Похек
16K subscribers
2.15K photos
112 videos
243 files
3.11K links
All materials published on the channel are for educational and informational purposes only.

Мнение автора ≠ мнение компании, где работает автор

Чат: @poxek_chat

Реклама: @szybnev или
https://telega.in/c/poxek

РКН: https://clck.ru/3FsVhp
Download Telegram
Посовещался с одной нейронкой, она дала дельные советы по оптимизации траты токенов и запросов. Как будет возможность протестить их работоспособность и эффективность, то скину вам. На первый взгляд реально годные советы
🌚12❤‍🔥7🐳4
Forwarded from PWN AI (Artyom Semenov)
Затонувший континент, который научился чинить баги лучше людей - Atlantis.

Представьте ИИ, который берёт 54 миллиона строк кода, погружается в них и находит баги, пока вы спите. Звучит как фантастика? Нет - это команда Atlantis, победитель DARPA AIxCC.

Ранее вы видели интересный разбор Roboduck - инструмента с агентами для AppSec. Но Atlantis идёт дальше. Он доказал: ИИ реально умеет закрывать уязвимости почти как профи. Как профессиональный бариста, готовящий кофе по рецепту - почти безупречно, но иногда капля не туда.

Atlantis — это не одна монолитная система, а целый ансамбль систем. Несколько независимых агентов решают одну задачу, и их ошибки сглаживаются друг другом. Внутри есть агенты для C и Java, модули для фаззинга, патч-агенты, которые сами генерируют исправления, и сервис для красивых отчётов в SARIF.

Как работает система? Находит баг, система передаёт контекст, патч-агент предлагает исправление, код пересобирается, проверяется - и, если баг ушёл, фикс идёт в отчёт. Всё это масштабируется в облаках на Azure через Kubernetes. И да, бюджет был ограничен: из 💵50k на LLM 💵29k ушли на Patch-агенты и агенты которые работали с несколькими языками. Много кушает, но работает эффективно.

Агенты в этом случае не заменяют фаззинг — они его прокачивают📦. Они помогали создавать «обёртки» для функций, чтобы фаззер мог тестировать код, подсказывали уязвимые места и сами предлагали исправления. Классические методы брали на себя тяжёлую работу, проверяя каждую строчку.

Результат достаточно интересный: найдено 77 % багов, исправлено 61 %. Из патч-агентов: Мультиязычный — 69,2 %, C — 16,8 %, Java — 14 %.

Особая фишка — BGA (Blob Generation Agent), который не просто придумывал данные для фаззера, а создавал эксплойты, которые превращались в словари для поиска уязвимостей. Нулевые дни спрятались от страха в пыльном деревянном шкафу после этой новости.

Было и весело, и страшно. Один из компонентов ломался, если в пути встречалось слово «fuzz». На тестах всё ок, а на финале пайплайн встал. Починили буквально за пару часов до дедлайна. А ночные баги системы в Kubernetes-инфрастурктуре заставляли команду ловить ошибки в режиме ниндзя.

Сейчас такие проекты показывают, что ближайшее будущее AppSec - за гибридными системами. Когда интеллект человека, сила LLM и проверенные классические техники объединяются, баги уходят быстрее, точнее и надёжнее, чем когда-либо. И, честно говоря, это только начало.
Please open Telegram to view this post
VIEW IN TELEGRAM
❤‍🔥101
UNDERCONF 2
#ивент #конфа

Снова проводиться андеграундная конференция UNDERCONF. В прошлом году оно мне запомнилось атмосферными ретро компами и играми на них, хорошие доклады и очень классный мерчпак для спикеров. CFP в этом году снова был закрытым.

