Тестирование моделей ИИ на открытом бенчмарке: результаты «Рекрипториума»
Positive Technologies выпустили открытый бенчмарк OMCBench для проверки моделей ИИ. Бенчмарк содержит 800 пакетов для Python и JS (по 400 вредоносных и чистых пакетов на каждую систему), суммарно больше 25 тысяч файлов.
Мы решили протестировать на нём наши модели «Рекрипториума». Результаты — в карточках. Их также можно сравнить с другими решениями в открытой таблице бенчмарка — по ключевым метрикам наши модели демонстрируют более высокие показатели.
Наши модели ИИ для анализа Python и JS используют трансформеры, обученные нами на наших постоянно пополняемых датасетах, а также другие методы анализа. При этом для анализа не потребовался GPU — всё работает на обычном CPU.
#рекрипториум #ии
Positive Technologies выпустили открытый бенчмарк OMCBench для проверки моделей ИИ. Бенчмарк содержит 800 пакетов для Python и JS (по 400 вредоносных и чистых пакетов на каждую систему), суммарно больше 25 тысяч файлов.
Мы решили протестировать на нём наши модели «Рекрипториума». Результаты — в карточках. Их также можно сравнить с другими решениями в открытой таблице бенчмарка — по ключевым метрикам наши модели демонстрируют более высокие показатели.
Наши модели ИИ для анализа Python и JS используют трансформеры, обученные нами на наших постоянно пополняемых датасетах, а также другие методы анализа. При этом для анализа не потребовался GPU — всё работает на обычном CPU.
#рекрипториум #ии
👍8🔥6🤝2
Дежавю: приложения без верификации Google перестанут запускаться
Google готовит обязательную верификацию личности для разработчиков Android-приложений. Открытое письмо против инициативы уже подписали 70+ организаций, включая F-Droid, EFF, Free Software Foundation и GrapheneOS Foundation.
С 30 сентября 2026 года требование вступает в силу в Бразилии, Индонезии, Сингапуре и Таиланде, а с 2027 года Google планирует распространить его на все Android-устройства в мире. Важный момент: это касается не только новых публикаций приложений. Приложения, разработчик которых не прошёл верификацию, будут заблокированы прямо на устройстве пользователя. Под требование попадают все каналы: Google Play, сторонние и региональные магазины приложений (в том числе российские), прямая установка apk.
В карточках разобрали:
• что именно меняется и когда
• какие требования предъявляются к разработчикам
• как будет работать установка приложений от неверифицированных издателей
• кого изменения затронут в первую очередь
Похожая схема начала применяться довольно давно. В нулевых Microsoft ввела обязательную подпись драйверов для Windows: разработчики проходили верификацию, покупали ключ для подписи и подписывали драйверы ядра. Процедура несколько раз менялась — появились EV-сертификаты, менялся сам процесс подписи. Позже практика распространилась и на обычные приложения: подпись Authenticode формально не обязательна, но рекомендована. Инициатива Microsoft продвигалась как мера повышения безопасности.
На практике количество вредоносного ПО от этого заметно не снизилось. Ключ для подписи злоумышленники могут купить так же, как и легитимный разработчик, а получить доступ к ядру системы можно и через уязвимый подписанный драйвер — например, антивируса. Эффективность такой верификации именно с точки зрения безопасности вызывает вопросы.
В 2022 году российские компании-разработчики лишились возможности подписывать новые версии драйверов ранее приобретёнными EV-сертификатами из-за введённых в одностороннем порядке ограничений со стороны Microsoft. Мы, как и многие другие компании, столкнулись с этой ситуацией напрямую.
Инициатива Google несёт более серьёзные риски: она позволяет блокировать конкретные приложения непосредственно на устройстве пользователя, и в их число потенциально могут попасть приложения российских организаций. При этом на практическую безопасность системы такой механизм влияет незначительно.
Google готовит обязательную верификацию личности для разработчиков Android-приложений. Открытое письмо против инициативы уже подписали 70+ организаций, включая F-Droid, EFF, Free Software Foundation и GrapheneOS Foundation.
