Дмитрий Гасилин

Только что залил отчет одному субьекту РФ (их аналог гос. услуг) о том, что получил доступ к RCE (удаленному исполнению кода) и сдампил всю БДшку. Впервые за час я нашел 10.0 крит Что делать, не знаю. Я планирую зарабатывать на этом 🤔

Привет, самое перспективное и интересное направление для меня это информационная безопасность. Мне не нужно сидеть в IDE и сутками писать нудный код и выгорать, мне не нужно думать о том как мне лучше извернутся учитывая что клод выполняет задачи мидлов на рынке уже в разы, мне не нужно переживать что моя сфера окажется бесполезной После этого вывода я помню пробовал подаваться в ИБ компании, даже по рекомендации разработчика ML. Но, все упиралось в то, что у меня нет записи в трудовой, а наши самые полезные HRы на вакансию смотрят не более 30 секунд (если им ИИшка сказала это сделать, профильтроваф перед этим) Отсюда и вышло мое желание строить что-то свое и даже не пытаться зайти в компании, выдумывая резюме и пытаться работать на скучной должности. Решил выстраивать свой продукт, набраться хороших компетенций и через время если я все таки снова решусь идти в компании, то получив свой кейс, результаты и репутацию

Привет, соц. инженерия больше подходит под большие корпорации и технически сложные задачи, в которых мне нужно попасть в инфраструктуру. Недавняя сессия ушла именно в этот вектор, я рассылал фишинговые письма сотрудникам компании, сделав ее прямо на их домене. Она была предназначена для HRов, хотел получить токен для авторизации в портале, а далее эскалировать это до внутрянки Продукт я вижу пока в трех направлениях, так как строю полноценную SaaS платформу, постараюсь как можно быстрее уйти от непонятного во всех смыслах лендоса, пускай и красивого. 1. Продукт для атаки 2. Продукт для защиты 3. Продукт для разработчиков, ревью кода Пока детали раскрывать не буду, но, судя по фидбеку от большинства пользователей и тех, кто таким интересуется - будет востребовано и интересно

Привет, по началу я думал как-то не сильно интересно будет людям указывать что это автоматизация, движок там у них какой-то. Слишком мало пространства на воронке для того, чтобы уместить эту идею, кейсы и прочее Сейчас вектор сместился на то, что я разрабатываю платформу где каждый запрос из этого обсуждения будет закрыт, особенно о том, что это за движок, что внутри, как он помогает, какие результаты были и как можно самостоятельно им воспользоваться

Изначально продукт строился вокруг тестирования ИИ интеграций. Компании, которые внедрили чат-бота на первую линию, стартап который использует ИИ для системы рекомендаций и прочего, где есть выход в бек или наличие важных инструкций и данных у агента Но на текущий момент такие интеграций особо не волнуют команды с точки зрения безопасности После запуска я смотрю спрос и большее внимание уделяется обычному анализу защищенности, в котором чаще и всплывают самые интересные уязвимости, нежели ИИ слил системный промт. Поэтому сделал градацию на «аудит инфраструктуры» и «тестирование ИИ в проде» Оба эти направления на мой взгляд пойдут с проектом дальше, как и Mirage, проблема только в том сейчас, что все это упаковано не слишком доступно и понятно, поэтому при масштабировании в SaaS платформу буду уделять внимание этому в первую очередь Спасибо за ОС!

В одном из первом проектов по анализу защищенности LLM модели в штате команды был безопасник с сильным бекграундом. Однако, это не спасло от найденный галюнов)

Текущее решение для стартапов уже помогает закрыть часть проблем буквально за день даже на бесплатных тарифах Недавно тестировал сервис для найма и сравнили результат. Mythos (Fable) клиента выдал «ваш проект супер крутой и без уязвимостей». Ну и по классике за вечер нашел по оценке рынка дыр на 800к-3 миллиона рублей с учетом захвата аккаунта партнеров Я как раз планирую двигаться в сторону платформы с личным кабинетом и автоматизацией части процессов. Про API для IDE, пока не думал, но теперь точно надо глубже в это погрузиться Ещё есть мысль сделать опенсорс решение для вайбкод проектов, потому что на этапе MVP многим просто нет смысла платить за полноценный аудит, но вокруг сообщества хочется создать ценность от продукта Кстати, вы бы сами пользовались таким инструментом?

Развернуто и ценно 🙌 На самом деле вы затронули практически всё, что уже лежит у меня в роадмапе. Особенно про продуктовую упаковку и движение в сторону платформы И честно, такие комментарии очень отрезвляют. Когда долго нахожусь внутри проекта, многие вещи мне начинают казаться очевидными и супер полезными, а со стороны сразу видно, что пока не до конца понятно, кто мы и почему именно мы Отдельно спасибо за мысль про агентства. Это как раз знакомая практика через дополнительные услуги и партнёрскую модель. Мне это направление тоже кажется очень перспективным, потому что безопасность должна становиться частью процесса разработки, а не чем то, о чём вспоминают после инцидента, как встречалось на моей практике Обязательно свяжусь с вами в ближайшее время, будет интересно обсудить 🤝

Благодарю за ОС! Движок позволяет охватить даже приложения с Android/Iphone через эмуляцию

Работали вместе над проектом и в целом изучал его продукт. Хорошая позиция на рынке, понятный интерфейс и юзерфлоу, что редкость для многих продуктов. Запарился над инфрой в соло разработке, заслуженный продукт недели, короче говоря)