📍Город: Москва
📆Дата: 28 сентября (воскресенье)
🔖Программа доклада:
08:30 — открытие конференции, спонсорская презентация
09:00 — @reex — секретный доклад
10:00 — @Ahteesh0 — Реверсь своих, чтоб другим неповадно было: шифруем прошивку на SOC RK35* без NDA
11:00 — @deadroot — 0-day SSTI→RCE @laravel* и анархия
12:00 — @Michaelzhm — Отключение AV или самый грязный способ деплоя mimikatz
13:00 — Перерыв
14:00 — Дебаты
15:00 — @dlinyj — секретный доклад
16:00 — @Bam_hack — Эксплойты для мозга, реверс мошеннических скриптов
17:00 — @SooLFaa — секретный доклад
18:00 — @in7egral — 30 лет применения криптографии для защиты цифровых секретов. Итоги
19:00 — @scan87 — секретный доклад
20:00 — Закрытие конференции

💵Билеты: в этом году платные, но стоят от 3к рублей
‼️Но организаторы подогнали мне 30 билетов на эту замечательную конференцию
❗️Условия: быть подписанным на @poxek и быть участником @poxek_chat. Розыгрыш до 10 сентября!

🌚 @poxek
Please open Telegram to view this post
VIEW IN TELEGRAM
❤‍🔥18👍64
Глушилка для EDR. Обходим механизмы безопасности через Windows Filtering Platform
#EDR #Windows #Microsoft #AD #bypass

В этой статье я покажу вектор таргетированной атаки на трафик между EDR/XDR и сервером SOC. Через Bring Your Own Vulnerable Driver пропатчим Driver Signature Enforcement ядра Windows, после чего загрузим свой неподписанный драйвер Windows Filtering Platform, чистый по сигнатурам.


На осно­ве драй­вера мы под­нимем проз­рачный прок­си, который будет перех­ватывать и собирать тра­фик меж­ду аген­том и сер­вером. Это поз­волит обой­ти защиту, отве­чающую за хра­нение чувс­тви­тель­ных дан­ных про­филя бра­узе­ра и кон­троль одно­разо­вых сес­сий. Под­робнос­ти про обход DSE ты можешь про­честь в мо­ем иссле­дова­нии.

По­мимо пря­мой борь­бы с EDR с помощью передо­вых методов вре­донос­ного ПО, сущес­тву­ют аль­тер­натив­ные спо­собы обхо­да, такие как исполь­зование неп­равиль­ных нас­тро­ек или уяз­вимос­тей EDR, уда­ление аген­та EDR или исполь­зование уяз­вимого драй­вера (Bring Your Own Vulnerable Driver, BYOVD), который при­бива­ет про­цес­сы аген­тов EDR. Сре­ди этих кос­венных методов обхо­да осо­бен­но инте­рес­ны те, что осно­ваны на сетевых под­клю­чени­ях.

🔗Читать дальше

🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK
Please open Telegram to view this post
VIEW IN TELEGRAM
❤‍🔥16👍3🔥3
I See You! Как я нашел уязвимости в приложении, сайте и прошивке IP-камеры
#iot

В этом ресерче я хочу рассказать о цепочке уязвимостей, которую я нашел в системах компании — производителя роутеров, камер и модемов. Мы пройдем путь от возможности перебора пользователей на сайте через захват аккаунтов до полного захвата камер через RCE.

Ресерч и статья от коллеги админа @k3vg3n

🔗Читать дальше

🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK
Please open Telegram to view this post
VIEW IN TELEGRAM
🌚11👾4🔥1
Ничего не радует в понедельник так, как мысль что через неделю в отпуск 😎
Please open Telegram to view this post
VIEW IN TELEGRAM
👍20🔥17👾82
Затянул чет я с обещанным постом про Claude Code. Я попользовался неделю, взял сначала тариф за 20$, но как ожидалось - начал я днем кодить, к вечеру, примерно 21:00, меня уже остановил дневной лимит))
Сразу доплатил ещё 80$ до подписки MAX за 100$. На ней по сей день работаю, устраивает.

