Ваш терминал выполняет чужие команды — и вы этого не видите

Представьте: вы читаете логи на скомпрометированном хосте через less, и вдруг заголовок окна tmux меняется, часть вывода пропадает. Запускаете cat -v — а там россыпь ^[[ последовательностей, вшитых в user-agent строки. Кто-то заминировал логи ANSI escape-кодами. Звучит экзотично? На практике это рабочий вектор атаки, который эксплуатируется в дикой природе.

🔎Суть проблемы проста: терминальный эмулятор не различает легитимную и враждебную управляющую последовательность. Всё, что попадает в stdout или stderr, исполняется слепо. Логи, вывод git log, результат kubectl get events, сообщение от wall — любой текст может содержать инъекцию, которая скроет строки, подменит prompt или запишет payload в буфер обмена.

Три реальных CVE показывают масштаб:

• CVE-2024-28085 — утилита wall из util-linux фильтровала escape-коды на stdin, но пропускала в аргументах командной строки. Атакующий рисовал фейковый prompt sudo в терминале жертвы, жертва вводила пароль, а он утекал через command-not-found и /proc/*/cmdline. Уязвимость просуществовала 11 лет незамеченной — с 2013 по 2024. Столько про «тысячи глаз» open source.

• CVE-2021-25743 — kubectl не нейтрализует escape-коды в сырых данных. Атакующий с правами на создание Events в кластере подменял вывод так, что администратор видел «чистый» результат вместо реального. Принимаешь решения по экрану — а экран врёт.

• CVE-2024-52005 (CVSS 7.5 HIGH) — Git при clone, fetch или push выводит sideband-сообщения от удалённого сервера без фильтрации. Атакующий контролирует git-сервер и отправляет произвольные escape-последовательности прямо в терминал разработчика. Никаких подтверждений, никаких предупреждений. Просто git clone — и ваш терминал уже скомпрометирован.

🎇Общий знаменатель всех трёх случаев: разработчики фильтровали escape-коды в одном канале ввода и забывали про другой. Классический CWE-150.

Что делать прямо сейчас? Прогоняйте любой текстовый вывод с чужих машин через xxd или cat -v перед тем, как читать его в интерактивном пейджере. Привычка простая, а спасает от неприятных сюрпризов.

А вы когда-нибудь сталкивались с подозрительным поведением терминала на чужом хосте?

Полный разбор техник — от подмены вывода до атак на LLM-инструменты разработчиков — читайте в статье на форуме.

https://codeby.net/threads/ataki-cherez-escape-posledovatel-nosti-terminala.95588/

От теории к реальным задачам: как учат веб-пентесту в Codeby 🚗

Можно знать OWASP Top 10, понимать, как работают SQLi и SSRF, и уметь пользоваться Burp Suite. Но в реальном проекте важно самостоятельно исследовать приложение, находить цепочки уязвимостей и доводить их до эксплуатации.

Именно поэтому курс WAPT от Codeby построен вокруг практики:
⏺️поиск и эксплуатация уязвимостей из OWASP Top 10
⏺️анализ защищённости веб-приложений
⏺️работа с Burp Suite, nmap, ffuf, wfuzz, nuclei, sqlmap, WPScan, nikto и другими инструментами
⏺️методологии веб-пентеста и автоматизация рутинных задач

Формат: изучили технику➡️применили в лаборатории ➡️разобрали сложные моменты на вебинаре.

В программе курса:
👌66 практических заданий разной сложности в собственной лаборатории
👌144 ак.ч. / 4 месяца обучения
👌еженедельные вебинары с преподавателями

Доступна поэтапная оплата — от 5 433 ₽/мес.

Курс стартует — 22 октября

➡️Узнать программу и записаться
✉️Бесплатная консультация — @CodebyAcademyBot

🌐На мировую арену Lazarus вышли в 2014 году после атаки на Sony Pictures Entertainment. Причиной стал фильм «Интервью» — хакеры уничтожили файлы, украли конфиденциальные данные сотрудников (номера социального страхования, финансовые записи, зарплаты) и выложили в сеть. В утечку попали 4 ещё не выпущенных фильма, включая «Энни».

Sony отменила театральный релиз «Интервью» под угрозой атак. Позже фильм вышел онлайн. В 2018 году ФБР предъявило обвинения конкретному человеку — Пак Чин Хёку, которого считают членом Lazarus Group.

