рейтинг IDC по рынку Vulnerability Management и Exposure Management.
Для «виртуальных конкурентов» PT прошедший месяц стал таким:

Rapid7 минус 52%
Qualys минус 34%
ServiceNow минус 26%
CrowdStrike минус 25%
Tenable минус 24%

О том, как ИИ повлияет на бизнес-модели российских ИБ компаний, как прогноз – планирую понемногу рассказывать на этой неделе.

@gostev_future

До 2022 года российский рынок инструментов проверки кода в основном делили западные продукты — Fortify, AppScan, Checkmarx. Санкции убрали всех, и нишу заняли российские Solar appScreener, PT Application Inspector, Appercut, PVS-Studio, etc

Claude Code Security обещает не просто «найти проблему», а сразу объяснить риск, предложить фикс и оформить результат в форме, пригодной для Pull Request, тикета и отчёта. За ним неизбежно подтянутся аналоги — от облачных до локальных, включая отечественные ИИ.

Где угроза для российских вендоров?

SMB и разовые проверки. Небольшие и средние компании, которые покупали SAST ради отчёта, быстрого аудита перед релизом или «разжёванных» рекомендаций, будут пробовать обходиться Claude (или GigaChat). ИИ бьёт в самое ценное: заменяет интерпретацию и приоритизацию — то, за что клиент часто и платил.

Слой security-продуктивности у разработчика. Claude Code Security встраивается ближе к месту принятия решений. Он даёт ощущение, что безопасность «уже учтена»: нашёл — объяснил — предложил патч — добавил тест. Это снижает психологическую потребность запускать отдельный инструмент, особенно если тот воспринимается как тяжёлый, шумный и «для ИБ».

Корпоративный ИИ внутри периметра. Когда модель развёрнута локально, пропадает регуляторный барьер: разработчик в банке, которому раньше был закрыт доступ к внешним ИИ, использует внутренний контур для тех же задач — и часть ценности SAST как «единственного разрешённого помощника» исчезает.

Где угрозы меньше?
Крупные организации с требованиями регуляторов не могут заменить сертифицированный инструмент с историей проверок на диалог с ИИ. Анализ бинарников без исходного кода остаётся слабым местом LLM. Оценка рисков сторонних библиотек — поведение мейнтейнеров, supply chain, признаки намеренных закладок — требует специализированных данных, а не только умения читать код.

Будет ли ИИ писать безопасный код через 2–3 года?
Лучшая модель сегодня генерирует одновременно работающий И безопасный код только в 56% случаев. Даже если качество вырастет, общая проблема останется: публичные модели обучаются на коде, где уязвимостей уже много, а контекста системы — данные, периметр, устаревшие зависимости — ИИ часто не видит.

В чём настоящая угроза?
Риск для российских SAST не в том, что Claude их заменит. Чем больше кода пишется с помощью ИИ, тем больше уязвимостей попадает в продакшн. Но если у разработчика появляется привычка — написал код, Claude проверил, показал риск, предложил фикс, PR прошёл — то SAST начинает восприниматься как «ещё один внешний контроль», «источник шума», «что-то, что включают потом». Аудитор в конце.

А в продуктовой экономике это критично: кто стоит ближе к моменту принятия решения — тот забирает внимание, привычку и бюджет.

Рынок расслоится. Крупный enterprise и госсектор продолжат покупать сертифицированный SAST — регулятор не оставляет выбора. Но внутри периметра параллельно появится локальный ИИ-контур, который возьмёт на себя интерпретацию, фикс и объяснения для разработчиков.

SMB будет голосовать рублём. Те, у кого нет регуляторного давления, будут пробовать обходиться Claude — и часть из них не вернётся к классическому SAST вообще. Те, кому сертификат нужен, станут искать минимально достаточное решение по минимальной цене, а всё что сверху — объяснения, рекомендации, красивые отчёты — закрывать ИИ.

@gostev_future

Сегодня три поста про кибербез — и две реакции. Сигнал принят. Длинные разборы сворачиваю, даю топ-7 коротко. Детали потом расскажут другие аналитики — некоторым, возможно, за деньги.

