Why SAST and DAST Aren't Enough for Secrets Security
If you run an application security program in 2026, secrets detection can look like a solved line item. Your static analysis suite ships rules for h…
Latest News
⚑ Report a ProblemTech news from the best sources
All topics
- игры
AI
Gear
News
Tech
agents
ai
api
architecture
automation
beginners
career
database
devops
javascript
llm
machinelearning
mcp
opensource
performance
productivity
programming
python
react
security
showdev
testing
tutorial
typescript
webdev
Чем опасны старые версии Nexus Repository CE
Хранилище артефактов, как правило, находится в критическом месте инфраструктуры компании: между сборкой продукта и внешним миром. Через него команды…
Введение в воспроизводимые сборки
И вновь я всех приветствую! Сегодня я бы хотел рассказать о такой теме как воспроизводимые приложения/сборки. Читать далее
CVE-2026-35603: Cursor Still Trusts a World-Writable Folder
TL;DR Claude Code, Cursor, Codex CLI and Gemini CLI on Windows all load machine-wide configuration from C:\ProgramData\ , a folder any standard user…
drainscan vs gitleaks vs trufflehog: Why Web3 Needs Its Own Secret Scanner (2026 Benchmark)
drainscan vs gitleaks vs trufflehog: Why Web3 Needs Its Own Secret Scanner Benchmarked on 500+ web3 repositories. Generic scanners miss 73% of web3-…
Как взрослеет DevOps на потоке: от информирующих сканов к risk-based gate'ам
Привет, Хабр! На связи Илья Виссарионов, директор департамента «Аппаратно‑системная платформа» компании «Диасофт». Про DevSecOps написаны тон…
Кaк внeдpить cтaтичecкий aнaлиз: пpaктичecкий aлгopитм для мeнeджepoв
Cтaтичecкий aнaлиз кoдa дaвнo пepecтaл быть инcтpyмeнтoм иcключитeльнo для paзpaбoтчикoв. Для pyкoвoдитeлeй пpoдyктoв, тexничecкиx диpeктopoв и кoмa…
Building a Read-Only Cloudflare Worker AI Security Console
Why build this Security teams already have WAF events, bot signals, access logs, and SIEM pipelines. The problem is not always data collection. The…
The Perimeter Moved to the Laptop: From Network, to Identity, to the Developer Endpoint
👉 TL;DR: The perimeter has moved before. It went from the network to identity, the shift everyone summarized as "identity is the new perimeter." It…
Where the LLM Stops: Deterministic Scoring in an AI-Assisted VAPT Pipeline
Every VAPT report ends the same way: a handful of numbers. A CVSS score. A severity label. A priority rank. Sometimes an aggregate risk score. Those…
[Перевод] Теневой ИИ в CI/CD: моделирование угроз на пути от ноутбука разработчика до Kubernetes
Искусственный интеллект становится частью повседневной поставки ПО — часто ещё до того, как становится частью архитектуры безопасности. У этого разр…
Can Copilot Fix Its Own Security Findings? Testing GitHub Agentic Autofix
Can Copilot Fix Its Own Security Findings? Testing GitHub Agentic Autofix GitHub can now assign a code scanning alert directly to Copilot cloud agen…
Как одна забытая зависимость уронила прод и привела к появлению Dependency Validator
Привет, Хабр. Я Матвей Лихота, старший Go-разработчик и DevSecOps. Как это часто бывает с внутренними инструментами, идея этой утилиты появилась уже…
🛡️ Vulnerability Math: CVE vs. CVSS vs. EPSS
Ever wonder why some "Critical" bugs aren't fixed immediately? It’s all about Impact vs. Urgency . Think of a Broken Lock on your front door: CVE (T…
The Command Injection Fix Cursor Writes Still Runs Code (CWE-78)
TL;DR Cursor writes exec() with your input pasted into the command string, which is textbook command injection (CWE-78). Ask it to fix that and it a…
Proof-of-Fix in GSC: An Architecture for Provable Vulnerability Remediation Verification
Abstract GSC is a self-learning AppSec platform implementing the full pipeline detect → prove → fix → verify → heal → predict . Its defining feature…
Чужой код, свои патчи. Зачем компании инвестируют в open source
Open source компонент редко остается неизменным после того, как попадает в большой продукт. Если команде не хватает нужной функции, библиотека плохо…
How to Build an Audit-Ready CloudTrail and Config Baseline
An auditor asks: "Show who disabled logging in production last quarter." You open three accounts, find CloudTrail off in one, logs scattered in loca…
MLOps для DevOps-инженера: как построить платформу машинного обучения в закрытом контуре
Мы построим прототип MLOps-платформы с нуля. Без Kubeflow, без облаков, без магии. Только Kubernetes, Helm, ArgoCD и ещё дюжина компонентов, каждый…
Turn Trivy SBOM and SARIF output into versioned release evidence
Security tools already generate useful evidence. The problem at release time is often not another scan. It is proving which SBOM, test run, security…
The Path Traversal Fix Cursor Writes Ignores Symlinks (CWE-22)
TL;DR Ask Cursor to fix a path traversal bug and you get path.basename , path.resolve , and a startsWith containment check. It looks like the textbo…
Cursor Learned to Code From Tutorials That Skip Security
TL;DR AI editors did not learn security from security documentation. They learned from tutorials, and tutorials strip security controls on purpose t…
The Linux Skills That Separate Junior and Senior DevOps Engineers: A Practical Comparison
Introduction Many people believe that becoming a senior DevOps engineer means learning Kubernetes, Terraform, or cloud platforms. While those skills…
Why Deleting a Hardcoded Secret Does Not Fix It (CWE-798)
TL;DR AI editors paste real-looking API keys, JWT secrets, and DB passwords straight into your source code because their training data is full of tu…
MLSecOps от кода до продакшена: разные акценты для разных сценариев использования ИИ
В этой статье рассмотрим два сценария использования ИИ в разработке : в первом случае ИИ помогает разработчику писать код, во втором ИИ становится ч…
От Security Champion к инженерной культуре безопасности: как мы изменили подход к DevSecOps
Модель Security Champion многим кажется очевидной: если внутри команды появляется человек, который смотрит на продукт еще и с точки зрения безопасно…
Confronting Vault Sprawl And The Risks It Brings
Modern enterprises do not set out to create a maze of credentials, keys, and secrets stores. However, this is the reality most organizations find th…
Why Cursor Keeps Generating Wildcard CORS Headers in Your API
TL;DR AI editors keep generating CORS middleware that reflects the request's Origin header back verbatim while also allowing credentials, so any sit…
Never Let the Model Pick the Tenant ID: Securing an LLM Agent in Go
TL;DR : an LLM that calls tools is a client you cannot trust. And it holds your production credentials. The most important rule fits in one sentence…
Мост между SAST и фаззингом: как из сработки SAST получить подтверждённую уязвимость
Инструменты статического анализа (SAST) лишь подсвечивают вероятные уязвимости, генерируя гипотезы. Динамическое тестирование (DAST) и фаззинг, напр…