⏺️Как устроена «зонтичная» структура
Lazarus не единая команда, а зонтичная организация под эгидой Главного разведывательного управления (RGB) Северной Кореи. Внутри неё существует несколько подгрупп с разными задачами:
▶️APT38 (специализируется на финансовых атаках, взломе банков и криптобирж)
▶️TraderTraitor (блокчейн-направление, кража криптовалют)
▶️AppleJeus (вредоносное ПО для атак на криптоплатформы)

В 2026 году исследователи разделили Lazarus на шесть отдельных кластеров, включая CryptoCore, Jade Sleet и Moonstone Sleet. Многие эксперты считают группы Silent Chollima, DarkSeoul и Whois Team псевдонимами или подгруппами Lazarus.

⏺️Бангладешский банк
Самая громкая финансовая атака Lazarus произошла в феврале 2016 года. Хакеры проникли в Центральный банк Бангладеш и попытались украсть почти $1 миллиард через систему SWIFT. Хронология атаки:
▶️май 2015 — хакеры открыли фиктивные счета в филиппинском банке RCBC для будущего отмывания денег
▶️январь 2016 — Lazarus получил доступ к системе SWIFT банка Бангладеш
▶️4 февраля 2016 — отправлены 35 поддельных платёжных поручений на $951 млн в Федеральный резервный банк Нью-Йорка
▶️5 февраля — хакеры удалили логи и покинули систему
В одном из переводов хакеры допустили орфографическую ошибку в названии получателя. Это привлекло внимание.

Из $951 млн удалось перевести только $81 миллион. Остальные транзакции были отклонены или заморожены.
Средства перевели на счета RCBC, затем через казино на Филиппинах отмыли. Большую часть так и не вернули.

⏺️WannaCry
В мае 2017 года мир потрясла атака вируса-вымогателя WannaCry. Заражению подверглись более 300.000 компьютеров в 150 странах. Пострадали:
▶️48 больниц NHS в Великобритании (операции отменялись, пациенты перенаправлялись)
▶️FedEx (убытки около $300 миллионов)
▶️банки, госучреждения, заводы по всему миру
В декабре 2017 года Великобритания и США официально обвинили Lazarus Group в атаке. Министр иностранных дел Великобритании заявил:

«Мы осуждаем эти действия и обязуемся работать со всеми ответственными государствами для борьбы с разрушительным преступным использованием киберпространства. Неизбирательное использование WannaCry демонстрирует, что северокорейские акторы используют свою киберпрограмму для обхода санкций»

⏺️Криптовалюты как новая цель
После банковских атак Lazarus переключился на криптовалюты. Это выгоднее: транзакции необратимы, а анонимность выше.
▶️Ronin Bridge (март 2022) — атака на мост блокчейн-игры Axie Infinity. Украдено $625 миллионов в ETH и USDC. Один из крупнейших взломов в DeFi
▶️Bybit (февраль 2025) — $1,5 миллиарда в ETH. Крупнейшая криптокража в истории. Хакеры манипулировали интерфейсом Safe, создавая иллюзию легитимной транзакции

«Атака Lazarus была не просто атакой на Bybit. Это была атака на доверие к нашей индустрии», — заявил CEO Bybit Бен Чжоу.

Источники:
1. https://www.abc.net.au/news/2018-09-07/fbi-announces-charges-against-north-korean-sony-hacker/10212078#1
2. https://maltiverse.com/threat-observatory/threat-actor/G0032
3. https://www.infosecurity-magazine.com/news/north-korea-lazarus-six-cyber/#1
4. https://coinmarketcap.

#LazarusGroup #Кибербезопасность #APT38 #WannaCry #news

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🌐HExHTTP

Инструмент для тестирования HTTP-заголовков и анализа результатов с целью выявления уязвимостей и особенностей HTTP.

Инструмент выполняет следующие проверки:
▶️Проверка ответа на ошибку сервера и виртуальных хостов;
▶️Анализ ответа при использовании заголовка Localhost;
▶️Анализ ответов на различные HTTP-методы;
▶️Анализ отладочных и нестандартных заголовков;
▶️Проверка CVE, связанных с HTTP;
▶️Методы DoS через отравление кэша (CPDoS).

