Одна ошибка и ты ошибся

Я тут чуть не подкинулся и не написал пост по новости о том, что ChatGPT выдал пользователю фишинговую ссылку, в результате чего первый потерял $2,1 млн.

Благо, я пошел фактчекать эту историю и искать источник в СМИ. В общем, еще в апреле, судя по интернетам, произошла аналогичная ситуация, но только по ссылке человек перешел не из ЧатаГПТ, а из таргетированной рекламы. Те же $2,1 млн, но только в России.

В целом, инфоповод то хороший и поучительный – не доверяйте тому, что вам выдает ваш чатбот, он точно также потребляет информацию из сети интернет, только в кратно бОльших объемах. Но это не означает, что его ответы будут ближе к истине, чем информация на листовках, приклеенным к фонарным столбам.

Ну а реальная это новость или вымышленная – решать вам.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Ладно, я не справился. Я не справился с той самой 📄 Резюмешной, в которую каждый день сваливается с десяток новых заявок на вступление. И по каждой заявке я (по своему же плану) должен написать человеку и спросить, кто он – рекрутер или кандидат. И, если второе, то взять у него резюме на проверку.

Казалось бы, а чего ты жалуешься, Рома, если ты сам эту схему и придумал? А того, что больше половины из тех, кому я пишу, просто игнорируют мои сообщения. А некоторые еще и в бан кидают мой аккаунт 🏌️

Да и я не думал, что будет такой большой поток людей, если честно, поэтому писать всем вовремя я не всегда (никогда) успеваю.

Поэтому было принято волевое решение – засрать мне личку поменять процедуру добавления резюме, кандидатов, рекрутеров и нанимающих менеджеров в Резюмешную. Теперь вам нужно написать мне в личку – @romanpnn.

Если вы кандидат и хотите опубликовать свое резюме – сразу присылаете его в PDF и без всяких "Компания под NDA" или "ТОП-10 банков РФ". Если вы рекрутер или нанимающий менеджер, то просто пишите, из какой вы компании. Вот и все, проще – некуда.

Держу в курсе, кстати, в канале уже почти 250 человек, половина из которых – рекрутеры, а в личку мне регулярно пишут ребята, которые не без помощи Резюмешной находят себе работу. И да, проект то все еще некоммерческий, хотя времени туда уходит целый вагон.

Всем мир!!!!!!

Общий секрет.

«Современные проблемы требуют современных решений» - подумали инженеры 90х, когда произошла крупная утечка паролей по небезопасным протоколам. Никогда не знаешь, что станет следующей ступенькой в развитии безопасности, так что сегодня разбираемся в истории и устройстве SSH: что подтолкнуло к созданию протокола и о принципе его работы.

#Network #BaseSecurity

🧠Кибер ПТУ | 👨‍🏫Менторство ИБ
📂Другие каналы

А вот и оно!

https://youtu.be/691C9-r7EW0
https://youtu.be/691C9-r7EW0
https://youtu.be/691C9-r7EW0

Разбираем по полочкам, что именно нужно освоить кибербезопаснику в 2026 году, чтобы оставаться востребованным и лутать офферы на рынке.

Ссылки на запись:
- 📹 Youtube
- 📺 VK Video

👨‍🏫 Менторство ИБ | Отзывы

При всей простоте подобных роликов (раз, два, три), на их монтаж у меня до сих пор уходят часы, а порой и десятки часов. И это при том, что мне хочется добавлять нормальную графику, анимации и делать красивый постпродакшен. И, по сути, сильнее всего выпуск этих роликов тормозит именно монтаж.

Так вот, взываю к вам, дорогие читатели. Если вы или кто-то из ваших знакомых готовы ворваться в этот движ и помочь с монтажом, то не сдерживайте себя и пишите/присылайте примеры своих работ мне – @romanpnn

А еще у меня есть идея (и даже отснятый материал) создания роликов в формате этих медиаглыб (раз или два). И вот тут я без вашей помощи уже точно не справлюсь.

И да, само собой, все это я предлагаю делать не за бесплатно. Так что погнали работать уже, миру нужно больше полезных кибербезопасных роликов!!!

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Нет, ну это реально приятные новости, что сказать)

👨‍🏫 Менторство ИБ | Отзывы | 📹 YT

«У меня Linux, меня не взломают»

Эту фразу можно часто услышать во время спора о том, какая операционка лучше (особенно, если в команте есть кто-то из клана Арч-линуксоидов). Но так ли это на самом деле?
Возможно, лет двадцать назад Linux действительно можно было считать одной из самых защищенных ОС, но сейчас этот миф далек от реальности. Поэтому разберемся: откуда он взялся, что в нем правда, а что давно устарело. Владельцы маков и айфонов – вы следующие 🤨

В далеких нулевых Linux занимал на десктопах 1-2% от всей доли рынка, и писать под него массовые вирусы было экономически бессмысленно (зачем, когда рядом 90%+ Windows). Усложняла задачу и его архитектура: разделение прав, работа без администратора по умолчанию, установка софта из подписанных репозиториев, а не со случайных сайтов. А финальной причиной репутации «самой безопасной операционки» стала сама аудитория: типичный пользователь Linux был технарем, которого сложно поймать на банальные хакерские приемы, вроде установки подозрительных exe-файлов из ненадежных источников.

Проблема в том, что из мысли «атакуют реже» сделали вывод «не атакуют вообще». А вот это уже неправда.