Продукты и сервисы российских ИБ-компаний под угрозой замены ИИ

1. SAST — уже рассказал выше.

2. Профилирование и поведенческая аналитика сотрудников
Анализ переписки, выявление аномалий, детекция инсайдеров, построение психологических профилей — текстовая аналитическая задача в чистом виде. ИИ читает переписку и выдаёт оценку рисков без лицензии, установки агента и долгого внедрения. Наиболее прямая функциональная замена из всего списка.
SearchInform ProfileCenter, Staffcop.

3. Threat Intelligence — аналитический слой
Вопросы про группировки, техники атак, контекст CVE, объяснение TTPs — ИИ отвечает на них качественно уже сейчас. Клиент, который платил за TI-портал ради аналитических отчётов и объяснений для команды, начинает обходиться без него для рутинных задач. Уникальные закрытые данные даркнета, свежие IoC-фиды и атрибуция конкретных атак — не заменяются.
F6, Kaspersky TI Portal, BI.Zone TI, PT Expert Security Center.

4. Написание правил корреляции и плейбуков для SIEM
Sigma-правила, YARA, плейбуки реагирования, контент для MaxPatrol SIEM или KUMA — хорошо формализованная задача, которую ИИ выполняет быстро и качественно. Раньше клиент платил вендору или интегратору и ждал очереди на проект. Теперь аналитик делает это сам.
Kaspersky, PT, Solar — профессиональные услуги вокруг SIEM, плюс интеграторы — Инфосистемы Джет, Softline, Angara.

5. Отчётность по аудитам и пентестам
Пентестер тратил 30–40% времени проекта на написание отчёта — описание уязвимостей, риски, рекомендации, резюме для руководства. Теперь делает это в разы быстрее с ИИ. Стоимость проекта для клиента падает — маржа вендора тоже.
Angara Security, F6, PT, Solar, BI.Zone.

6. Digital Risk Protection
ИИ с веб-доступом уже ищет упоминания бренда в телеграм-каналах и пастбинах, анализирует тексты на релевантность, находит фишинговые страницы. Небольшие компании начнут обходиться без подписки на базовый мониторинг. Автоматизированный мониторинг даркнета в реальном времени и доступ к закрытым площадкам — не заменяются.
F6, BI.Zone Brand Protection, Kaspersky Digital Footprint Intelligence.

7. L1-аналитика в коммерческих SOC
Читать алерт, решить — инцидент или ложное срабатывание, эскалировать или закрыть, написать тикет. Формализованная задача классификации, которую ИИ, подключённый к SIEM через API, выполняет без участия человека. Компании с небольшим внутренним SOC начинают использовать ИИ-ассистента вместо найма второго L1-аналитика.
Solar JSOC, BI.Zone TDR, Angara SOC, МТС RED SOC.

@gostev_future

Давайте расскажу историю о том, как и когда нейросети впервые были применены в кибербезе. По уму, это надо было бы включить отдельной главой в нашу книгу «Вирьё моё», но там мы больше рассказали про угрозы, а не про технологии.

Итак, 2004 год.
18 января была моя смена в вирлабе, так что название новому, стремительно распространяющемуся почтовому червю пришлось придумывать тоже мне. Тогда одной из горячих тем была потеря на Марсе аппарата Beagle 2 — британского зонда, который исчез сразу после посадки.
Автор червя решил назвать свое творение также - “bbeagle.exe”, так что я недолго думал — убрал одну букву и задетектил: Email-Worm.Win32.Bagle.a.

«The original file name for the Bagle virus was Beagle, but computer scientists decided to call it Bagle instead as a way to spite Bagle's programmer»

Зонд так и не вышел на связь. Червь, напротив, оказался очень общительным.

К концу февраля счёт вариантам дошел до буквы .f. Автор червя решил усложнить нам жизнь.

Схема была элегантной в своей наглости: вредоносный файл упаковывался в запароленный архив, а пароль печатался прямо в теле письма. Пароль каждый раз разный. Расчёт на то, что получатель прочитает, распакует сам и запустит. Сам архив при этом каждый раз был разным — разные хэши, разные имена файлов. Задетектировать его «в лоб» было невозможно.

Антивирус смотрел на архив и видел зашифрованный контейнер. Заглянуть внутрь — не мог.
Решение нашлось там, где в вирлабе находились все лучшие решения тех лет — в курилке.

Нас было трое: я, аналитик Денис Назаров и Майк Павлющик — один из ключевых разработчиков антивирусного движка. Мы завязли в этой проблеме, и пока дымили, думали вслух.