⬇️Установка
Клонировать репозиторий, перейти в каталог с проектом и установить необходимые зависимости.

git clone https://github.com/c0dejump/HExHTTP.git
cd HExHTTP
pip install .

Поддерживает интеграцию с Burp Suite через расширение ./utils/burp_extension_issue.py. При использовании флага --burp, инструмент автоматически создает уязвимости в Burp Suite для недостатков среднего и высокого уровня критичности.

⬇Использование

hexhttp.py [-h] [-u URL] [-f URL_FILE] [-H CUSTOM_HEADER] [-A USER_AGENT] [-a AUTH] [-hu HUMANS] [-t THREADS] [-s] [-l LOG] [-L LOG_FILE] [-v] [-o [FILE]] [-p [PROXY]] [--burp [BURP]] [--ocp]

1️⃣Сканирование одного/нескольких доменов.

./hexhttp.py -u 'https://target.tld/'
./hexhttp.py -f domains.txt

2️⃣Использование пользовательского заголовка и аутентификации.

./hexhttp.py --header 'Foo: bar' -H 'plip: plop' --auth 'user:passwd' -u 'https://target.tld/'

#tools #HTTP #web

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Tookie-OSINT: Инструмент разведки по имени пользователя

Tookie-OSINT — инструмент с открытым исходным кодом для проведения OSINT-исследований, предназначенный для поиска учетных записей пользователя на различных веб-сайтах и социальных платформах по заданному имени пользователя. Инструмент позиционируется как альтернатива известной утилите Sherlock, обеспечивая автоматизированный поиск цифровых следов в открытых источниках.

🎇Возможности
- принимает одно имя пользователя или файл со списком имен для пакетной обработки
- поддержка настройки количества потоков для ускорения сканирования
- поддержка TXT, CSV и JSON для удобства интеграции с другими инструментами
- дополнительный сбор данных с обнаруженных страниц
- возможность работы через прокси-сервер для анонимизации запросов
- показ как положительных, так и отрицательных результатов проверки

⬇️Устанавливаем

sudo apt install tookie-osint

Проверяем

tookie-osint -h 

⏺️Сканирование одного имени пользователя

tookie-osint -u alfred

Результат сохраняется в файл alfred.txt

⏺️Пакетное сканирование из файла

#создайте файл users.txt с именами пользователей (по одному на строку)
tookie-osint -U users.txt -o csv

⏺️Использование прокси и отображение всех результатов

tookie-osint -u alfred -p http://127.0.0.1:8080 -a

⏺️Отключение случайных заголовков

tookie-osint -u alfred --skipheaders

⏺️Использование веб-скрапера

tookie-osint -u alfred -W -H

#tookieosint #osint #username #cybersecurity #tool #pentest #осинт #поискимени

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🚩 Новые задания на платформе HackerLab!

👩‍💻  Категория Pentest Machines (Active Directory) — Первая работа

Приятного хакинга!

numasec

Numasec - это агент безопасности на базе ИИ, работающий прямо в вашем терминале.

Он использует инструменты, уже установленные на вашем компьютере, следует сценариям реагирования (runbooks), переключается между специализированными киберагентами, сохраняет контекст выполнения задач, отслеживает результаты, фиксирует доказательства и помогает преобразовывать проделанную работу в отчеты.

Этот инструмент создан для тех, чья деятельность проходит на стыке командной строки, браузера, HTTP-запросов, сканеров, бюллетеней безопасности, заметок и отчетов.

➡️Не чат-бот.
➡️Не просто "обертка" для сканера.
➡️Не замена Burp или Kali.

Агент безопасности, который органично вписывается в ваш привычный рабочий процесс.

Описание:
Вам приходится переключаться между командами терминала, браузером, HTTP-запросами, локальными инструментами, сканерами, бюллетенями безопасности, заметками, скриншотами, результатами проверок и отчетами.

ИИ может помочь, но только если он интегрирован непосредственно в этот рабочий процесс.

numasec предоставляет модели полноценное рабочее пространство для задач безопасности, а не просто окно чата.

Система объединяет в единую среду все ключевые элементы: цели, область тестирования, инструменты, сценарии действий (runbooks), выявленные уязвимости, доказательства, возможность воспроизведения атак и текущее состояние отчета.

🎇Цель проста:
сделать работу по обеспечению безопасности более быстрой, точной и структурированной.