С 30 сентября 2026 года требование вступает в силу в Бразилии, Индонезии, Сингапуре и Таиланде, а с 2027 года Google планирует распространить его на все Android-устройства в мире. Важный момент: это касается не только новых публикаций приложений. Приложения, разработчик которых не прошёл верификацию, будут заблокированы прямо на устройстве пользователя. Под требование попадают все каналы: Google Play, сторонние и региональные магазины приложений (в том числе российские), прямая установка apk.
В карточках разобрали:
• что именно меняется и когда
• какие требования предъявляются к разработчикам
• как будет работать установка приложений от неверифицированных издателей
• кого изменения затронут в первую очередь
Похожая схема начала применяться довольно давно. В нулевых Microsoft ввела обязательную подпись драйверов для Windows: разработчики проходили верификацию, покупали ключ для подписи и подписывали драйверы ядра. Процедура несколько раз менялась — появились EV-сертификаты, менялся сам процесс подписи. Позже практика распространилась и на обычные приложения: подпись Authenticode формально не обязательна, но рекомендована. Инициатива Microsoft продвигалась как мера повышения безопасности.
На практике количество вредоносного ПО от этого заметно не снизилось. Ключ для подписи злоумышленники могут купить так же, как и легитимный разработчик, а получить доступ к ядру системы можно и через уязвимый подписанный драйвер — например, антивируса. Эффективность такой верификации именно с точки зрения безопасности вызывает вопросы.
В 2022 году российские компании-разработчики лишились возможности подписывать новые версии драйверов ранее приобретёнными EV-сертификатами из-за введённых в одностороннем порядке ограничений со стороны Microsoft. Мы, как и многие другие компании, столкнулись с этой ситуацией напрямую.
Инициатива Google несёт более серьёзные риски: она позволяет блокировать конкретные приложения непосредственно на устройстве пользователя, и в их число потенциально могут попасть приложения российских организаций. При этом на практическую безопасность системы такой механизм влияет незначительно.
❤3🤔3👍2👌1
ФСТЭК обновила требования к защите персональных данных
ФСТЭК опубликовала итоговый проект приказа, который заменит действующий приказ № 21 от 2013 года. Новый документ вступает в силу с 1 сентября 2026 года — приказ представляет собой полностью переработанный состав мер.
Основные изменения:
1. Гибкий подход вместо жёсткого списка мер
2. Обязательная оценка эффективности
3. Расширенный перечень мер
4. Требования к сертифицированным СЗИ
Ознакомиться с полным текстом приказа можно по ссылке.
ФСТЭК опубликовала итоговый проект приказа, который заменит действующий приказ № 21 от 2013 года. Новый документ вступает в силу с 1 сентября 2026 года — приказ представляет собой полностью переработанный состав мер.
Основные изменения:
1. Гибкий подход вместо жёсткого списка мер
Вместо фиксированного перечня из 15 групп мер — трёхуровневая модель выбора:
1) определение базовых мер по уровню защищённости (1–4)
2) адаптация мер под архитектуру и технологии своей ИС
3) верификация, что адаптированные меры закрывают актуальные угрозы
2. Обязательная оценка эффективности
Вводится количественный показатель — «уровень зрелости» (У_зи). Оценка проводится:
• до начала обработки ПДн
• не реже 1 раза в 3 года
• после любого компьютерного инцидента у оператора
Требование распространяется и на обработчиков, привлечённых оператором.
3. Расширенный перечень мер
В список впервые чётко включены:
• защита при использовании искусственного интеллекта
• защита виртуализации, облаков, контейнеров и оркестрации
• защита технологий интернета вещей (IoT)
• защита программных интерфейсов (API)
• непрерывное взаимодействие с ГосСОПКА (для объектов КИИ)
• мониторинг ИБ и управление уязвимостями
4. Требования к сертифицированным СЗИ
Минимальный класс и уровень доверия СЗИ зависят от уровня защищённости ИСПДн:
• 1-й уровень — класс не ниже 4, уровень доверия не ниже 4
• 2-й уровень — класс не ниже 5, уровень доверия не ниже 5
• 3-й и 4-й уровни — класс 6, уровень доверия 6
Чем выше уровень защищённости, тем дороже и надёжнее должны быть сертифицированные СЗИ.
Ознакомиться с полным текстом приказа можно по ссылке.
