Gemini получила доступ в интернет и атаковала системы трех реальных компаний
Привет! Меня зовут Владимир Аламов , я Application Security инженер в команде продуктовой безопасности Авито . Хочу поделиться своими мыслями…
Latest News
⚑ Report a ProblemTech news from the best sources
All topics
- Искусственный интеллект, машинное обучение, нейросети
- Новости сети
- автомобили, мотоциклы, транспортные средства
- вирусы, трояны, уязвимости в ПО, вопросы безопасности
- игры
- мобильные телефоны, смартфоны, сотовая связь, коммуникаторы, КПК
- процессоры
AI-агенты
LLM
Python
ai
ai-агенты
claude
devops
llm
open source
python
ruvds_статьи
Новости
Статьи
автоматизация
ии
ии-агенты
информационная безопасность
искусственный интеллект
машинное обучение
нейросети
программирование
разработка
тестирование
Шифровать нельзя доверять: как защитить биометрию вен ладони на пути от сенсора до сервера СКУД
Мы не будем рассматривать, как строится вектор вен ладони и как работают алгоритмы компьютерного зрения. Не будет ни слова про длины волн ИК излучен…
Аппаратная защита в RISC-V: что уже есть для микроконтроллеров и чего это стоит
Привет! Меня зовут Константин, я занимаюсь безопасностью архитектуры RISC-V в Syntacore. В этой статье я хочу рассказать, какие механизмы аппаратной…
Быстрее, проще, безопаснее: почему в Kaspersky Container Security проверки пишутся на CEL, а не на Rego
Когда речь заходит о проверках безопасности в Kubernetes, на ум в первую очередь приходят готовые средства: Pod Security Admission, OPA Gatekeeper,…
Реализация fail2ban на MikroTik RouterOS
Сразу отмечу, что fail2ban нельзя использовать как полноценный инструмент защиты доступа к управлению маршрутизатором. Доступ к службам управления п…
AS4 в .NET без Java-шлюза: ebMS 3.0, WS-Security и неотрекаемые квитанции шагом маршрута
AS4: подписанный и зашифрованный обмен документами с гос- и корпоративными системами ЕС. Теперь нативный коннектор redb.Route , без Java MSH. Если и…
Security-by-Design: как построить защищенный хостинг в режиме непрекращающихся киберугроз
Пятница, 18:47. Дежурный инженер замечает: график трафика пошел вверх. Не плавно — вертикально. За несколько минут входящий поток вырастает с обычны…
MITRE ATT&CK для Product Security: как связать pentest, threat modeling, CI/CD и реальные сценарии атак
Матрицу MITRE ATT&CK обычно ассоциируют с SOC, threat hunting и red team. Это база. Но она может быть полезна намного раньше — на этапе threat m…
Ложка мёда в бочке уязвимостей: разбираем цепочку SSRF → IAM → RCE + бонус
Привет, Хабр! Меня зовут Владимир Аламов, я инженер по информационной безопасности и комьюнити-лидер сообщества Security Champions в Авито .&…
Meet the OpenAppSec: open-source WAF на базе машинного обучения
Ох уж этот «ИИ-пентест» (AI Pentest) — за последнее время я очень много о нём наслышан, чуть ли не из каждого утюга (и из моих собственных рекоменда…
Сделал себе вышибалу для VPS: кто стучится в.env и в ssh — тот сидит за баном…
Устал смотреть в логи: опять подбор пароля к ssh, опять лезут в несуществующие файлы сайта. Fail2ban ставил — утонул в наст…
Приз за то, чего вы не сделали: соревнование по кибербезопасности для тех, кто не пишет код
Привет, Хабр! Меня зовут Илья Никифоров , я отвечаю за Security Awareness — обучение сотрудников информационной безопасности в команде GRC в Авито .…
Технический английский для security engineer: База о том как писать, говорить и проходить интервью
Preview Hey, you'all Не секрет, что у многих русскоязычных IT/security-специалистов (РФ, СНГ) английский ассоциируется с чем-то огромным и неприятны…
[Перевод] Жизненный цикл токена API: от выпуска до отзыва