Что такое письмо? По сути — текст. Такой же, как скрипт. JS, VBS, BAT — скриптовые угрозы тогда были одними из самых массовых, макровирусы цвели пышным цветом, и это была конкретно моя специализация в вирлабе.
Значит, надо научить антивирус читать письма.

Байесовские классификаторы, которые уже работали в спам-фильтрах, для такой задачи были бы избыточны и неудобны. Нам нужно было что-то проще и точнее. Алгоритм родился быстро: ищем в тексте письма слова password, pass, pw — берём следующее слово — передаём его в движок проверки архивов как пароль.

Всё.

Результат нас самих удивил: 100% детектирование всех писем с Bagle. База ушла в релиз. «Лаборатория Касперского» стала первой в мире, кто реализовал подобное — насколько мы знаем.

Технология до сих пор живёт — и у нас, и у других компаний. Патентовать это, кажется, мы даже не стали. Потом добавили ещё один слой: проверку архивов по списку наиболее распространённых паролей, так что иногда читать текст письма уже и не нужно.

Но всё это — только предыстория. Нейросети здесь ещё не появились.
Самое интересное началось буквально через пару недель…

@gostev_future

Автор Bagle вызов принял. Он вообще был активный товарищ — параллельно ещё и воевал прямо в коде червя с другим вирусописателем, автором NetSky. Так, в теле программы, среди байткода, красовалось послание:

"Hey, NetSky, fuck off you bitch, don't ruine our bussiness, wanna start a war?"

Увидев, что Каспер наглухо перекрыл тему с текстовыми паролями, Bagle придумал новый трюк — добавил в код функцию генерации пароля в виде GIF-картинки с цифрами. Как это выглядело – показано на скриншоте выше.

Можно было бы, конечно, детектировать саму конструкцию — слово «password» плюс img-тег рядом выглядели достаточно характерно:

Zip password: <img src="cid:hswnzbcqzl.gif">
Use password <img src="cid:kyndqtwrve.gif"> to open archive.
Password -- <img src="cid:tjhwzsfmzb.gif">

Но риск ложных срабатываний был слишком высок: мало ли кто и зачем шлёт письма с картинками рядом со словом «пароль». Требовалась новая идея.

Денис предложил её в той же курилке.
— Собираем все гифки из писем червя. Обучаем нейросеть распознавать цифры на картинке.

Что делать с результатом дальше — пока было не вполне ясно. Но тысячи гифок набрали быстро: эпидемия была в разгаре, образцов хватало. Сделали датасет, Денис написал нейронку, погонял — вышло 100% распознавания.

Осталось встроить это в антивирус.

Вот тут и проявилась вся элегантность архитектуры, придуманной Графом и Каспером ещё в 90-е.

У всех антивирусов в мире движок жил внутри самого продукта. Хочешь добавить поддержку нового формата или новую логику — выпускай новую версию продукта, жди пока пользователи установят.

У Касперского движок жил в базах обновлений. Новые форматы файлов, эвристики, распаковщики архивов, снятие протекторов — всё это релизилось моментально, вместе с обычными сигнатурными базами. Без обновления продукта.

Так появилась новая база — ocr.avc. Дата релиза сохранилась точно: 30 марта 2004 года. Внешние специалисты сразу заметили необычное имя и правильно догадались — это OCR для паролей в GIF. Нейросеть в движке, которую можно было обновлять хоть каждый час.

С этого момента и началась история ML в кибербезопасности.

Автор Bagle, разумеется, не сдался.

Он выпускал новые варианты — с зашумлённым фоном, с наклонёнными цифрами, с искажениями. Но каждая новая гифка моментально отправлялась в нейронку, та дообучалась, и в тот же день уходил релиз обновлённой базы.

Гонка длилась ещё пару лет. Потом он плюнул — и переключился на рассылку в письмах ссылок для загрузки трояна. Но это уже совсем другая история.

Наших клиентов мы уберегли. Остальные страдали.

Bagle всё равно успел построить гигантский по тем временам спам-ботнет. В 2009–2010 годах на него приходилось до 10% всего мирового спам-трафика. Более пяти миллиардов писем в день.

Денис Назаров потом уехал в США — руководить американским вирлабом Касперского. Затем был Symantec. Сейчас он Principal Engineering Manager в Microsoft.

Технология развилась в один из основных модулей борьбы с фишингом — например, мы добавили распознавание логотипов банков или сервисов.