Установка:
npm install -g numasec

Запуск:
numasec

#ai #tools #pentest

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🔎 В ходе проведения работ по тестированию на проникновение специалисты часто находят учетные данные, API-ключи, сессионные токены в открытом виде в исходном коде, в образах контейнеров, конфигурационных файлах и т.д. Утечка секретов является серьёзной находкой для злоумышленника. Она может привести к компрометации отдельного ресурса или всей системы.

❗️ В этой статьей разберемся где не стоит хранить секреты и какие инструменты использовать для безопасного хранения.

Надежные способы хранения секретов
1️⃣Чтобы убрать секреты из исходного кода, можно установить их значения в качестве переменных среды на сервере, который команда использует для разработки.

Переменная среды — это параметр, который хранит информацию о конфигурации и поведении операционной системы или приложения. Ее используют для настройки окружения и передачи информации между разными компонентами системы. Обычно в ней хранят пути к исполняемым файлам, локальные настройки, параметры приложений и др.

Данный метод позволяют программам получать нужную информацию извне. При этом не нужно менять исходный код или настройки конфигурационных файлов. Однако он не является полностью безопасным, так как в случае компрометации сервера злоумышленник может получить доступ к переменным окружения.

2️⃣Более безопасным хранилищем секретов являются специальные программы, в которых пароли хранятся в зашифрованном виде. Такой программой может быть HashiCorp Vault. В ней данные хранятся в виде пар «ключ=значение», а доступ к хранилищу можно получить только через API.

Установка
📐Для установки необходимо скачать последнюю версию с официального сайта.
📉 Затем распаковать архив и переместить исполняемый файл Vault в каталог, доступный в переменной окружения PATH.
📉Запустить Vault в режиме разработчика (Dev mode) командой vault server -dev (в режиме разработчика Vault автоматически инициализируется и разблокируется).
🖱В консоли будут показаны значения переменных среды VAULT_ADDR и VAULT_TOKEN, которые надо установить.

✏Использование
⏺️Создание/обновление секрета в Vault.

vault kv put <путь> <ключ=значение>

⏺️Чтение секрета.

vault kv get <путь> 

⏺️Для удаления используется команда delete, а для просмотра все секретов list.

#tools #pentest #credentials

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

NIST запретил менять пароли. ФСТЭК — обязал. Как жить в 2026?

Представьте ситуацию: на аттестации ГИС проверяющий открывает Active Directory, видит Maximum Password Age = 0 и за четыре минуты фиксирует несоответствие. Команда ИБ ссылается на NIST SP 800-63B Rev 4, где периодическая ротация паролей прямо запрещена. Аттестатор кивает сочувственно — и записывает замечание. Потому что на проверке работает ФСТЭК, и точка.

Это не гипотетика. Два крупнейших регулятора в области паролей пришли к диаметрально противоположным выводам.

📌NIST в Rev 4 использует формулировку SHALL NOT — «запрещено требовать от пользователей периодическую смену паролей». Не «рекомендуем не менять», а именно запрет. Ротация допускается только при подтверждённой компрометации. Логика простая: принудительная смена каждые 90 дней превращает пароли в Vesna2026! на стикере под монитором. Формально сложный, реально — в любом словаре на первой странице.

➡️ФСТЭК в методическом документе от апреля 2026 года (мера ИАФ.3) требует обратное:

• Смена паролей не реже чем раз в 90 дней для систем
• Для мобильных устройств — каждые 30 дней
• Минимум 12 символов, алфавит от 70 символов
• Блокировка после 5 неудачных попыток на 15 минут
• Запрет повторного использования предыдущих паролей

А теперь самое интересное — где подходы расходятся ещё сильнее.

NIST запрещает правила сложности («одна заглавная, одна цифра, один спецсимвол»), считая их театром безопасности. ФСТЭК — требует оба регистра, цифры и спецсимволы. NIST обязывает проверять каждый новый пароль по базам утечек (блоклист-скрининг). ФСТЭК об этом не упоминает вообще. NIST допускает до 100 неудачных попыток входа. ФСТЭК блокирует после пяти.

❓Что делать организациям, которые работают и с российскими, и с международными стандартами? Ответ неприятный, но честный: на территории РФ приоритет у ФСТЭК. Штрафы по новой редакции КоАП могут исчисляться миллионами рублей. Показатель Кзи считается раз в полгода, и если при пентесте первоначальный доступ получен через учётные данные — всей группе мер «Защита пользователей» присваивается ноль. Без второго шанса.