👍4👏3🔥2❤1
Рекрипториум добавит поддержку APK-файлов
Наш Рекрипториум постоянно развивается — в ближайшем релизе добавим поддержку APK-файлов.
Высокие показатели на независимых данных достигнуты за счёт того, что модель использует не только стандартные статистические метрики файлов, но и структурные особенности, которые мы научились выявлять с помощью обученного нами трансформера.
Как и во всех наших моделях, скорость обработки позволяет использовать её практически в поточном режиме.
#рекрипториум #ии
Наш Рекрипториум постоянно развивается — в ближайшем релизе добавим поддержку APK-файлов.
Метрики модели на текущий момент: AUC=0.9928, F1=0.956.
Высокие показатели на независимых данных достигнуты за счёт того, что модель использует не только стандартные статистические метрики файлов, но и структурные особенности, которые мы научились выявлять с помощью обученного нами трансформера.
Как и во всех наших моделях, скорость обработки позволяет использовать её практически в поточном режиме.
#рекрипториум #ии
🔥7👍4👏3❤1
Как мы понимаем, что APK безопасен?
Разобрали в карточках, чем наш подход к анализу APK отличается от классических антивирусных решений.
Современные вредоносные APK всё чаще мимикрируют под обычные приложения, и лишь детальный комплексный анализ с помощью ИИ способен выявить вредоносную составляющую, скрытую зачастую с помощью технологий обфускации.
ИИ-классификатор Рекрипториума работает полностью статически — без запуска приложения. Он извлекает код из всех DEX-файлов, строит граф вызовов между методами, анализирует последовательности API-вызовов и ошибки парсинга структуры APK, а также анализирует DEX обученным нами трансформером.
В карточках — подробнее о том, что скрывают упакованные APK, почему традиционные методы классификации плохо работают и за счёт чего наша модель ИИ показывает хорошие результаты.
#рекрипториум #ии
Разобрали в карточках, чем наш подход к анализу APK отличается от классических антивирусных решений.
Современные вредоносные APK всё чаще мимикрируют под обычные приложения, и лишь детальный комплексный анализ с помощью ИИ способен выявить вредоносную составляющую, скрытую зачастую с помощью технологий обфускации.
ИИ-классификатор Рекрипториума работает полностью статически — без запуска приложения. Он извлекает код из всех DEX-файлов, строит граф вызовов между методами, анализирует последовательности API-вызовов и ошибки парсинга структуры APK, а также анализирует DEX обученным нами трансформером.
В карточках — подробнее о том, что скрывают упакованные APK, почему традиционные методы классификации плохо работают и за счёт чего наша модель ИИ показывает хорошие результаты.
#рекрипториум #ии
🔥4❤1👍1
Бесфайловое закрепление в браузерах семейства Chromium: как обнаружить и как не допустить инсталляцию импланта с помощью платформы Рекрипториум
Интересная, технологичная и весьма опасная техника закрепления в системе с использованием расширений Chromium.
Опасность в том, что этот подход к закреплению относится к бесфайловым (fileless persistence), и является достаточно скрытным: после установки вредоносного импланта следов на диске в виде каких-либо отдельных вредоносных файлов не останется. Эксплуатируется механизм кэширования сценариев — по сути, это вариант cache poisoning. Имплант работает в контексте легитимного процесса браузера, что хорошо маскирует сетевую активность, а для установки не требуются права администратора.
Как обнаружить установленный имплант
1. Файл Secure Preferences
Он находится по пути:
Любое изменение этого файла, особенно если оно не связано с установкой или обновлением расширений через официальный магазин, является серьезным сигналом.
2. Анализ реестра Service Worker
База данных Service Worker Registration — это независимый компонент, который хранит информацию о зарегистрированных Service Worker. Необходимо периодически проверять базу Service Worker на предмет регистраций, которые ссылаются на несуществующие или подозрительные расширения.
Для этого можно использовать встроенные средства браузера: набрать в адресной строке
Как удалить
Проще и быстрее всего — сбросить настройки браузера.
Как противодействовать установке вредоносного импланта
Мы пропустили архив репозитория с примером через Рекрипториум. Наши модели ИИ классифицировали его как подозрительный, а пофайловый анализ безошибочно выявил файлы с вредоносной логикой. Рекрипториум обнаруживает угрозу до того, как имплант успевает появиться в кэше браузера.