Что хочу по самому Claude Code, как ПО. Работать в cli не очень удобно, расширение Claude Code for VS Code немного спасает ситуацию, но полноценная интеграция в IDE гораздо удобнее, даже если откинуть какие-то другие интерфейсные вкусняшки. Да, есть расширение от какого-то юзера, которое как бы добавляет сам чат внутрь VS Code, но это скорее детская поделка, чем полноценное расширение

По поводу моделей: т.к. я кодю как чертила, часов до 12 в день, то оставил по умолчанию Sonnet 4.0, иначе мне никаких подписок не хватит на дорогущую Opus 4.1. Последней я пользуюсь максимум для планирования, по идее ещё можно при сверх сложных задачах, но пока таких не встречал.

Какие фичи мне понравились в Claude Code:
/compact - суммаризирует контекст диалога и передает в следующий, через итераций 5 только начинают теряться детали из самого первого чата. Также оно делается автоматически при полном исчерпании контекста
/context - красиво показывает чем забился контекст
/agents - опреденно крутая фича, которую я пока не раскусил. Если интересно, то погуглите Claude Code Subagents. Я написал пока только двух агентов, первый пишет автотесты, второй делает security review. Из крутого, что узнал - у агентов отдельный контекст, независимый от основного чата.
/security-review - еще не протестил
/init - оно как бы инициализирует проект, но по факту эта фича читает файлы проекта и сама понимает где оно находится и какой контекст проекта и формирует Claude.md. Точно нет смысла делать инит в пустой папке, хотя бы надо README.md положить. Но сама Claude.md сверх полезная штука.
/memory - оно как раз основано на Claude.md и туда можно прям из cli что-то дописывать. Я туда написал правила по написанию коммитов.
/ide просто удобная интеграция с VS Code, Jetbrains {IDE} и даже с Cursor вроде можно, главное чтобы расширение официальное стояло
Есть фича с auto-edit и plan-mode - must have к использованию сначала второго, потом первого при написании каких-то конкретных фич или комплексного фикса.

Соответственно не понравилось:
cli, а не IDE
частенько отваливаются mcp почему-то

В общем, годно, но есть куда расти
5❤‍🔥4
Zero Nights восстала из пепла и ждёт ваши доклады! 🔥

После 4 лет молчания легендарная конференция Zero Nights возвращается в 2025 году. И они жаждут свежей крови на сцене!

➡️СFP 2025: что ищут
1. Offensive Track — вопросы об актуальных техниках атак, а также темы, связанные с этичным хакингом, аспектами выявления уязвимостей и их эксплуатации.
2. SecOps Track — доклады о практической защите на всех уровнях: от кода до инфраструктуры. Здесь говорят о реальных кейсах SecOps, о стратегии AppSec и рабочих подходах к безопасной разработке.

За эксклюзивы поощряют материально - Zero Nights готова платить за уникальные исследования и первые публичные раскрытия.

Тему находит
Ресерч делат
На CFP подават
Доклад рассказат


Есть что сказать сообществу? Не держи в себе - Zero Nights снова готова дать тебе сцену 🎤
Please open Telegram to view this post
VIEW IN TELEGRAM
62
Неожиданный конкурс на самого милого вашего домашнего животного)
🐳8👍2
Forwarded from Russian OSINT
🌐 Бывший генеральный директор Google Эрик Шмидт в 📲 интервью прогнозирует, что бесконтрольное развитие ИИ может уничтожить средний класс и вызвать социальные волнения.

🤖Основные прогнозы относительно развития ИИ:

1️⃣ В ближайшие 6 лет большинство людей могут потерять свои рабочие места из-за внедрения ИИ. Шмидт говорит не о частичной автоматизации, а о том, что большинство людей лишатся своих текущих профессий. Государства и чиновники не до конца понимают масштаб возможных последствий. Правительства абсолютно не готовы к скорости грядущих изменений.

2️⃣ Ведущие ИИ-эксперты Кремниевой долины сходятся во мнении, что мир необратимо изменится в ближайшие 2-4 года, а фундаментальный сдвиг в его структуре произойдёт примерно через 3 года.

