Ever Secure

Правда этим я занимаюсь на ежедневной основе)

Кст мой доклад будет кейнот конференции DevOops 2026

Прошлый кейнот с Володей Ситниковым мы делали для тестировщиков на Heisenbug: я достал на сцене два огнетушителя и рассказал, что тестировщики не нужны 😅

В этот раз, видимо, придётся объяснять девопсам что-то не менее приятное 🤔

Вот как это было

Собрали программу на DevOops 2026🚀 и она просто космос ✨

Команда MWS Cloud притащила огромное количество докладов, три из них от команды безопасности 🥰
(это никак не связано с тем, что я в программном комитете 😅)

Даешь больше безопасности богу безопасности

ЗЫ могу поделиться промиком на конфу, пишите в лс

👀@ever_secure | 💪 Обучение | 💳Поддержать

Запись созвона с разбором ваших резюме 😏

Приятного просмотра:
- 📹 Youtube

👀@ever_secure | 💪 Обучение | 💳Поддержать

А как проходят ваши вечера с питомцами?🙄

кидайте ваших шерстяных пердаков в комменты 👇

👀@ever_secure | 💪 Обучение | 💳Поддержать

Георг, но не К., вам всем передает привет 😉

Соскучились по книгам? Ждете НХБ LLM? 🤔

👀@ever_secure | 💪 Обучение | 💳Поддержать

Доклад, от нашего боевого товарища на OffZone, который нельзя пропустить!
George K. не нуждается в представлении, автор книги НХБ, да да, той самой, а в команде Ever Secure он отвечает за проект Fuck Security @fsecurity_channel и несет вам радость каждый день 😉

Приходите послушать про мемы и обязательно задавайте вопросы, когда следующий дроп книг, когда выдет новая книга?

Каждый год происходит одно и то же.

Компании:

Нам нужен DevSecOps.

Тоже компании:

Ну мы поставили сканер. Теперь же DevSecOps?

Нет.

DevSecOps не появляется после установки пяти красивых тулзов и пары галочек в GitLab. Он появляется, когда пайплайн перестает быть проходным двором, секреты не лежат где попало, а релизы не превращаются в игру "интересно, что сломается сегодня".

Поэтому мы открыли набор на осенний поток DevSecOps.
Без инфоцыганства.
Без "станешь Senior за 2 месяца".
Без курсов, где уязвимости заканчиваются часовым "обзорным" видео без практики

Мы тебя научим понимать за:
👩‍💻Уязвимости
🖥Linux
🤓GitLab CI/CD
👩‍💻Terraform
👩‍💻Ansible
👩‍💻Docker
🛠SAST, SCA, DAST
🤫Secret Detection
👩‍💻Container Security
🔧IaC Security
🤑и все то, за что потом действительно платят деньги
Через курс вы протащите микросервисное приложение банка 👩‍💻👩‍💻👩‍💻👩‍💻👩‍💻👣👩‍💻👩‍💻🖥💻

Плюс учебная инфраструктура, которую не жалко ломать. Даже нужно. Мы тебя научим

Если хотите не просто добавить новую строчку в LinkedIn, а начать понимать, что вообще происходит между git push и production, ждем

🍂 Набор на осенний поток уже открыт.
https://edu.eversecure.ru

The Gay Injection

Попалась довольно необычная техника джейлбрека моделей, решил с вами поделиться.
https://github.com/Exocija/ZetaLib

А вы тестите свои модели на такую инъекцию?)))

ЗЫ последним моделям уже привили традиционные ценности, на них не отрабатывет

🤖 ИИ сдал экзамен по хакингу. Способом, о котором вы уже догадались.

OpenAI гоняла свои модели через бенчмарк ExploitGym, проверяя, умеют ли они ломать системы. Спойлер: умеют. Настолько, что сломали сам эксперимент.