На скриншотах — в дополнение к результатам Рекрипториума показаны результаты работы VirusTotal.
#offensive #почитать #ии #рекрипториум
Интересная, технологичная и весьма опасная техника закрепления в системе с использованием расширений Chromium.
Опасность в том, что этот подход к закреплению относится к бесфайловым (fileless persistence), и является достаточно скрытным: после установки вредоносного импланта следов на диске в виде каких-либо отдельных вредоносных файлов не останется. Эксплуатируется механизм кэширования сценариев — по сути, это вариант cache poisoning. Имплант работает в контексте легитимного процесса браузера, что хорошо маскирует сетевую активность, а для установки не требуются права администратора.
Как обнаружить установленный имплант
1. Файл Secure Preferences
Он находится по пути:
C:\Users\<Пользователь>\AppData\Local\<Chromium-based browser>\User Data\Default\Secure PreferencesЛюбое изменение этого файла, особенно если оно не связано с установкой или обновлением расширений через официальный магазин, является серьезным сигналом.
2. Анализ реестра Service Worker
База данных Service Worker Registration — это независимый компонент, который хранит информацию о зарегистрированных Service Worker. Необходимо периодически проверять базу Service Worker на предмет регистраций, которые ссылаются на несуществующие или подозрительные расширения.
Для этого можно использовать встроенные средства браузера: набрать в адресной строке
chrome://inspect/#service-workers (или edge://inspect/#service-workers) и проверить список зарегистрированных Service Worker. Любая подозрительная запись в этом списке — повод для углубленного исследования.Как удалить
Проще и быстрее всего — сбросить настройки браузера.
Как противодействовать установке вредоносного импланта
Мы пропустили архив репозитория с примером через Рекрипториум. Наши модели ИИ классифицировали его как подозрительный, а пофайловый анализ безошибочно выявил файлы с вредоносной логикой. Рекрипториум обнаруживает угрозу до того, как имплант успевает появиться в кэше браузера.
На скриншотах — в дополнение к результатам Рекрипториума показаны результаты работы VirusTotal.
#offensive #почитать #ии #рекрипториум
👍3🔥2❤1
Skynet не за горами
OpenAI опубликовала подробный разбор недавнего инцидента с Hugging Face.
Напомним контекст. В июле 2026 года было обнаружено, что модели OpenAI в процессе обучения с подкреплением (Reinforcement Learning) смогли обойти меры контроля, предназначенные для их изоляции в том числе от сети Интернет. Говоря более привычным нам, безопасникам, языком — они смогли выйти из «песочницы». При этом были скомпрометированы отдельные компоненты внутренней исследовательской инфраструктуры OpenAI и систем Hugging Face.
Главной движущей силой стала модель для внутреннего использования (как много в этой фразе), сравнимая по масштабу с флагманской GPT-5.6 Sol. Модель, обозначенная в отчёте как IM1 (Internal Model 1), смогла инициировать обмен сообщениями между агентами через не предназначенный для этого сервис менеджера пакетов Artifactory. Используя SSRF, агенты заставили Artifactory — у которого был доступ к интернету исключительно для скачивания и установки пакетов — отправлять произвольные интернет-запросы от их имени. Обнаружив этот способ доступа в сеть, агенты поделились им с другими агентами через импровизированную доску сообщений Artifactory, благодаря чему те тоже смогли воспользоваться уязвимостью инфраструктуры.
Это если очень кратко — подробности в оригинальном материале, там всё действительно интересно.
Есть мнение, что это пиар-акция OpenAI. Вероятно, так и есть. Но что мешает пиар-акции при этом быть правдой? Наш опыт показывает, что потенциал ИИ только начинает раскрываться: модели становятся мощнее и умнее от релиза к релизу, а агентский подход позволяет использовать их возможности максимально эффективно. ИИ в offensive security — уже де-факто стандарт, как мы и предсказывали, например, здесь. И в защите, несмотря на известную консервативность отрасли, ИИ тоже занимает своё место — наш «Рекрипториум» тому пример.
Всё только начинается.
