💵 Emphere привлёк $2,1 млн на ИИ-ремедиацию уязвимостей

Стартап Emphere закрыл раунд seed на $2,1 миллиона. Средства пойдут на развитие платформы, которая автоматизирует поиск и исправление уязвимостей в коде с помощью ИИ.

В отличие от традиционных сканеров, Emphere не просто находит проблемы, а сразу генерирует и применяет патчи. Система анализирует контекст кода, предлагает исправления и проверяет их на корректность, не нарушая работу приложения. Это закрывает разрыв между обнаружением уязвимости и её фактическим устранением — этап, который вручную часто затягивается на недели.

Продукт ориентирован на DevSecOps-команды и инженеров по безопасности, работающих с CI/CD-пайплайнами. По словам основателей, платформа уже интегрирована с GitHub и GitLab, а среди бета-тестеров — несколько крупных финтех-компаний. Инвесторами раунда выступили фонды, специализирующиеся на кибербезопасности и AI-инфраструктуре.

#Business #Tech #CyberSecurity #AI #DevSecOps #Startup

🔽AIVEX: новая модель триажа для снижения рисков в цепочках поставок

Исследователь и архитектор безопасности Девашри Датта представила AIVEX — расширение для формата CycloneDX VEX, которое добавляет контекст безопасности к существующим оценкам уязвимостей. Традиционные SBOM, VEX и CVSS не учитывают, что одна и та же уязвимость может быть критичной в AI-системе, управляющей роботом, и незначительной в бэк-офисе.

AIVEX работает в паре с уровнем интерпретации безопасности (SRIL), который обогащает данные о уязвимостях четырьмя измерениями контекста: типом актива, стадией жизненного цикла AI, потенциальным физическим воздействием и вектором эксплуатации. Flexera уже внедрила SRIL в следующем релизе, Anchore также интегрирует решение.

Проблема в том, что CVSS 9.8 в дашборде аналитики может быть менее опасен, чем CVSS 5.2 в модуле сенсоров автономного робота на складе — последний способен причинить физический вред. AIVEX переводит этот контекст в машиночитаемый формат для существующих инструментов DevSecOps.

#AI #SBOM #VEX #DevSecOps #Security #SupplyChain

🛡 Лучшие инструменты автоматического тестирования безопасности для современного DevSecOps

Современный DevSecOps требует проверок безопасности до релиза. Verizon в отчёте 2025 года выявил, что эксплуатация уязвимостей стала причиной 20% взломов (+34% к предыдущему году), а кража учётных данных — 22%. Автоматизация помогает командам ловить дефекты до попадания в продакшн.

Статический анализ кода (SAST) проверяет исходники до запуска: unsafe-функции, рискованные паттерны в pull request'ах. Эффективен при настройке правил под высокорисковые сценарии — OWASP рекомендует встраивать тесты прямо в pipeline. Динамическое тестирование (DAST) атакует живое приложение извне, выявляя сломанные проверки доступа и небезопасные редиректы. Платформы вроде XBOW автоматизируют пентест с валидацией находок — разработчик получает конкретный запрос, ответ и вектор атаки, а не расплывчатый тикет.

SCA (Software Composition Analysis) проверяет зависимости: CISA публикует каталог Known Exploited Vulnerabilities для приоритизации. Сканирование секретов ищет токены и пароли в коде — TechRadar в 2025 году нашёл 17 000 утечек в публичных GitLab-репозиториях. Infrastructure-as-Code тестирует облачные шаблоны на открытые storage и слабые IAM-правила.

AI в безопасности переходит от сопоставления паттернов к рассуждению: симуляция поведения атакующего, генерация remediation notes. Однако The Guardian в мае 2026 предупредил: Google фиксирует промышленное использование AI киберпреступниками. Автоматизация нужна, но финальное решение остаётся за человеком.

#AI #DevSecOps #CyberSecurity #Tech #OWASP #SAST #XBOW

❓ Как ИИ меняет сроки реагирования на уязвимости

ИИ ускоряет поиск уязвимостей, но главной проблемой для защитников остаётся выяснить, где именно работает уязвимый код. В мае 2026 года Google Threat Intelligence Group впервые сообщила о случае, когда, по её оценке, атакующий использовал ИИ для разработки эксплойта zero-day: Python-скрипт обходил двухфакторную аутентификацию в популярном open-source инструменте администрирования при уже имеющихся учётных данных. Вывод сделан на основе структуры кода, подробных поясняющих комментариев и сфабрикованного score уязвимости.

Контекст тревожный: в 2025 году Google зафиксировала 90 zero-day, эксплуатировавшихся в дикой природе, против 78 годом ранее. Это рекорд, причём 48% пришлось на корпоративное ПО и appliances. После раскрытия уязвимости команды часто не могут быстро найти все затронутые образы — Log4Shell в 2021 году показала это в масштабе всей отрасли. Помогают SBOM, уменьшение образов и автоматические патчи: DeepMind CodeMender за полгода подготовил 72 исправления для open-source проектов, но каждое изменение проверял человек.

Вывод: поиск уязвимости перестаёт быть самым медленным этапом. Теперь задержки чаще возникают из-за плохой инвентаризации окружений. ИИ ускоряет анализ и для атакующих, и для защитников, поэтому точные списки зависимостей и минималистичные контейнеры становятся критически важными.

#AI #CyberSecurity #Vulnerabilities #OpenSource #DevSecOps

🔒 Cloudflare и OpenAI запускают контекстное обнаружение и устранение уязвимостей

Cloudflare анонсировала ранний доступ к Vulnerability Discovery and Remediation — сервису в составе Cloudflare Managed Defense, который помогает командам находить и закрывать уязвимости в коде. Для анализа используются модели OpenAI Daybreak, включая GPT-5.6 Cyber. Сервис работает по приглашениям.

Проблема, которую решает сервис: сканеры выдают тысячи находок, но не объясняют, какой код реально работает, атакуется и чем уже защищён. Cloudflare добавляет контекст из своей глобальной сети: Web Assets и WAF показывают активные маршруты, объём трафика, недавние security-события и уже применённые правила. Находка превращается в конкретный приоритет: код живой, маршрут нагруженный, есть свежие атаки и нет защиты.

Система работает с Cloudflare Workers и проксируемыми приложениями. Маршруты с высокой нагрузкой считаются «горячими» и проходят более строгий анализ исходного кода. Модели Daybreak выполняют разведку, охоту за уязвимостями и валидацию. Предложенные патчи и WAF-митигации автоматически проверяются перед показом клиенту, но решение о внедрении всегда остаётся за пользователем. Подход основан на внутреннем pipeline Cloudflare, который уже используется для сканирования собственной инфраструктуры компании.

#Cloudflare #Safety #AI #CyberSecurity #OpenAI #DevSecOps