Нейронка для распознавания цифр в гифках, придуманная в 2004 году в курилке московского вирлаба, стала первым промышленным применением машинного обучения в кибербезопасности. Мы тогда особо не задумывались о том, что делаем историю. Просто надо было остановить червя до конца рабочего дня 😇

@gostev_future

ИИ в российском ИБ-рынке уже не новинка, но ещё не революция. Что изменилось в 2024–2025 годах — так это переход от ML как «движка внутри продукта» к ИИ как явной потребительской ценности. Появились первые продукты, где ИИ — это не деталь реализации, а ключевой аргумент продажи:

Positive Technologies запустила MaxPatrol O2 — «автопилот SOC», который по заявлению компании совпадает с вердиктами опытных аналитиков в 100% случаев и автоматически отсекает 40% ложных срабатываний. PT Data Security использует NER-модель для классификации данных с заявленной точностью 96% против ~24-40% у regex-методов. Kaspersky создал KIRA — ИИ-ассистент для аналитиков SOC. В сентябре 2025 года они же объявили о разработке совместного со Сбером продукта на базе мультиагентной GenAI-системы для управления уязвимостями — с выходом на рынок в 2026 году.

Это всё ещё точечные применения. Структурный сдвиг бизнес-моделей пока не произошёл, но к 2030 году он неизбежен.

ИИ меняет российский ИБ-рынок, но не так, как принято описывать. Не через создание «суперинтеллектуальных» продуктов, а через три конкретных механизма:

➕ снижение себестоимости производства ПО через автоматизацию разработки;
➕ снижение стоимости сервисной аналитики через автоматизацию L1 SOC;
➕ улучшение точности детектирования в зрелых продуктах (SIEM, DLP, endpoint) через ML-модели поверх накопленных данных.

Все три механизма работают в пользу компаний с большими данными и масштабом — то есть в пользу уже лидирующих игроков.

Самый недооценённый риск для индустрии — не атаки с ИИ, а кадровый. ИИ снижает потребность в аналитиках L1, но увеличивает потребность в ML-инженерах, исследователях данных и специалистах по prompt engineering для ИБ. Этих людей в России ещё меньше, чем традиционных ИБ-специалистов. Вендор, который первым создаст эффективный pipeline подготовки ML-специалистов для ИБ, получит долгосрочное преимущество, не связанное с технологиями напрямую.

@gostev_future

ИИ смещает конкуренцию в сторону качества данных и скорости обучения моделей. Вендор с лучшей телеметрией (больше агентов в большем числе инфраструктур, разнообразнее среды) строит более точные модели детектирования. Это создаёт эффект масштаба, которого в прежней модели не было: накопленные данные сложно купить, скопировать или догнать за год.

Для российского рынка это означает, что ИИ-переход усиливает разрыв между топ-4 вендорами и остальными, а не выравнивает шансы. Небольшой вендор с 50 клиентами не сможет обучить модель детектирования аномалий, сопоставимую по точности с моделью компании, у которой 100 000 агентов в продакшене.

SIEM/XDR-платформы — наиболее зрелое поле применения ИИ. Классический SIEM собирает события и ищет сигнатуры. ИИ-обогащённый SIEM строит базовую линию поведения каждого пользователя и системы, детектирует отклонения и приоритизирует инциденты по реальному риску. Kaspersky KUMA уже показывает +28% рост в России в 2024-25 годах. MaxPatrol SIEM — флагман Positive Technologies. К 2028 году SIEMы без встроенного UBA (User Behavior Analytics) на ML-основе станут де-факто устаревшим продуктом в корпоративном сегменте.

Автопентест и BAS — класс, который ИИ пересоздаёт. Проблема пентестов была в том, что, по сути, все зависело от конкретного человека-эксперта. Есть у вас крутой хакер – вы делаете крутой пентест клиентам. Но это плохо масштабируется, да и зачем вы (вендор, как работодатель) крутому хакеру? – поэтому часто лучшая экспертиза уходила в бутиковые фирмы из парочки спецов.

PT Dephaze использует ИИ для автоматизации поиска путей атаки. Совместный проект Kaspersky и Сбера по базе мультиагентной системы Сбера, для автоматизации проверки защищенности с использованием GenAI — метит туда же. Это прямая конкуренция с человеческими пентестерами в части рутинных проверок.