#ии #рекрипториум #почитать
OpenAI опубликовала подробный разбор недавнего инцидента с Hugging Face.
Напомним контекст. В июле 2026 года было обнаружено, что модели OpenAI в процессе обучения с подкреплением (Reinforcement Learning) смогли обойти меры контроля, предназначенные для их изоляции в том числе от сети Интернет. Говоря более привычным нам, безопасникам, языком — они смогли выйти из «песочницы». При этом были скомпрометированы отдельные компоненты внутренней исследовательской инфраструктуры OpenAI и систем Hugging Face.
Главной движущей силой стала модель для внутреннего использования (как много в этой фразе), сравнимая по масштабу с флагманской GPT-5.6 Sol. Модель, обозначенная в отчёте как IM1 (Internal Model 1), смогла инициировать обмен сообщениями между агентами через не предназначенный для этого сервис менеджера пакетов Artifactory. Используя SSRF, агенты заставили Artifactory — у которого был доступ к интернету исключительно для скачивания и установки пакетов — отправлять произвольные интернет-запросы от их имени. Обнаружив этот способ доступа в сеть, агенты поделились им с другими агентами через импровизированную доску сообщений Artifactory, благодаря чему те тоже смогли воспользоваться уязвимостью инфраструктуры.
Это если очень кратко — подробности в оригинальном материале, там всё действительно интересно.
Есть мнение, что это пиар-акция OpenAI. Вероятно, так и есть. Но что мешает пиар-акции при этом быть правдой? Наш опыт показывает, что потенциал ИИ только начинает раскрываться: модели становятся мощнее и умнее от релиза к релизу, а агентский подход позволяет использовать их возможности максимально эффективно. ИИ в offensive security — уже де-факто стандарт, как мы и предсказывали, например, здесь. И в защите, несмотря на известную консервативность отрасли, ИИ тоже занимает своё место — наш «Рекрипториум» тому пример.
Всё только начинается.
#ии #рекрипториум #почитать
🔥4😁3👍2🤔1
Ещё раз про трансформеры для анализа машинного кода
Тема не новая: в Рекрипториуме обученные нами трансформеры используются в целом ряде моделей и являются неотъемлемой их частью. Мы уже писали, почему одних только трансформеров недостаточно для качественной классификации исполняемых файлов.
По ссылке — интересный пост о том, как обучить собственную mini-GPT-модель для обнаружения аномалий в коде (в данном случае речь об обфускации, которую особо и не скрывают).
Хороший материал для примерного понимания механики, а также для организации студенческих лабораторных работ. Но в прод такое не годится, даже если красиво назвать ;)
#почитать
Тема не новая: в Рекрипториуме обученные нами трансформеры используются в целом ряде моделей и являются неотъемлемой их частью. Мы уже писали, почему одних только трансформеров недостаточно для качественной классификации исполняемых файлов.
По ссылке — интересный пост о том, как обучить собственную mini-GPT-модель для обнаружения аномалий в коде (в данном случае речь об обфускации, которую особо и не скрывают).
Хороший материал для примерного понимания механики, а также для организации студенческих лабораторных работ. Но в прод такое не годится, даже если красиво назвать ;)
#почитать
👍2
Антивирусная лаборатория: разбираемся по порядку. Часть 1: зачем она нужна.
Самые частые вопросы, которые звучат на созвонах и личных встречах по Рекрипториуму, выглядят так:
Вопрос №1: «Сколько человек в антивирусной лаборатории “Рекрипт”?»
Вопрос №2: «Сколько вредоносов в базе?»
Очевидно, стоит ответить на них отдельным постом. Но прежде хочется прояснить, а зачем вообще нужна антивирусная лаборатория. Приведём несколько исследований.
Мы, как и многие другие, совершенно явно видим тенденцию к использованию ИИ-инструментария для проведения атак, включая автоматическую генерацию вредоносного кода. Это успешно сочетается с традиционными техниками обфускации, мимикрии, anti-sandboxing и прочими видами маскировки вредоносов. Мы уже писали про Payload Pipeline, когда каждой жертве достаётся свой автоматически сгенерированный уникальный экземпляр вредоносного ПО.