👌Практический компромисс существует: выставить Maximum Password Age = 90 в GPO, внедрить блоклист-скрининг через PAM-решения, поднять длину до 15 символов и закрыть всё phishing-resistant MFA. Так вы удовлетворите и ФСТЭК, и дух рекомендаций NIST.

В полной статье — матрица применимости по типам организаций, detection-чеклист для SIEM и готовые конфигурации GPO. Разбираем детально.

https://codeby.net/threads/parol-naya-politika-nist-i-fst-ek-sravneniye-2026.95699/

🧠open-kritt

Платформа с открытым исходным кодом для проведения тестирований по безопасности и поиска уязвимостей, которая превращает целенаправленный ИИ-анализ в дедуплицированные ранжированные результаты с настраиваемой проверкой и обогащением.

Для чего нужен инструмент❓
Часто при поиске уязвимостей специалисты указывают модели на весь репозиторий и просят ее найти уязвимости, что является не самым эффективным подходом.

Open·kritt использует целенаправленный подход: разбивает исследование на небольшие четко сформулированные задачи, распределяет их между ИИ-агентами и объединяет результаты в выводы, которые можно проверить и расставить по приоритетности.

📐Функционал
📉Создание рабочих процессов (workflows) — позволяет объединять специализированные промпты в переиспользуемые сценарии для исследований в области безопасности.
📉Запуск сканирования — анализ удалённых или локальных репозиториев и их зависимостей с помощью Codex или Claude Code.
📉Проверка найденных проблем — использование пост-скриптов для валидации уязвимостей, создания proof-of-concept (PoC) и подготовки отчётов.
📉Экспорт результатов сканирования — упаковка канонических результатов, структурированных данных, результатов пост-обработки, отчётов и proof-of-concept в единый ZIP-архив с манифестом, безопасным для передачи третьим лицам. Завершённые сканирования экспортируются полностью; для остановленных или завершившихся с ошибкой сканирований, в которых были найдены проблемы, создаются явно помеченные частичные экспорты. Исходный код отчётов и PoC, содержащий данные, контролируемые атакующим, сохраняется в виде обычного текста.
🖱Расстановка приоритетов среди результатов — применение собственных ранжировщиков критичности, единообразной схемы описания найденных проблем и автоматической дедупликации.

⬇️Установка

git clone https://github.com/Kritt-ai/open-kritt
cd open-kritt
./kritt setup
./kritt start

После запуска необходимо открыть http://localhost:5173.

Агенты с поддержкой инструментов запускаются от имени пользователя root в одноразовых контейнерах для заданий с копиями репозитория, доступными для записи, и прямым доступом в интернет, что позволяет им устанавливать инструменты, компилировать цели, запускать тесты и создавать прототипы.

❗️Запускайте open·kritt на выделенном хосте Docker или виртуальной машине.

#tools #AI #research

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

💻 Turbo Intruder — быстрый генератор HTTP-запросов для Burp Suite

Turbo Intruder — расширение для Burp Suite от PortSwigger для отправки большого количества HTTP-запросов и анализа ответов. Он рассчитан на задачи, где стандартного Burp Intruder недостаточно по скорости или гибкости.

❓ Turbo Intruder vs Burp Intruder
Burp Intruder удобнее для стандартного fuzzing: выбрать позиции, загрузить payload'ы и сразу анализировать результаты.

Turbo Intruder больше подходит для сложных и масштабных задач. Python позволяет самостоятельно управлять генерацией запросов, их последовательностью и обработкой ответов.

Проще говоря: Intruder — для типового fuzzing, Turbo Intruder — для нестандартных и высоконагруженных HTTP-тестов.

🎇 Как работает
Turbo Intruder поддерживает несколько движков:

▶️Engine.THREADED — собственный быстрый HTTP/1.1-стек.
▶️Engine.BURP — использует HTTP-стек Burp Suite.
▶️Engine.BURP2 — работает с HTTP/2 и подходит для некоторых сценариев с race conditions.

🪧 Где полезен
Turbo Intruder особенно интересен для тестирования race conditions, rate limiting, авторизации, нестандартных HTTP-запросов и сложных последовательностей действий.