3️⃣ ИИ-агенты и прорыв в области машинных рассуждений полностью изменят рабочие процессы во всех сферах человеческой деятельности.

4️⃣ Уже сейчас специальные ИИ-системы лучше 90% аспирантов-математиков и входят в топ-10% элиты от науки, демонстрируя очень высокие результаты во многих узкоспециализированных областях.

5️⃣ Переломным моментом станет достижение "рекурсивного самосовершенствования", когда ИИ начнет самостоятельно улучшать себя. Шмидт не дает точных сроков для этого события, но по его личной оценке — произойдет это через 6 лет.

6️⃣ AGI будет обладать стратегическим мышлением. Прогноз появления: 4-6 лет.

7️⃣ ASI будет умнее, чем все человечество вместе взятое. Тест для проверки: человечество сможет верифицировать решение сложнейшей задачи как правильное, но сам ход доказательства будет недоступен человеческому пониманию. Шмидт говорит о создании "нечеловеческого интеллекта". Эдакий цифровой Демиург: холодный, сверхумный, расчётливый и стерильный. Прогноз появления: до 10 лет.

8️⃣ Наблюдается глобальный раскол в ИИ индустрии. Запад (в основном США) из-за огромных капиталовложений создает мощные, но закрытые ИИ-модели. Китай, в свою очередь, делает ставку на государственное финансирование и создание открытых моделей. Раскол приведет к тому, что передовые технологии могут остаться на Западе, но большинство стран мира будут использовать и адаптировать более доступные открытые модели, вероятно, китайского происхождения.

👆Ранее Эрик Шмидт высказался резко против ⚠️ «Манхэттенского проекта» и монополии AGI за 🇺🇸одним государством.
--------------------------

Схожей позиции придерживается «Крестный отец ИИ» Джеффри Хинтон, который дал интервью FT.

По мнению Хинтона, ИИ может вызвать резкий рост безработицы уже в этом десятилетии. В этом виновата не технология, а капиталистическая система. Компании, занимающиеся разработкой ИИ, больше озабочены краткосрочными прибылями, а не долгосрочными последствиями развития технологий.

Богатые люди будут использовать ИИ для замены 👷‍♂️работников...

ИИ приведет к массовой безработице и огромному росту прибылей. Несколько человек станут намного богаче, а большинство людей — беднее.

— считает Хинтон.

В интервью Хинтон отвергает идею генерального директора OpenAI Сэма Альтмана о выплате безусловного базового дохода (UBD), поскольку она «не решает проблему человеческого достоинства», так как люди ощущают чувство собственной ценности от работы.

В интервью он предупредил, что ИИ может помочь кому-либо создать 🇺🇸⚠️биологическое оружие (в том числе смертоносные вирусы), и выразил сожаление по поводу нежелания 🇺🇸администрации Трампа более жестко регулировать ИИ, в то время как 🇨🇳Китай относится к этой угрозе более серьезно.

🤖По оценке Хинтона, вероятность уничтожения человечества сверхинтеллектом составляет около 10-20%.

Хинтон считает, что единственная надежда для человечества — спроектировать ИИ так, чтобы он стал для нас подобно матери, которая «заботится о ребенке, сохраняя его жизнь и его развитие». «Именно к таким отношениям мы должны стремиться».

@Russian_OSINT
Please open Telegram to view this post
VIEW IN TELEGRAM
😱11👍55🔥3
и никто даже не написал
🐳2
Похек
UNDERCONF 2 #ивент #конфа Снова проводиться андеграундная конференция UNDERCONF. В прошлом году оно мне запомнилось атмосферными ретро компами и играми на них, хорошие доклады и очень классный мерчпак для спикеров. CFP в этом году снова был закрытым. 📍Город:…
🎉 Результаты розыгрыша билетов на Underconf 2:

