Cервіс JustOpenFile Viewer, це досить цікавий інструмент для перегляду файлів прямо в браузері, якщо є ризик відкриття файлу на компьютері:

- локальні файли відкриваються без завантаження на сервер;
- підтримуються PDF, Word, Excel, ZIP, JSON, CSV, SQLite, EPUB, відео, аудіо, зображення та багато інших форматів;
- не потрібен акаунт чи встановлення програми;
- якщо відкривається файл за URL, він завантажується безпосередньо з джерела, а для сайтів без CORS можна увімкнути проксі-режим.

Чи безпечно на 100%?

З технічної точки зору ідея виглядає так, поки що: там справді нема реквесту який би перенаправляв вайл на стороній сервер, але треба бути обережними і перевіряти спочатку чи нічого не змінилось, а потім вже вільно туди завантажувати конфеденційні файли для читання, якщо є загроза в вірусі.

https://justopenfile.com/en/viewer

AI-агент уже не просто “чатик”. Якщо він має доступ до браузера, коду, shell, GitHub, Jira чи корпоративних даних, він стає окремим цифровим виконавцем. І для нього потрібні правила, як для користувача, сервісного акаунта або підрядника.

Свіжа тема дня: Open Secure AI Alliance просуває SAFE — Shared AI Findings Exchange.

Практичний висновок простий:
агентам потрібні окремі identity та мінімальні права;
кожен tool call, prompt, credential і файл має логуватись;
network egress краще робити deny-by-default з allowlist;
“я думав, що це тестове середовище” не має бути виправданням без доказів.

Хороша вправа на сьогодні: випишіть усіх своїх AI-агентів і поруч поставте 4 колонки: доступи, логи, stop condition, owner. Якщо хоч одна порожня там майбутній інцидент.

https://svyat.tech/safe-dlya-ai-agentiv-chomu-zvitnist-pro-vtechi-i-near-miss-stane-novoyu-normoyu-kiberbezpeki

OpenAI розширила Daybreak і представила GPT‑5.6‑Cyber — спеціалізовану модель для кібербезпеки, але не “для всіх”. Доступ іде через Daybreak Red для перевірених користувачів і організацій, які виконують авторизовану security-роботу.

Чому це важливо?
Бо ми бачимо нову норму для AI у cybersecurity: більше можливостей, але й більше контролів.

Практичні висновки для команд:
- advanced AI для pentest/red team має жити в scoped environments;
- cyber-агентам потрібні sandbox, monitoring і чіткий scope;
- high-risk дії мають проходити auto-review або human review;
- для production-систем краще deny-by-default і мінімальні права;
- модель має допомагати не тільки знайти баг, а довести його, описати impact і допомогти з remediation.

Це дуже схоже на майбутню enterprise-модель: AI не замінює security governance, а вимагає зробити його зрілим.

https://svyat.tech/openai-daybreak-i-gpt56cyber-yak-viglyadaye-kontrolovanii-dostup-do-frontier-ai-dlya-kiberbezpeki

Маніпуляції в медіа краще один раз “зіграти”, ніж десять разів прочитати про них у чеклісті.

Тренажер Bad News це гра, де ти сам стаєш творцем фейкових новин і вчишся набирати аудиторію через емоції, поляризацію, тролінг, конспірологію та псевдоавторитет.

Звучить дивно, але саме в цьому цінність: коли бачиш механіку зсередини, легше розпізнати її в реальних новинах, соцмережах, Telegram-каналах і навіть AI-generated контенті.

Практична ідея: дайте команді 15 хвилин пройти гру, а потім обговоріть 3 питання:

-які прийоми були найпереконливішими?
-де ми бачимо такі патерни в реальному інфополі?
-як це може проявлятися в phishing, fake alerts або AI-generated reports?

https://www.getbadnews.com/

AgentBaiting: як перевіряти AI Skills, MCP-сервери й агентські плагіни до встановлення

Ваш AI-агент може не просто знайти корисний MCP-сервер. Він може знайти malware і чемно принести вам інструкцію з README.
Island Security Research описали AgentBaiting у кампанії FakeGit: близько 7 600 шкідливих GitHub-репозиторіїв, понад 800 з них маскувалися під AI Skills або MCP-сервери. Частина таких проектів потрапляла в публічні AI/MCP-каталоги. Payload: SmartLoader, далі StealC для крадіжки credentials, browser sessions, cookies і токенів.