К 2028 году «автоматический пентест раз в день» станет нормой для крупных компаний вместо «ручного пентеста раз в год». Это создаёт новую категорию подписочной выручки там, где сейчас есть разовые проекты.

Защита данных (DLP/DSP) — прямой бенефициар оборотных штрафов. PT Data Security делает ставку именно на ML-классификацию как главное конкурентное преимущество над традиционными DLP. Если 96% точность против 24-40% у regex-методов подтвердится в реальных инсталляциях (а не только в лабораторных условиях), это будет аргументом, который сложно игнорировать покупателям. Через несколько лет DLP без ML-классификации данных де-факто потеряет enterprise-рынок.

@gostev_future

Глобальные прогнозы по ИИ в кибербезопасности, как правило, написаны для западного рынка. Российский прогноз имеет свои отличия.

Доступ к инфраструктуре
Санкции отрезали российских разработчиков от облачных GPU-кластеров AWS, GCP и Azure. Обучение больших моделей в России — это либо собственные мощности (доступны только Яндексу и Сберу), либо дорогой параллельный импорт железа. Для ИБ-вендоров это означает что ставка на большие фундаментальные модели нереалистична. Реалистичная стратегия — дообучение открытых моделей (LLaMA, Mistral, российские аналоги) на специализированных ИБ-данных.

Данные как реальное конкурентное преимущество
Общий объём российских инвестиций в ИИ несопоставимо меньше американских и китайских — для сравнения, только венчурные инвестиции США в ИИ превысили $192 млрд. Это не значит, что российские вендоры хронически отстанут в применении ИИ для кибербезопасности — для этой задачи нужны не огромные модели, а качественные специализированные данные. Kaspersky и PT накопили эти данные за десятилетия. Яндекс и Сбер строят инфраструктуру. Синергия этих направлений видится как главный ресурс российской ИБ-индустрии в ИИ-гонке.

Регуляторный барьер
ФСТЭК и ФСБ сертифицируют средства защиты информации. ИИ-компоненты, принимающие автономные решения по безопасности, с высокой вероятностью потребуют отдельной сертификации. Это замедлит переход к полностью автономным системам защиты. «Автопилот SOC» в российском исполнении к 2028 году скорее всего будет «автопилот, где последнее слово за человеком» — потому что регулятор не разрешит иначе.

Спрос на «объяснимость»
Российский корпоративный заказчик, особенно государственный, исторически скептичен к «чёрным ящикам». Это задержит внедрение моделей, которые не могут объяснить своё решение. Продукты с интерпретируемыми результатами (PT Data Security с явными правилами поверх ML; MaxPatrol O2 с отображением цепочки рассуждений) будут продаваться лучше, чем ИИ-продукты с «просто работает, доверяйте нам».

@gostev_future

Мне кажется или у Лукацкого внезапно бомбануло?
Опять завел старую шарманку на тему «Антивирус не нужен, родной!» -- Зачем в 2026 покупать антивирус?"

Так можно же просто подойти к своим же топ-менеджерам, которые теперь топят за антивирус, как не в себя, и признают, что без него – ну никак, и устроить баттл.

Особый интерес представляют антивирусные продукты. В какой-то момент мы приняли, что без антивируса сделать полноценную защиту устройств невозможно, но коллаборации с конкурентами не получилось. Сейчас в компании есть команда, которая драйвит эту тему и видит, каким должен быть позитивный антивирус.

В общем, вы там или трусы наденьте или крестик снимите 😂

@gostev_future

Вчера вышел годовой финансовый отчёт Ростелекома, в котором приведены результаты Solar.

Разочаровали.

2024 год — 22,25 млрд рублей
2025 — 25,65 млрд
Рост 15%

Рост в 2–3 раза меньше, чем показали Каспер и ПТ. Не дотянули даже до ожидаемого мной результата в 27 млрд.

На результатах явно не сказалась синергия от кучи сделок по поглощению, на которые ушли сколько там миллиардов?

По слухам, теперь РТК прикручивает Солару эту инвест-вольницу и ужесточил требования к проектам.

В целом похоже, что вышла промашка с таймингом — и поглощения, и рост выручки (в 2024-м было +53%) подводились под IPO в 2025 году. Но не случилось.

Но всё ещё ждём, так что возможно скоро увидим детали по выручке от самого Солара.

@gostev_future