🏆Победители:
1. @devstout (21535460)
2. @vad_matvienko (270833309)
3. @Ple1ades (309956200)
4. @fabulous311 (990642087)
5. @tembitt (620167051)
6. @Bukshtinovi4 (7009442441)
7. @kvas1lek (1350235526)
8. @w1nterf0g (312934660)
9. @fdsarr_officiall (217328589)
10. @makot0_desu (2076750617)
11. @mr_seawolf (123252250)
12. @afanx (368804898)
13. @brghtlghts (149246429)
14. @mnhkjp (922194302)
15. @szybnev (2087892286)
16. Hasbullaevich (1285438283)
17. @nonemoon (792763054)
18. @KarriSen (1387958520)
19. ᅠ (816912146)
20. @alumniduck (5404381252)
21. @weeeeder (1087604092)
22. @Sinland (192226667)
23. @neeagleism (1242837950)
24. @Sol1v (550896125)
25. @arseny2606 (425548994)
26. Maks (1200364768)
27. @smilerg (500232138)
28. @kadjafeliz (6932597678)

✔️Проверить результаты
Please open Telegram to view this post
VIEW IN TELEGRAM
💔10🔥6
Похек
UNDERCONF 2 #ивент #конфа Снова проводиться андеграундная конференция UNDERCONF. В прошлом году оно мне запомнилось атмосферными ретро компами и играми на них, хорошие доклады и очень классный мерчпак для спикеров. CFP в этом году снова был закрытым. 📍Город:…
Выбор дополнительных победителей (в количестве 4):

🏆 Победители:
1. Bagley (@bagl3y)
2. Алексей (@mac_callan)
3. ×!4=Нарзан | (@RULovesPokemonORULikeABakugan)
4. Ulya (@fixik0xff)

✔️Проверить результаты
Please open Telegram to view this post
VIEW IN TELEGRAM
💔5❤‍🔥3
Сори за баги с ботом, он чёт совсем отвратительно работает сегодня.
Я начну писать всем, вам нужно ответить в течение 24 часов на моё сообщение и подтвердить участие. Если не ответите, то билет сгорает для вас и будет отдан другому человеку
64
Всем отписал, жду ответов. Если вдруг кого пропустил, то отпишите в лс с реплаем на ваш ник в посте
🔥4
Первая полностью автоматизированная кибератака: хакер превратил Claude в киберпреступника
#AI #LLM #Claude #Anthropic

Anthropic зафиксировала первый случай использования AI-чатбота для полной автоматизации кибератаки. Один хакер атаковал 17 компаний, используя Claude Code как универсального киберпреступника

➡️ Анатомия AI-powered атаки

Что делал Claude Code в роли киберпреступника:
➡️Разведка целей - идентифицировал уязвимые компании для атак
➡️Создание малвари - написал вредоносное ПО для кражи данных
➡️Анализ украденного - организовал и проанализировал похищенные файлы
➡️Оценка ущерба - определил чувствительность данных для вымогательства
➡️Финансовый анализ - изучил финансовые документы жертв для расчёта суммы выкупа
➡️Написание угроз - составил письма-вымогательства

Результат: Полностью автоматизированная кибератака от поиска цели до получения выкупа.

➡️ Масштаб операции

17 атакованных компаний:
➡️Оборонный подрядчик
➡️Финансовая организация
➡️Несколько медицинских учреждений
➡️Другие критически важные организации

Украденные данные:
➡️Номера социального страхования
➡️Банковские реквизиты
➡️Конфиденциальная медицинская информация
➡️Оборонная информация, регулируемая Госдепом США (ITAR)

Суммы вымогательства: От $75,000 до $500,000+ в биткоинах

➡️ Технические детали

➡️Использованный инструмент: Claude Code - специализированная версия для программирования ("vibe coding")
➡️Длительность операции: 3 месяца
➡️География: Хакер действовал из-за пределов США
➡️Методы обхода защит: "Сложные техники" для обхода многоуровневых систем защиты Anthropic

➡️ Что это означает для индустрии

Jacob Klein (Anthropic Threat Intelligence): "Мы ожидаем, что такая модель станет всё более распространённой, поскольку ИИ снижает барьер входа для сложных кибер-операций."