Совершенно очевидно, что классический сигнатурный подход к обнаружению малвари изжил себя — нужны другие методы защиты, отвечающие современным угрозам.
Устоявшийся мировой тренд — использование ИИ, в том числе для анализа файлов. Но чтобы ИИ работал эффективно, его нужно разрабатывать и обучать в соответствии с актуальными угрозами. А значит, нужны качественные размеченные наборы данных — датасеты.
Когда речь идёт об анализе файлов, датасеты должны содержать сотни тысяч и миллионы разнообразных вредоносных и чистых образцов, и под каждый тип файлов нужен свой — сбалансированный и качественно размеченный. Датасет — это не полдела. Это 80% дела: именно от него зависит 80% успеха или провала модели.
Подробно рассказывали об этом на нашей онлайн-лекции на Неделе прикладной безопасности в МИФИ — там же объясняли, почему публичные датасеты подходят разве что для научных исследований и публикаций, но никак не для обучения продовых моделей ИИ.
Из этого следует, что цель собрать всю малварь и положить её в базу — бессмысленна. Хотя, конечно, есть вредоносы и инструменты двойного назначения вроде RAT, которые иметь в базе необходимо (и они у нас там есть).
Вместо создания огромной базы сигнатур ключевую важность приобретает формирование качественных датасетов — включающих в себя и чистые файлы, собирать которые не сильно проще, чем вредоносы.
#рекрипториум
Самые частые вопросы, которые звучат на созвонах и личных встречах по Рекрипториуму, выглядят так:
Вопрос №1: «Сколько человек в антивирусной лаборатории “Рекрипт”?»
Вопрос №2: «Сколько вредоносов в базе?»
Очевидно, стоит ответить на них отдельным постом. Но прежде хочется прояснить, а зачем вообще нужна антивирусная лаборатория. Приведём несколько исследований.
Недавнее исследование, проведенное Массачусетским технологическим институтом и компанией Safe Security, выявило шокирующую статистику: 80% атак с использованием программ-вымогателей теперь основаны на искусственном интеллекте».
«Количество атак с использованием ИИ увеличилось на 89%, время проникновения сократилось до 29 минут. Активно используются базирующиеся на ИИ инструменты и платформы для разработки». Глобальный отчет CrowdStrike об угрозах за 2026 год.
«Согласно отчету, число жертв программ-вымогателей выросло на 389 % по сравнению с прошлым годом, при этом киберпреступники используют искусственный интеллект для масштабирования атак. По данным компании, искусственный интеллект используется для автоматизации и совершенствования кибератак, что способствует росту их количества и эффективности». Fortinet, подробности по ссылке.
Мы, как и многие другие, совершенно явно видим тенденцию к использованию ИИ-инструментария для проведения атак, включая автоматическую генерацию вредоносного кода. Это успешно сочетается с традиционными техниками обфускации, мимикрии, anti-sandboxing и прочими видами маскировки вредоносов. Мы уже писали про Payload Pipeline, когда каждой жертве достаётся свой автоматически сгенерированный уникальный экземпляр вредоносного ПО.
Совершенно очевидно, что классический сигнатурный подход к обнаружению малвари изжил себя — нужны другие методы защиты, отвечающие современным угрозам.
Устоявшийся мировой тренд — использование ИИ, в том числе для анализа файлов. Но чтобы ИИ работал эффективно, его нужно разрабатывать и обучать в соответствии с актуальными угрозами. А значит, нужны качественные размеченные наборы данных — датасеты.
Когда речь идёт об анализе файлов, датасеты должны содержать сотни тысяч и миллионы разнообразных вредоносных и чистых образцов, и под каждый тип файлов нужен свой — сбалансированный и качественно размеченный. Датасет — это не полдела. Это 80% дела: именно от него зависит 80% успеха или провала модели.
Подробно рассказывали об этом на нашей онлайн-лекции на Неделе прикладной безопасности в МИФИ — там же объясняли, почему публичные датасеты подходят разве что для научных исследований и публикаций, но никак не для обучения продовых моделей ИИ.
Из этого следует, что цель собрать всю малварь и положить её в базу — бессмысленна. Хотя, конечно, есть вредоносы и инструменты двойного назначения вроде RAT, которые иметь в базе необходимо (и они у нас там есть).