На сегодняшний день Linux – одна из самых атакуемых ОС на планете. Просто не на десктопе. На Linux работает большая часть интернета: серверы, облака, роутеры, камеры видеонаблюдения, NAS, умные телевизоры. И все это взламывают ежедневно, в промышленных масштабах.

Вспомним историю с ботнетом Mirai, который в 2016 году взломал и собрал армию из сотен тысяч Linux-устройств, чтобы устроить крупнейшие на тот момент DDoS-атаки в США. (Подробнее рассказывал об этом случае тут).

Вымогатели, которые работают с вирусами-шифровальщиками, давно пришли на Linux: атакуют серверы, NAS и гипервизоры – по сути, места, где лежит самое ценное. Дополнительную нагрузку выдают криптомайнеры: их боты круглосуточно сканируют интернет и заселяются на любой плохо настроенный Linux-сервер за считанные часы.
Если у вас есть собственный VPS, загляните в его логи SSH у увидите тысячи попыток подбора пароля в сутки. И это не атака лично на вас, это норма.

Короче, дыры находятся регулярно, причем, в самом основании системы. Несколько примеров из архива:

• Baron Samedit (2021): уязвимость, позволявшая любому локальному пользователю получить полный доступ к root. Просидела в коде около десяти лет.
• PwnKit (2022): то же самое в Polkit. Больше десяти лет во всех крупных дистрибутивах.
• Dirty Pipe (2022): дыра в самом ядре, позволявшая перезаписывать файлы, доступные только для чтения.
• Бэкдор в xz-utils (2024) – главная жемчужина. Злоумышленник два года изображал добросовестного мейнтейнера (поддержка) открытого проекта, втерся в доверие к уставшему автору и внедрил закладку, открывавшую доступ к SSH-серверам (программе для удаленного управления). Бэкдор успел попасть в коды крупных дистрибутивов, и мир спасло то, что один инженер заметил: SSH стал отвечать на полсекунды медленнее. Полсекунды.

Ну и не устану повторять, главная уязвимость всегда находится по эту сторону экрана. Фишинговой странице все равно, из какого браузера вы ввели пароль, а вредоносному расширению – под какой ОС красть ваши куки и сессии. Утечка пароля с чужого сайта одинаково бьет по всем.

Что можно сделать, чтобы себя обезопасить:
⚡️ Обновляться: автообновления безопасности (unattended-upgrades и аналоги) – обязательная база.
⚡️ SSH: только ключи, парольный вход отключить, fail2ban не помешает.
⚡️ Не запускать скрипты из интернета не глядя: скачали – прочитали – запустили.
⚡️ Полнодисковое шифрование на ноутбуке.
⚡️ Бэкапы: шифровальщику все равно, какая у вас версия операционной системы.
⚡️ Помнить, что главные ворота – браузер: только необходимые расширения, менеджер паролей, двухфакторная аутентификая.

Linux – действительно отличная основа: прозрачность, быстрые патчи, вменяемая модель прав. Но безопасность – это не особенности кода или ядра, а привычки. Система не защитит от решений, которые принимаете вы сами.

Такие дела. А вы какой операционкой пользуетесь?

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Ха-ха-харнесс

Некоторое время назад слово это стало слышно из всех утюгов, а значит самое время разобраться, что это за зверь такой и как с ним работать.

Харнесс – это своего рода агентная обвязка вокруг модели, которая позволяет превратить ИИ в автономную рабочую единицу, способную вызывать разные туллы, решать сложные и продолжительные задачи без участия человека. Грубо говоря – скин вашего ИИ-агента из скриптов, скиллов и инструментов.

В целом харнесс сейчас становится глобальным трендом: вокруг своих моделей такой слой выстраивают OpenAI, Anthropic и другие крупные игроки. И не просто так. LangChain показал, насколько сильно он может влиять на результат: с той же LLM и теми же весами компания поднялась в Terminal-Bench 2.0 с позиции за пределами топ-30 на 5-е место — только за счет изменения инфраструктуры вокруг модели.

В России своим харнессом недавно хвастались ребята из Яндекса, которые обновили Алису. Теперь она сама может определять, какая модель лучше справится с задачей пользователя и работать в качестве оркестратора. Свои наработки в похожем ключе показывали еще Сбер и МТС.

А где здесь безопасность? Тут все мы можем вспомнить про пример с Claude, который любой маломальски подозрительный запрос перекидывает на более слабую модельку. Или кейсы, когда модель начинает генерировать ответ и резко обрывается на полуслове, выдавая стандартную заглушку. За подобное поведение в основном отвечают гардрейлы (сложно уже, да, держитесь) – они работают как межсетевой экран для ИИ, отрезая вредоносный промпт или наоборот, генерацию, которую пользователю показывать не надо.

Внутри харнесса подобных контролей и ограничений можно накрутить еще больше, хоть на обращение к каждому инструменту. Австралийский департамент кибербезопасности недавно даже выкатил весьма насыщенный текст по безопасности ИИ как раз через призму харнесса. А еще вот свежая статья, где авторы буквально разработали харнесс с фокусом на защиту агента и его миньонов субагентов от промпт-инъекций и прочих ИИ-специфичных атак.

А если компания разворачивает открытые модели на собственной инфраструктуре — то все вместе это закрывает понятный и важный класс риска: данные не передаются стороннему иностранному провайдеру и не могут утечь через зарубежную модель.

Так что тема перспективная и интересная не только в контексте эффективности ИИ-агентов, но и в контексте развития темы кибербезопасности искуственного интеллекта. Такие дела.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT