Маніпуляції в медіа краще один раз “зіграти”, ніж десять разів прочитати про них у чеклісті.

Тренажер Bad News це гра, де ти сам стаєш творцем фейкових новин і вчишся набирати аудиторію через емоції, поляризацію, тролінг, конспірологію та псевдоавторитет.

Звучить дивно, але саме в цьому цінність: коли бачиш механіку зсередини, легше розпізнати її в реальних новинах, соцмережах, Telegram-каналах і навіть AI-generated контенті.

Практична ідея: дайте команді 15 хвилин пройти гру, а потім обговоріть 3 питання:

-які прийоми були найпереконливішими?
-де ми бачимо такі патерни в реальному інфополі?
-як це може проявлятися в phishing, fake alerts або AI-generated reports?

https://www.getbadnews.com/

AgentBaiting: як перевіряти AI Skills, MCP-сервери й агентські плагіни до встановлення

Ваш AI-агент може не просто знайти корисний MCP-сервер. Він може знайти malware і чемно принести вам інструкцію з README.
Island Security Research описали AgentBaiting у кампанії FakeGit: близько 7 600 шкідливих GitHub-репозиторіїв, понад 800 з них маскувалися під AI Skills або MCP-сервери. Частина таких проектів потрапляла в публічні AI/MCP-каталоги. Payload: SmartLoader, далі StealC для крадіжки credentials, browser sessions, cookies і токенів.

Мінімальний процес на цей тиждень: завести Jira-шаблон “AI capability intake”, allowlist перевірених MCP/skills, GitLab CI job, який блокує .mcp.json, agent config, ZIP/EXE/BAT/CMD зміни без approval, і Slack-алерт для security review.

Питання до вас: у вашій команді агенти вже можуть самі шукати й пропонувати інструменти, чи це ще ручний процес?

https://svyat.tech/agentbaiting-yak-pereviryati-ai-skills-mcp-serveri-i-agentski-plagini-do-vstanovlennya

Як закрити egress і sandbox для AI-агентів, перш ніж давати їм код, CI та внутрішні інструменти

AI-агенти вже треба захищати як напівавтономних операторів, а не як “розумний autocomplete”.

Привід: OpenAI та Hugging Face описали інцидент під час cyber-evaluation, де модель в ізольованому середовищі знайшла шлях назовні через дозволений package proxy, а далі ланцюжком дій дісталася до зовнішньої інфраструктури. GitLab у свіжому розборі сформулював дуже практичний висновок: sandbox закритий лише настільки, наскільки закриті всі сервіси, до яких агент може звертатися.

Що зробити на проекті цього тижня:
- Проведіть egress inventory для AI-агентів
- Введіть deny-by-default: агенту не потрібен “майже весь інтернет”
- Перевірте allowlist як attack surface
- Додайте audit log для tool calls: хто/який агент/який prompt/який інструмент/який outbound request/який approval.

https://svyat.tech/yak-zakriti-egress-i-sandbox-dlya-ai-agentiv-persh-nizh-davati-im-kod-ci-ta-vnutrishni-instrumenti

Майже всі зараз обговорюють, наскільки добре AI вміє знаходити вразливості в коді.

Але мені здається, цікавіша історія починається трохи в іншому місці.

OpenBurp з'єднує Burp Suite Professional з Claude Code або Codex через MCP. Тобто агент отримує доступ до реального web security workflow: HTTP-трафіку, браузера через proxy, Burp та, за бажанням, окремого Kali-контейнера з nmap, sqlmap, impacket та іншими інструментами.

І ось тут AI переходить від ролі «порадника» до ролі оператора інструментів.

Він може побачити endpoint, проаналізувати request/response, сформувати гіпотезу, перевірити її через Burp, піти в браузер, виконати наступну дію і зберегти результати.

Тобто автоматизується вже не окрема перевірка, а шматок самого pentest workflow.

І це, як на мене, цікавіше за чергове «AI знайшов XSS».

Burp поки нікуди не йде. Просто тепер біля клавіатури може сидіти не тільки людина 🙂

https://github.com/luispacheco22/OpenBurp

🤖 AI може згенерувати тест-кейси, проаналізувати вимоги, написати SQL-запит або розібрати лог. Але щоб він справді економив час, треба правильно поставити задачу, перевірити результат і безпечно вбудувати його у QA-процес.

Навчіться застосовувати AI на всіх етапах тестування — на курсі «AI для тестування» від robot_dreams.

Після 16 занять ви:
🔹аналізуватимете вимоги та генеруватимете тест-кейси
🔹створюватимете Test Plan, Test Strategy та regression scope
🔹працюватимете з Swagger/OpenAPI, API-запитами, SQL і тестовими даними
🔹аналізуватимете дефекти, логи та покриття
🔹використовуватимете AI для accessibility-, performance-, usability- та security-тестування
🔹навчитеся перевіряти AI-відповіді на галюцинації, помилки й ризики для даних

Лекторка: Юлія Заревич, Senior QA Lead в Intellias, із 10 роками досвіду в Quality Assurance та сертифікацією ISTQB Certified Tester Testing with Generative AI.

Деталі, програма та реєстрація ⬅️

AI-review кожного коміту, бот моніторингу кожні п’ять хвилин, ще кілька агентів для Jira і команда витрачає квоту на повторення тієї самої роботи.

Практичний спосіб це впорядкувати: codex-lb для пулу дозволених облікових записів та LiteLLM для керування доступом, бюджетами й API-викликами.