Мінімальний процес на цей тиждень: завести Jira-шаблон “AI capability intake”, allowlist перевірених MCP/skills, GitLab CI job, який блокує .mcp.json, agent config, ZIP/EXE/BAT/CMD зміни без approval, і Slack-алерт для security review.

Питання до вас: у вашій команді агенти вже можуть самі шукати й пропонувати інструменти, чи це ще ручний процес?

https://svyat.tech/agentbaiting-yak-pereviryati-ai-skills-mcp-serveri-i-agentski-plagini-do-vstanovlennya

Як закрити egress і sandbox для AI-агентів, перш ніж давати їм код, CI та внутрішні інструменти

AI-агенти вже треба захищати як напівавтономних операторів, а не як “розумний autocomplete”.

Привід: OpenAI та Hugging Face описали інцидент під час cyber-evaluation, де модель в ізольованому середовищі знайшла шлях назовні через дозволений package proxy, а далі ланцюжком дій дісталася до зовнішньої інфраструктури. GitLab у свіжому розборі сформулював дуже практичний висновок: sandbox закритий лише настільки, наскільки закриті всі сервіси, до яких агент може звертатися.

Що зробити на проекті цього тижня:
- Проведіть egress inventory для AI-агентів
- Введіть deny-by-default: агенту не потрібен “майже весь інтернет”
- Перевірте allowlist як attack surface
- Додайте audit log для tool calls: хто/який агент/який prompt/який інструмент/який outbound request/який approval.

https://svyat.tech/yak-zakriti-egress-i-sandbox-dlya-ai-agentiv-persh-nizh-davati-im-kod-ci-ta-vnutrishni-instrumenti

🦄 Hot ISTQB Conference

🍹 Оновлена коктейльна карта сертифікацій ISTQB від Alexandra Kovalova
🥩 Гриль зала по Quality Engineering in DevOps від Oleg Zarevych;
💡GenAI на проєктній кухні тестувальника від Iryna Volnyh;
🥓 PROсмажка іспиту для Test Automation Engineer від Kostiantyn Teltov;
🍽 Таємна кухня від української національної борди (USQB) від Ramella Basenko;
🍳 Пательна дискусія: meta-skills тестувальника в часи АІ-істерики за участі Sviatoslav Login, Evgeny Tolchinsky, та Viktoriia Taraniuk — обговоримо, що залишається важливим для тестувальника в еру AI.

Детальна програма вже на сайті, тож реєструйтеся!

📆 Коли: 19 вересня
🎥 Де: онлайн
💸 Вартість: безкоштовно після реєстрації
🔗 Деталі і реєстрація: https://certifiedunicorns.pro/hot-istqb-conference-2026

хто не зміг зайти, - поправив лінк

Майже всі зараз обговорюють, наскільки добре AI вміє знаходити вразливості в коді.

Але мені здається, цікавіша історія починається трохи в іншому місці.

OpenBurp з'єднує Burp Suite Professional з Claude Code або Codex через MCP. Тобто агент отримує доступ до реального web security workflow: HTTP-трафіку, браузера через proxy, Burp та, за бажанням, окремого Kali-контейнера з nmap, sqlmap, impacket та іншими інструментами.

І ось тут AI переходить від ролі «порадника» до ролі оператора інструментів.

Він може побачити endpoint, проаналізувати request/response, сформувати гіпотезу, перевірити її через Burp, піти в браузер, виконати наступну дію і зберегти результати.

Тобто автоматизується вже не окрема перевірка, а шматок самого pentest workflow.

І це, як на мене, цікавіше за чергове «AI знайшов XSS».

Burp поки нікуди не йде. Просто тепер біля клавіатури може сидіти не тільки людина 🙂

https://github.com/luispacheco22/OpenBurp

А як у вас? Який бекграунд робите в професіі будівельника? Бо я собі дивоюсь в фулстек))