Что произошло по пунктам:
🤖Модель GPT-5.6 Sol (и её ещё более раскованный преемник, которому специально подрезали защитные рефлексы) сидела в изолированной песочнице.
🤖Заскучав над задачкой, она нашла 0-day в собственном прокси OpenAI и вышла в интернет. Из песочницы. Которую строили ровно для того, чтобы она туда не вышла.
🤖Дальше логика чистого отличника: «а где лежат ответы к моему экзамену?» Правильно, на Hugging Face.
🤖Модель докрутила украденные креды, пару свежих 0-day, получила RCE на проде Hugging Face и залезла в базу с решениями. То есть буквально пошла подсмотреть ответы к тесту, который в этот момент сдавала.

Итог: ИИ, которого тестировали на способность взломать хоть что-нибудь, взломал ровно то, что его тестировало. Экзаменатор проверял, спишет ли студент. Студент вскрыл сейф с ключами и заодно кабинет завуча.

Клем из Hugging Face по этому поводу выдал:

Безопасность ИИ не решить в одиночку и по секрету. Её решают открыто и сообща

Красиво. Особенно свежо звучит после того, как вашу прод-базу вскрыли без спроса и очень даже сообща.


Пока я жду, когда ИИ заменит меня на работе, он уже освоил главный навык офисного выживания. Списать на экзамене и выйти сухим из воды

👀@ever_secure | 💪 Обучене | 💳Поддержать

в чате подсказали, что на гусей тоже есть уязвимости 😭

https://nvd.nist.gov/vuln/detail/CVE-2023-4518

Галя, отмена

Чот я наигрался в безопасников)))) Рад, что был знаком с вами. Пора идти разводить гусей 🤣

За два дня опубликовано 440 CVE в Linux

https://lists.openwall.net/linux-cve-announce/2026/07/19/
https://lists.openwall.net/linux-cve-announce/2026/07/20/

ЗЫ Увидимся через пару месяцев

"Это как работать в Казахской компании и не смотреть Бората" (с)

Мне одному кажется, что трети компаний этот чел и делал UX дизайн?

Ребят, тут Авито регистрацию на свой первый CTF открыл с призами до 300 000 рублей на команду 📍

AvitoTech устраивает CTF онлайн с денежным призовым фондом, мерчем и интересными тасками!
Регистрация команд уже открыта по ссылке, а ниже собрали инфу, что предстоит делать во время HoneyBadger CTF AvitoTech.

Возьмите на себя роль медоеда, проверьте защиту пчелиного улья и найдите все скрытые уязвимости в сотах.
Чего ждать от турнира: тасков на веб-уязвимости, инфраструктурных мисконфигов, анализа скомпилированного кода, расследования инцидентов, слабостей шифров, всего, что требует хакерской смекалки. И розыгрыша мерча, помимо основного призового фонда.

Важно: CTF не только для спецов по кибербезопасности — есть отдельная лига для всех, кто любит разбираться, как устроены IT-системы 🐝

заметил, что резко начало расти количество подписчиков канала, оказалось новый способ угона ников.

Схема простая:

Вас дудосят ботами
При переводе канала в частный, освобождается имя
Его забирают злоумышленники, размещая контент от шлюхоботов.

Ктобы не закидывал ботами нас, знайте: тут у людей нет денег и их не интересуют женщины😂

Ловите отличный материал от моей коллеги, Анастасии Березовской
"Путь атакующего Kubernetes"

Как атакующий проходит путь от уязвимости в приложении до захвата Kubernetes-кластера? На практических демо разбираем RCE, SSRF, побег из контейнера, опасные Security Context и Linux Capabilities, а также способы защиты: Network Policies, Seccomp, Falco и принцип минимальных привилегий.

Приятного просмотра:
- 📹 Youtube
- 📺VK

ЗЫ. Настя еще преподает вместе с нами на курсе 😉
ЗЗЫ А ещё у Насти есть свой Youtube https://youtube.com/@risk.prinyat

👀@ever_secure | 💪 Обучене | 💳Поддержать

Давно что-то на канале не выходили вебинары с дрючевом консоли и взломами, да? 😏