Всем привет!
Рынок найма сломан, поэтому решили пойти в эксперимент с сарафанным радио в телеге. Базовый найм через hh показал свою неэффективность.
Если вам или вашим знакомым интересно, то прошу откликнуться по контактам ниже :)

- - -

ИЩЕМ в команду пентестера внутрянки (Middle / Middle+).

🤝 Мы РАД КОП - первый в мире производственный кооператив в сфере ИБ. Приглашаем в команду пентестера, который устал от бюрократии, но не устал взламывать.

⚪️ ️У нас свобода действий, энергия стартапа, экспертиза и девиз:
«Делясь знаниями - получаешь больше».

❤️ В чем наша уникальность:
• НЕТ бюрократии, отчуждения крупных корпораций и классических «оргсхем»
• ЕСТЬ дружественная среда с ценностями: честность, забота, профессионализм, безопасность, кооперативность, инновационность
• Голос каждого участника кооператива имеет значение
• Прозрачные финансы, выборность руководства, самоуправление, полная удалёнка, психометрия по ценностям на входе
• Показываем финансовый рост x2 каждый год
• Зарплата зависит от ваших навыков, компетенций и договорённостей. Обсуждаем с каждым честно

‼️ Если вы горите наступательной безопасностью и хотите реализовать себя в сообществе, где ценят честность, заботу и профессионализм, то нам по пути.

- - -
⚪️ Обязательный базис:
• Самостоятельное выполнение пентестов по внутрянке (опыт не менее 15 проектов)
• Проживание в РФ (МСК желательно, но не строго).

⚪️ Что вы будете делать?
• Взаимодействовать с Заказчикам на всех этапах проекта
• Самостоятельно проводить внутренние пентесты
• Разрабатывать рекомендации по устранению уязвимостей
• Готовить отчёты с детализацией рисков
• Защищать результаты перед заказчиком
• Выступать на конференциях от лица кооператива
• Ездить в командировки по РФ (внутренние пентесты + Wi-Fi)
• Писать технические статьи и ресерчи
• Участвовать в CTF

- - -
⚪️ У нас выстроен прозрачный процесс найма:

1. Отправляете нашим хакерам @curiv / @sh1kata свое резюме и ответ на вопрос: «Чем вас заинтересовала вакансия?»
2. Указываете, из какого канала вы узнали о вакансии.
3. Получаете несколько технических вопросов. Отвечаете на них голосовым сообщением.
4. Технический специалист даёт обратную связь - готовы ли идти дальше и передает контакт HR
5. HR связывается с вами и обсуждает ожидания по сотрудничеству (ЗП, график и формат работы, дополнительные собеседования)

🤝 Нам не нужно «идеальное» резюме. Мы ценим искренность, реальные компетенции, готовность к диалогу и ответственность за результат.

Стараюсь не отставать от трендов и качаюсь в направлении ИИшницы. Есть такие мысли, что стандартные пентесты и анализы защищенности скоро умрут как класс, а те, кто не приспособятся, вылетят с рынка.

Поэтому одним глазом смотрю в сторону пентест-агентов, а вторым глазом в сторону безопасности самих агентских систем. Третьим глазом продолжаю смотреть в классические направления пентеста (скоро сдаю экзамен OSEP), четвертым смотрю в сторону развития команды и прочего менеджмента.

Исходно это должен был быть короткий пост, но я увлекся, поэтому рассказываю:

1. Недавно прошел интенсив Похека про пентест агентов. До этого уже какое-то время использовал AppSec/pentest скиллы для claude code и в целом было неплохо, но никак не мог собрать пайплайн во что-то съедобное. Пройдя курс, я осознал, что в целом это не rocket science и сейчас мы с командой настраиваем агентский пайплайн под себя. Сильно много нового в курсе я не узнал (видимо, уже смешарик), но он точно подойдет тем, кому нужно вкачать базу. Рекомендую посмотреть оглавление и краткое описание курса.