Токены (tokens) API часто расцениваются как незначительные детали реализации. Пользователь входит в систему, сервер создает токен, браузер сохраняет…
[Перевод] Shadow AI в CI/CD: почему ИИ-агенты становятся угрозой
Привет, сегодня решил поделиться переводом от Маттео Бизи на вечнозеленую (как оказалось) тему — Shadow AI. В материале про то, почему ИИ-агент…
ProxyKey MCP: как дать ИИ-агенту доступ к API без выдачи ключа
Агентный код вроде Claude Code или Cursor постоянно работает с ключами: читает .env, генерирует конфиги, логирует свои действия. Любой токен, попавш…
У Visa есть протокол доверенных агентов. У Mastercard — Verifiable Intent. Вот слой, которого не даёт ни одна из них (на русском)
Сокращённая версия на русском. Полная английская версия —включая обсуждение отзыва ключей, которое открыл Alex Shev в комментариях— является канонич…
Украли access-token. Что дальше: три слоя защиты в своём OpenID-провайдере
Bearer-токен работает у любого, кто его держит. Разбор трёх слоёв в redb.Identity : BFF без токена в браузере, привязка к ключу через DPoP, быстрый…
Анонимная среда для работы в интернете на Tor под Shadowsocks
Можешь ли быть полностью анонимен в интернете? Сделал среду для работы в интернете через Tor поверх Shadowsocks Читать далее
Основы Product Security для автомобилей и зарядных станций: термины, архитектура, фреймворки
Preview Современный автомобиль и зарядная станция — это уже не просто «железо», а сложные программно-аппаратные продукты, кратко можно сказать как "…
redb 3.7: свой gRPC-протокол, отсечение props до агрегата и релиз, отозванный через день
Свой gRPC-wire в Route, отсечение props до агрегата в redb.Core, Tsak закрыт по умолчанию, второй фасад у Identity. И 3.7.0, отозванный через день.…
SOAP в .NET без WCF: WS-Security, MTOM и ?wsdl как шаг маршрута
SOAP никуда не делся. Продаёте авиабилеты, значит ходите в Amadeus, Sabre и Travelport по SOAP. Интегрируетесь с банком, госпорталом, страховым бэке…
Введение в воспроизводимые сборки
И вновь я всех приветствую! Сегодня я бы хотел рассказать о такой теме как воспроизводимые приложения/сборки. Читать далее
[Перевод] Безопасность корпоративного MCP-шлюза на практике с agentgateway
Корпоративные команды используют MCP-шлюзы, чтобы контролировать, как ИИ-агенты получают доступ к инструментам, сервисам и корпоративным данным. Age…
Как мы прогоняли свой OpenID-сервер через официальный conformance-suite и что он в нас нашёл
Прогон OIDF conformance-suite по redb.Identity: как настроить сьют, почему кликали вручную, и какие реальные баги он нашёл, включая утечку телефона…
Что просить у пользователя и как это хранить, доступ который можно забрать
Я делаю сервис, который разворачивает проекты юзеров на их серверах. Разбираю на своём примере три вещи, которые нужны любому, кто просит доступ к с…
Контрольные суммы проектов в экосистеме Siemens Step7 Classic
Автор: Владислав Иванов, инженер АСУ ТП компании UDV Group С 1 октября 2025 года Siemens официально перевёл SIMATIC S7-300 и ET 200M в стадию Produc…
Pulsar. eBPF-based programmable networking dataplane (Статус: MVP)
Технология eBPF (extended Berkeley Packet Filter) берет свое начало от классического BPF, разработанного в начале 1990-х годов как механизма фильтра…
Анатомия HTTP Request Smuggling
Чтобы разобраться в HTTP Request Smuggling, надо сначала честно ответить на вопрос, который в обычной жизни может прозвучать абсурдно: а как сервер…
Как злоумышленник за несколько шагов перехватит ваши данные
Привет, Хабр. Статья является напоминанием как уязвимы ваши личные данные при несоблюдении базовых правил цифровой гигиены. Материал создан исключит…