Также его удобно использовать для массового fuzzing, когда требуется отправить большое количество запросов и отфильтровать неинтересные ответы.

🔎 Пример

def queueRequests(target, wordlists):
engine = RequestEngine(
endpoint=target.endpoint,
concurrentConnections=5,
requestsPerConnection=100,
engine=Engine.THREADED
)

for word in open('/usr/share/dict/words'):
engine.queue(target.req, word.rstrip())


def handleResponse(req, interesting):
table.add(req)

Здесь Turbo Intruder перебирает значения из словаря и отправляет их в исходный запрос, а результаты передаются в таблицу для дальнейшего анализа.

⬇️ Установка
Turbo Intruder устанавливается как расширение для Burp Suite. Исходный код и документация доступны в официальном репозитории PortSwigger.

#BurpSuite #TurboIntruder #Pentest #WebSecurity #BugBounty #AppSec #Cybersecurity #InfoSec

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🧠Перед вами доска с уликами. Соберите портрет того, кто оставил эти следы!

Кто этот подозреваемый? Назовите его тип (одним словом или фразой).

⬇Пишите свои версии и рассуждения в комментариях!

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

9% компаний доверяют AI-сканерам безопасности. Остальные 91% знают что-то важное

Cobalt в 2025 году зафиксировал обвал: доля организаций, полагающихся исключительно на автоматическое AI-сканирование, рухнула на 20 процентных пунктов. Доверие схлопнулось до однозначных цифр. И это не луддизм — это рациональная реакция рынка на конкретные провалы.

🔎Вендоры обещали точность пентестера при скорости автоматического сканера. На практике всё упёрлось в старую проблему DAST/SAST: инструмент работает с паттернами и не понимает контекст — сетевую топологию, компенсирующие контроли, бизнес-логику. Красивая обёртка, внутри — тот же движок.

Цифры говорят сами за себя: уровень ложных срабатываний автоматических сканеров стабильно держится в диапазоне 30–60%. Каждый второй алерт — мусор. Откуда шум? Например, RHEL и Ubuntu LTS бэкпортируют фиксы без смены номера версии. Сканер видит OpenSSL 1.1.1k, флагует CVE, закрытые месяцы назад. Команда проверяет, подтверждает патч, закрывает тикет. Умножьте на десятки таких находок — и день улетает в никуда.

Или классика: сканер находит SQL injection в форме, но WAF с virtual patching блокирует инъекции. Уязвимость в коде формально есть, эксплуатируемость — ноль.

🎇Самое интересное — AI-агенты сами уязвимы. Исследователи из George Mason University показали фреймворк Mantis: защитник выставляет decoy-FTP с anonymous-входом и прячет в выводе сервера prompt injection через ANSI-escape-последовательности. Невидимые в терминале, но попадающие в контекстное окно агента. Результат? Reverse shell открывается на машине атакующего. Эффективность — свыше 95%. Живой пентестер обойдёт подозрительно открытый FTP из чистого скепсиса. Агент не различает данные и инструкции — это архитектурное свойство, а не баг.

Но списывать технологию рано. Vulnhuntr от Protect AI автономно нашёл подтверждённые уязвимости в крупных open-source проектах: stored XSS в ComfyUI, RCE в RagFlow. Стоимость — около $200 токенов Claude API. Правда, большинство находок оказалось невалидным, а два запуска на одном проекте давали разные результаты.

📌Вывод прост: AI в пентесте работает не как замена, а как ассистент. Вот где он реально экономит часы:

• Триаж и приоритизация — разгребать сотни алертов вручную бессмысленно
• Генерация гипотез — подсказать вектор, который пентестер проверит
• Рутинная разведка — сбор и структурирование данных перед ручной работой

По данным SANS, у организаций с высоким уровнем ложных срабатываний MTTR реальных уязвимостей на 40% дольше. Шум убивает не бюджет — он убивает внимание. Когда инженер трижды бросает задачу ради «критической» пустышки, он начинает игнорировать security-тикеты. И через эту рациональную реакцию ложные срабатывания создают реальные бреши.

Полный разбор с конкретными CVE, кейсами и рекомендациями по выстраиванию ML-пайплайна триажа — в статье на форуме.

https://codeby.net/threads/ai-v-penteste-pochemu-9-doveriya-eto-normal-no.95722/