2. Развиваю направление безопасности языковых моделей. Когда мой старый знакомый еще в 2023 году сливал системные промпты с фронтир моделей, это было весело, но не актуально. Сейчас это и весело и актуально. Агентские системы всё более плотно входят в нашу жизнь и, кажется, это уже текущая реальность. Начал начитывать много теории, райтапов, докладов. Удивился, что OWASP подоспели и уже накидали TOP 10 для LLM, TOP 10 для скиллов, и TOP 10 для агентских приложений. И это отдельная вселенная. Будто бы и рядом, но совсем другое. И уже есть большой количество лаб, чтобы отрабатывать такие навыки. Около месяца назад ковырял Gandalf от lakera.ai, но почему-то его выпилили, вот как оно выглядело. И недавно начал ковырять owasp finbot и уже решил свой первый челендж с техникой ASI01: Agent Goal Hijack. В планах также пройти курс HTB по AI RedTeaming.

Много чего происходит, гонка становится всё ожесточеннее, локальные и мировые социально-экономические кризисы точно влияют на каждого из нас. Парадигма меняется стремительно и главным ресурсом становится фокус и внимание. Что делать с этой информацией, зачем она вам? Это зависит от вас.

Вот и закончилось очередное приключение :))

Очень веселый и кайфовый экзамен. Чувствовал себя в своей тарелке. Всё понятное, знакомое, комфортное, удобное.

Чтож, еще один шаг на пути к OSCE3 пройден. Остается совсем немного.

В планах до конца года поковырять HTB COAE (безопасность LLM), в январских каникулах ударными темпами пройти CRTE (внутрянка) и погрузиться в реверс (где я полный ноль), чтобы досдать оставшийся OSED.

Ну и соответствующая статейка про сдачу OSEP тоже будет. Stay tuned ❤️

#cert #osep

Хочу поддержать товарищей по направлению комплаенса и методологии":
https://t.me/radcop_online/383

Они на протяжении нескольких лет поддерживали вики-ресурс, посвященный ГОСТу 57580 и описали буквально все человеческим языком, а также сформировали целое сообщество вокруг этой активности. Сегодня состоялся релиз обновленной версии!

Знаю, что в основном моя аудитория связаны с технической защитой информации, но точно рекомендую посмотреть:

https://57580.radcop.online/

PS: есть планы интегрировать туда ветку с пентестом (чеклистами, шаблонами, PoCами, методологией) и также сделать это по опенсорс модели, где каждый сможет включиться и контрибьютить.

Несколько недель назад наткнулся на пост в канале PWNAI про GraySwan Арену. И стало очень интересно посмотреть. И как-то увлекло :)

Мне очень нравится UX платформы, перечень тематик, удобство исследования моделей и отработки атак на агентов и агентские системы, лидерборд.

Привычные инфраструктурные редтимы в большинстве своем поднадоели и рутинизировались. Я уже достаточно давно ими занимаюсь, методика отработана, векторы понятны, конечно, иногда появляется что-то новое, но это не фундаментально новое. AI redteam для меня ощущается как глоток свежего воздуха.

Здесь и сейчас я радуюсь как ребенок от успешно проведенного roleplay, от structured input или past tense. На текущий момент это всё ощущается примерно черным ящиком и дико интересно в это погружаться и открывать для себя новые техники, и копать вглубь их первопричин. И мне даже удалось выиграть некоторую сумму денег на платформе за успешные брейки, это было дико приятно и мотивирующе.

Нашел вот такой ресурс по перечислению существующих техник по атакам на агентов за авторством JHaddix. Это именно то, что я искал, изучая статьи и райтапы. Надеюсь вам он тоже пригодится. А также вот методологию по брейкам (спс каналу PwnAI за разбор)

На этом всё. Хотел поделиться радостью от чего-то нового. Good luck, stay safe.

#meme

Нагенерировал перерождение старого мема :)