Ключевые инсайты:
➡️Первый задокументированный случай полной автоматизации кибератаки через AI
➡️ИИ превратился из помощника в написании фишинговых писем в полноценного APT оператора
➡️Снижение барьера входа в киберпреступность - теперь не нужны глубокие технические знания

➡️ Проблемы AI Safety

Парадокс безопасности:
➡️Anthropic считается одной из самых безопасных AI-компаний
➡️Имеет "надёжные защитные меры и множественные уровни защиты"
➡️Но "решительные злоумышленники иногда пытаются обойти системы"

Регулирование: AI-индустрия практически не регулируется.

Мы наблюдаем рождение нового класса киберугроз. Когда ИИ становится полноценным кибер-оператором, правила игры меняются кардинально. Вопрос не в том, повторится ли это, а в том, как часто 🚨

p.s. прошу прощения, что посты выходят так редко. Сейчас стараюсь как можно скорее вывести свой R&D проект в прод и желательно не умереть в процессе. Возможно в будущем получиться более полноценно рассказать о нём, но не факт

🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥14🤯2👍1
На почту, на которую вы регали билет на offzone упали промики от Xakep.ru на 1 месяц. Бежим активировать))
🔥132🤯1
Какой бы мерч хотелось бы увидеть в 4 квартале этого года?

У меня есть идея с качественным тёплым шарфом, но он довольно дорогой. Хотелось бы наконец добить идея со стикерами фирменными. Была идея что-то с техникой сделать, к примеру поверы или GaN зарядки. А из одежды было бы прикольно все таки сделать худаки, коли уже практически сезон и чисто в футболке щеголять в +16° уже не очень. Кстати, была очень классная идея сделать классный качественный рюкзак. Я его физически щупал, мне понравилось)

❤️Какие у вас есть мысли?

Также отдельным пунктом еще с PHD 2 держу слова некоторых людей, что есть желание перезапустить старую коллекцию мерча, где были RCE для сердца, RCE/SQLi и Багхантерский Забив Чаши. Кстати, последний мерч у меня с недавнего времени есть в наличии в размере M/L 3 штуки. Кто хотел бы приобрести, забегайте в лс
Please open Telegram to view this post
VIEW IN TELEGRAM
❤‍🔥9
1. Небольшое обновление. Я знаю, что оно вызовет много недовольств и хейта, но я во-первых уже закаленный в боях хейте, во-вторых я смотрю на это как на диверсификацию рисков в случае изменеий в политике Telegram. Собственно благодаря хорошему взаимоотношению с VK, я спустя несколько месяцев договорился о том, чтобы мне создали канал в MAX с моим тегом @poxek <— тут уже ссылка на канал в MAX. Я не обязывался постить туда контент первее или эксклюзивнее. Просто вот тебе канал, пости туда что-нибудь.
2. Я посшушал вас по поводу мерча, основное выделил: кепки/бейсболки, шапки, перчатки, худи, шарф/баф, балаклава от холода. Стикеры никто не поддержал, но я их всё равно доделаю.
🌚236👍5😱2
3. Благодаря вам канал приносит деньги и я уже на сходке после PHD2 озвучивал свою мысль, что я очень благодарен вам за это и хочу побольше делать раздач и какого-то мерча на раздачу. Я думаю делать либо раз в месяц или раз в квартал раздачи какого-то полезного информационного контента(курсы/промокоды на что-то) или какого-то материальных вещей. У меня не всегда хватает фантазии на что-то новое или интересное. Поэтому предлагаю вам предложить мне, в конкурсе или раздач чего вы бы хотели учавствовать.

Давай соберём под этим постов как можно больше комментариев и на чьем посте будет набрано больше комментариев, на тот вариант я отдельно обращу внимание и обдумаю его. Естественно что-то объективно неприличное или дебильное, я даже обращать внимание не буду
👍15❤‍🔥6