Вместо создания огромной базы сигнатур ключевую важность приобретает формирование качественных датасетов — включающих в себя и чистые файлы, собирать которые не сильно проще, чем вредоносы.
#рекрипториум
👍4🔥1
Про антивирусную лабораторию. Часть 2: о размере антивирусной базы и о людях
В прошлый раз мы разбирались, зачем вообще нужна антивирусная лаборатория. Продолжаем — теперь о размере баз и о людях, которые с ними работают.
Что можно сказать про антивирусные базы и их размер? Пожалуй, лучше вспомним на наш давний пост — пересказывать его полностью не будем, но основная идея в том, что все алгоритмы быстрого поиска имеют известные оценки объёма используемой памяти. Из этих оценок следует, что такая база в принципе не может быть слишком большой — вне зависимости от того, сколько образцов малвари у вендора.
В антивирусной базе всегда будут сигнатуры лишь для малой части всех известных образцов — для тех, которые вендор считает наиболее актуальными на данный момент для данной локации. Обычно это десятки и сотни тысяч, далеко не миллионы.
Сейчас общий объём нашей базы — несколько десятков миллионов файлов, которые мы получаем из разных источников, включая развёрнутые нами ханипоты. Из части этих файлов сформированы датасеты для обучения и тестирования моделей ИИ. Датасеты постоянно пополняются и улучшаются.
Итак, основная задача антивирусной лаборатории в текущих реалиях — не бездумное забивание базы сигнатурами для имитации защиты, а сбор (по факту — автоматизация сбора) и разметка (по факту — разработка, внедрение и использование инструментов автоматизации разметки) данных. Сюда же относим частичное формирование признаков для обучения.
Для этого, как несложно догадаться, нужны достаточно квалифицированные реверс-инженеры с пониманием, как работает Data Science. Само понятие антивирусной лаборатории при этом становится размытым: такие специалисты и реверсят, и выявляют признаки, и пишут код, и не просто используют ИИ, а активно участвуют в обучении и файнтюнинге моделей.
Их не нужно много, но все они должны быть достаточно профессиональными во всех перечисленных областях. Отвечая на вопрос о количестве — речь идёт о десятках сотрудников. Их число постоянно растёт.
#рекрипториум
В прошлый раз мы разбирались, зачем вообще нужна антивирусная лаборатория. Продолжаем — теперь о размере баз и о людях, которые с ними работают.
Что можно сказать про антивирусные базы и их размер? Пожалуй, лучше вспомним на наш давний пост — пересказывать его полностью не будем, но основная идея в том, что все алгоритмы быстрого поиска имеют известные оценки объёма используемой памяти. Из этих оценок следует, что такая база в принципе не может быть слишком большой — вне зависимости от того, сколько образцов малвари у вендора.
В антивирусной базе всегда будут сигнатуры лишь для малой части всех известных образцов — для тех, которые вендор считает наиболее актуальными на данный момент для данной локации. Обычно это десятки и сотни тысяч, далеко не миллионы.
Сейчас общий объём нашей базы — несколько десятков миллионов файлов, которые мы получаем из разных источников, включая развёрнутые нами ханипоты. Из части этих файлов сформированы датасеты для обучения и тестирования моделей ИИ. Датасеты постоянно пополняются и улучшаются.
Итак, основная задача антивирусной лаборатории в текущих реалиях — не бездумное забивание базы сигнатурами для имитации защиты, а сбор (по факту — автоматизация сбора) и разметка (по факту — разработка, внедрение и использование инструментов автоматизации разметки) данных. Сюда же относим частичное формирование признаков для обучения.
Для этого, как несложно догадаться, нужны достаточно квалифицированные реверс-инженеры с пониманием, как работает Data Science. Само понятие антивирусной лаборатории при этом становится размытым: такие специалисты и реверсят, и выявляют признаки, и пишут код, и не просто используют ИИ, а активно участвуют в обучении и файнтюнинге моделей.
Их не нужно много, но все они должны быть достаточно профессиональными во всех перечисленных областях. Отвечая на вопрос о количестве — речь идёт о десятках сотрудников. Их число постоянно растёт.
#рекрипториум
👍4🔥4