Важлива деталь: балансувальник не робить промпт коротшим. Він розподіляє навантаження. Економію потрібно закласти у workflow:

• Для GitLab review надсилати diff і потрібні залежності, а повторний запуск прив’язувати до commit SHA та версії промпту.
• Для моніторингу спочатку групувати алерти звичайним кодом. Викликати AI, коли змінився стан інциденту, а не заради чергового «все без змін».
• Вимірювати токени й витрати на корисний результат: підтверджений дефект, оброблений інцидент, прийняте оновлення документації.

https://svyat.tech/yak-ekonomyty-tokeny-na-code-review-monitorynhu-i-komandnykh-avtomatyzatsiiakh-za-dopomohoiu-codex-lb-ta-litellm

Разом з АЗОВ.ONE та DOU збираємо кошти на НРК наземні роботизовані комплекси.

Це техніка, яка може виконувати небезпечні завдання замість людей. Доставляти необхідне, допомагати з евакуацією та працювати там, де ризик для військових надто високий.

І тут є один важливий момент.

Ми багато говоримо про AI, роботизацію та автоматизацію. Про те, як технології поступово замінюють людську працю.

Але зараз в Україні роботизація має значно важливіше завдання замінювати людину там, де вона може загинути.

І це, мабуть, один із найкращих прикладів того, навіщо взагалі потрібен технологічний прогрес.

🎯 Загальна ціль збору — 3 500 000 грн.
Моя особиста ціль — 30 000 грн.

Розумію, що зборів зараз багато. Але навіть невеликий донат має значення, коли нас багато.

Тому буду вдячний кожному, хто долучиться гривнею або поширенням.
Бо нехай краще втрачаємо роботів, ніж людей. 🇺🇦

💛 Банка для донатів:
https://send.monobank.ua/jar/27j2nDP4ar

🛡️ Думаєш, добре розбираєшся в кібербезпеці? Є можливість перевірити це на практиці.

8 листопада в Києві відбудеться FlyForge CTF — офлайн-змагання з кібербезпеки у форматі Capture the Flag (King of the Hill), організоване SET University за підтримки IronCyber.

І тут буде цікаво тим, хто любить не просто шукати вразливості, а й розуміти, як працюють реальні атаки.

💻 Що чекає на учасників?

Уявіть, що у вас є лише фрагмент пам'яті скомпрометованої системи. З нього потрібно витягнути логи, ключі та маршрути, знайти шлях до інфраструктури противника й захопити контроль над ціллю.

І все це в умовах конкуренції з іншими командами.

Формат King of the Hill означає, що недостатньо просто знайти вразливість. Потрібно захопити позицію та втримати її.

⏱ 4 години практичного Red Team змагання.

https://docs.google.com/forms/d/e/1FAIpQLSeKs403BFba5abivSl-lBXnG4EZdGhfU8sTNMUYmPslFFWDXw/viewform

Ми поступово підходимо до моменту, коли AI буде не тільки писати код, а й самостійно намагатися його зламати.

Натрапив на цікавий open-source проєкт Strix AI агент для автоматизованого пентестингу.

І це вже трохи більше, ніж звичайний сканер вразливостей.

Strix може аналізувати код, досліджувати вебзастосунки та API, шукати вразливості й намагатися підтвердити їх реальними експлойтами.

Підтримує мультиагентну архітектуру, Docker, CI/CD, а також інтеграцію з Claude Code, Codex та іншими AI-агентами через Skills.

Але мене тут зачепила інша річ.

Ми поступово переходимо від перевірки коду на відомі вразливості до перевірки того, чи може AI реально скористатися ними.

І це суттєва різниця.

Звичайний SAST може повідомити про потенційну SQL Injection. А агент здатен спробувати відтворити атаку й показати, чи справді вона працює.

У перспективі це може змінити сам підхід до Security Testing.

https://github.com/usestrix/strix

Як використання AI впливає на підготовку до ISO 27001 та ISO 42001?

19 листопада колеги з Protagonist та IMS International проведуть відкриту Q&A-сесію, та проаналізують вимоги стандартів, типові невідповідності та практичні аспекти проходження сертифікаційного аудиту.

Для кого: CTO, CISO, Compliance Officers, IT-керівників, фаундерів та представників технологічних компаній, які використовують AI або готуються до сертифікації.

Формат відкритої дискусії: практичні відповіді від експертів IMS International та Protagonist.

Маєте запитання? Залиште його під час реєстрації за посиланням: https://forms.gle/cyDarGqcn6723ZTR8

🚨 «Позич гроші»: шахраї зламують Telegram-акаунти та пишуть друзям

Вам може прийти повідомлення від знайомого, друга, родича чи колеги з проханням терміново позичити гроші та переказати їх на картку.

❗ Але писати вам може зовсім не ця людина.

Одна з поширених схем виглядає так: шахраї отримують доступ до Telegram-акаунта, після чого від імені власника пишуть його контактам:

💬 «Привіт, можеш позичити гроші? Терміново потрібно. Ось картка…»

Людина бачить знайоме ім’я та фото, не підозрює обману й здійснює переказ. А вже після дзвінка знайомому з’ясовується, що його акаунт було зламано.

🔐 Що робити, якщо знайомий просить гроші в месенджері?

✅ Зателефонуйте йому або зв’яжіться через інший канал та особисто підтвердьте прохання.

✅ Якщо акаунт зламали — попередьте власника.

✅ Порадьте змінити пароль та увімкнути двофакторну автентифікацію.

✅ Повідомте про інцидент Кіберполіцію та CERT-UA.

❌ Не переказуйте гроші лише тому, що повідомлення прийшло зі знайомого акаунта.

❌ Не довіряйте людині тільки через те, що вона знає ваші особисті дані — частину інформації шахраї можуть знайти у відкритому доступі.

⚖️ Такі дії можуть кваліфікуватися як шахрайство за ст. 190 Кримінального кодексу України.

📌 Запам’ятайте просте правило:
перш ніж позичити гроші через месенджер — зателефонуйте людині та перевірте інформацію.