Даже после нескольких ревью я всё равно периодически получаю обратную связь, что подача слишком поверхностная и не до конца понятно, кто мы и почему стоит обратиться именно к нам. Ваш комментарий это только подтверждает 🙂 Будем думать, как лучше переупаковать проект, но уже после того, как накопим ещё больше интересных кейсов и результатов Есть пару идей для платформы уже с отдельными кабинетами для каждого продукта: Spider и Mirage, да и банально масштабироваться до багбаунти платформы, но в несколько другом формате. Опять же: все упирается сейчас в то, какой в этом смысл без большой аудитории и какой бюджет потребуется на разработку всего этого

Спасибо, это хороший комментарий. Мы как раз сознательно упростили подачу, потому что часто работаем не с безопасниками, а с основателями и продуктовыми командами, которые о безопасности не задумываются даже после запуска Но соглашусь, что для более технической аудитории сейчас не хватает деталей и более сильного продуктового дифференциатора. Будем дорабатывать эту часть при масштабировании. На текущем этапе хватит простой воронки, как сейчас. Но далее планируется уже более сильное позиционирование и полный ребрендинг, тут уже потребуется ребята из студий полного цикла по разработке сайтов И да, наша цель как раз не создавать лишнюю коммуникацию, а наоборот сделать безопасность максимально простой и понятной для команды

Все это можно упаковать чисто как софт, без сервиса. Но я потеряю ценность на первых этапах - живое общение, сбор фидбека, растолкование уязвимостей. На этапе масштабирования в планах интеграция такого продукта, но не сейчас, когда малый обьем работы мне позволит для каждого клиента выделить время на беседу

Такую модель держу на примете, аудит занимает порядка 2 часов собственным движком. Но на текущем этапе это автоматизировать невозможно по двум причинам, чтобы не потерять качество: 1) Я вручную перепроверяю каждую находку и присваиваю ей класс. Составляю PoC для находки и отдаю в отчете клиенту 2) Я сопровождаю в растолковании, обьяснении и закрытии уязвимостей, потому что не каждый разработчик может понять термин, которому я присвоил CWE/CVE, а уж тем более грамотно закрыть вектора, чтобы не наплодить новых дыр Использование ИИ в таком продукте - только локальных, но я не наблюдаю решений на рынке, которые могут качественно воспроизводить находки и растолковывать их не теряясь в контексте. Условный Claude - нарушение 152ФЗ, я передам данные об уязвимости компании из штатов. Такое не одобряется ни клиентом, ни законодательством

Да, это уже заметно) Продукты стали делать намного быстрее, а вот безопасность часто остаётся на потом. Поэтому, думаю, скоро такая проверка станет такой же базовой вещью, как тестирование или код ревью перед запуском

Спасибо за обратную связь 🙂 Частично согласен, сейчас это действительно больше похоже на сервисную компанию. Но я уже работаю со стартапами и продуктами, которые публикуются на Product Radar, и помогаю им находить проблемы безопасности до того, как они превращаются в реальные инциденты. Считаю, что это тоже вполне ощутимая польза для сообщества Плюс параллельно развиваем Mirage - софт, который интегрируем на сторону клиента. Его задача увести ИИ-трафик хакера на ложные пути, собрать все пейлоды, информацию о машине и промт-иньекциями в модель атакующего заставить отдать всю информацию о хосте В любом случае спасибо за мнение. Для меня это хороший сигнал, что продуктовую часть нужно показывать понятнее

Спасибо большое за доверие и за такой подробный отзыв 🙌 Для нас как раз важно, чтобы безопасность перестала восприниматься как что то сложное и доступное только большим компаниям На практике мы часто видим одну и ту же ситуацию. Команда быстро развивает продукт, фокусируется на пользователях и функциональности, а вопросы безопасности постоянно откладываются на потом. Это абсолютно нормально Именно поэтому мы и делаем Disform Чтобы такие проверки были не разовым стрессом перед релизом, а понятной частью разработки продукта И тебе удачи, уверен, еще немного и hh поплывут)

Привет! Я основатель disform.ru Основное направление нашей работы это аудит информационной безопасности. Мы проверяем инфраструктуру, веб приложения, облачные среды и внутренние процессы компании, чтобы находить реальные риски до того, как они приведут к инцидентам. Наша философия достаточно простая. Мы считаем, что информационная безопасность должна быть не роскошью для крупных корпораций, а базовой гигиеной для любого бизнеса. Со временем стало заметно, что рынок меняется. Если раньше большинство атак было направлено на классическую инфраструктуру, то сегодня все больше компаний внедряют AI инструменты и AI агентов, которые получают доступ к данным, внутренним сервисам и бизнес процессам. Вместе с этим появляются и новые векторы атак. Поэтому помимо классической информационной безопасности мы активно развиваем направление AI Security. Сейчас работаем над проектом Mirage. Мы исследуем новый подход к защите продуктов от автономных AI агентов и AI сканеров. Вместо того чтобы только искать уязвимости, Mirage позволяет изучать поведение таких систем, понимать их методы разведки, собирать артефакты атак и получать дополнительную информацию о том, как современные AI агенты взаимодействуют с инфраструктурой. Наша цель не просто найти проблему, а показать реальные пути эксплуатации и помочь устранить их до того, как это сделает кто то другой. От Product Radar жду честной обратной связи по продукту, сайту и самому направлению AI Security. Будет интересно обсудить, насколько такой подход востребован и какие задачи в области безопасности AI сегодня кажутся наиболее актуальными.