Forwarded from AlexRedSec
Свежая кривая хайпа по технологиям безопасности приложений (Application Security) от Gartner🔔
Традиционно очень много текста, а почитать можно тут.
Кратко из того, что бросилось в глаза:
🔼 Ожидаемый ажиотаж вокруг безопасности ИИ, ассистентов для написания кода и технологий анализа достижимости (Reachability Analysis).
🔽 Software Bill of Materials (SBOM) и Application Security Posture Management (ASPM) пошли на спад.
❓ Policy-as-Code неожиданно заявлена как инновация, хотя как минимум три года уже на слуху...
💬 DevSecOps вышел на плато продуктивности... Здесь традиционный спор, а технология ли это? В моём понимании это всё же методология и практики🤔
#hypercycle #appsec #gartner
Традиционно очень много текста, а почитать можно тут.
Кратко из того, что бросилось в глаза:
#hypercycle #appsec #gartner
Please open Telegram to view this post
VIEW IN TELEGRAM
This media is not supported in your browser
VIEW IN TELEGRAM
FuzzForge AI: платформа для автоматизации поиска уязвимостей
Интересная платформа с ИБ инструментами.
🤖 AI Agents for Security — специализированные агенты для AppSec, реверсинга и фаззинга
🛠 Автоматизация рабочих процессов — определение и выполнение рабочих процессов AppSec в виде кода
📈 Масштабируемое исследование уязвимостей - автоматизированная перепроверка уязвимостей 1-day и обнаружение уязвимостей 0-day
🔗 Интеграция с фаззерами — AFL, Honggfuzz, AFLnet, StateAFL и другие
🌐 Маркетплейс сообщества - обмен рабочими процессами, корпусами, PoC и модулями
🔒 Корпоративная версия - облачные решения для команд/корпораций для масштабирования активной безопасности
Полезный фреймворк для внутренней команды по пентестам.
#FuzzForge #Fuzzing #AppSec #cybersecurity
———
@tsingular
Интересная платформа с ИБ инструментами.
🤖 AI Agents for Security — специализированные агенты для AppSec, реверсинга и фаззинга
🛠 Автоматизация рабочих процессов — определение и выполнение рабочих процессов AppSec в виде кода
📈 Масштабируемое исследование уязвимостей - автоматизированная перепроверка уязвимостей 1-day и обнаружение уязвимостей 0-day
🔗 Интеграция с фаззерами — AFL, Honggfuzz, AFLnet, StateAFL и другие
🌐 Маркетплейс сообщества - обмен рабочими процессами, корпусами, PoC и модулями
🔒 Корпоративная версия - облачные решения для команд/корпораций для масштабирования активной безопасности
Полезный фреймворк для внутренней команды по пентестам.
#FuzzForge #Fuzzing #AppSec #cybersecurity
———
@tsingular
✍2👍2❤1
11.7 млрд токенов на взлом: почему дешёвые китайские модели обошли закрытых гигантов в поиске уязвимостей
Команда Aikido Security сожгла почти 12 миллиардов токенов, натравив десять ведущих нейросетей на 32 свежие реальные уязвимости в кодовой базе. И получается, что открытые модели решают задачи не хуже проприетарных.
🚀 Что произошло:
Исследователи провели 96 циклов тестирования (по три попытки на модель), ограничив агентов тридцатью ходами без доступа в интернет.
В лидеры по числу найденных брешей вырвался DeepSeek V4 Pro 0813, закрывший 28 из 32 уязвимостей.
Следом идут:
Qwen3.8-Max (26 из 32),
Grok 4.6 (26 из 32),
Claude Opus 5 (26 из 32),
GLM-5.3 (25 из 32)
GPT-5.6 Sol (25 из 32).
🔧 Технические детали:
Разница между моделями проявилась в архитектуре исследования кода и разбросе гипотез.
DeepSeek V4 Pro тратит больше всех ресурсов (медиана 24 хода из 30), активно исследует боковые ветви и за три прогона собирает максимум находок: 17 в первой попытке и 28 в сумме.
Три запуска DeepSeek V4 Pro стоят $295 против $450-$590 за одиночный прогон Opus 5 или Sol.
GLM-5.3 на 65.5% дешевле GPT-5.6 Sol при той же точности и находит стабильные 18 из 32 уязвимостей во всех прогонах.
Kimi K3 оказался самым быстрым: медиана 12 ходов и точность 92.3% без ложного шума.
🎯 Какую проблему решает:
Поиск уязвимостей в коде всегда упирается в дилемму цены и полноты охвата.
Одиночный прогон дорогой флагманской модели может оставлять пропуски в логике, например, поэтому нужны повторные запуски или анализ агентами, но их работа обходится в 15 раз дороже по токенам.
Получается, возможность использовать открытые модели для анализа, - это серьёзная экономия и теперь она не приводит к деградации результата.
💼 Зачем бизнесу:
API и привязка к интернету все реже становятся обязательным условием работы с качественным ИИ.
Компании могут разворачивать наступательные и оборонительные сканеры на базе открытых весов в изолированном контуре и получать приемлемый результат.
#cybersecurity #DeepSeek #GLM #LLM #AppSec #тесты
———
@tsingular
Команда Aikido Security сожгла почти 12 миллиардов токенов, натравив десять ведущих нейросетей на 32 свежие реальные уязвимости в кодовой базе. И получается, что открытые модели решают задачи не хуже проприетарных.
🚀 Что произошло:
Исследователи провели 96 циклов тестирования (по три попытки на модель), ограничив агентов тридцатью ходами без доступа в интернет.
В лидеры по числу найденных брешей вырвался DeepSeek V4 Pro 0813, закрывший 28 из 32 уязвимостей.
Следом идут:
Qwen3.8-Max (26 из 32),
Grok 4.6 (26 из 32),
Claude Opus 5 (26 из 32),
GLM-5.3 (25 из 32)
GPT-5.6 Sol (25 из 32).
🔧 Технические детали:
Разница между моделями проявилась в архитектуре исследования кода и разбросе гипотез.
DeepSeek V4 Pro тратит больше всех ресурсов (медиана 24 хода из 30), активно исследует боковые ветви и за три прогона собирает максимум находок: 17 в первой попытке и 28 в сумме.
Три запуска DeepSeek V4 Pro стоят $295 против $450-$590 за одиночный прогон Opus 5 или Sol.
GLM-5.3 на 65.5% дешевле GPT-5.6 Sol при той же точности и находит стабильные 18 из 32 уязвимостей во всех прогонах.
Kimi K3 оказался самым быстрым: медиана 12 ходов и точность 92.3% без ложного шума.
🎯 Какую проблему решает:
Поиск уязвимостей в коде всегда упирается в дилемму цены и полноты охвата.
Одиночный прогон дорогой флагманской модели может оставлять пропуски в логике, например, поэтому нужны повторные запуски или анализ агентами, но их работа обходится в 15 раз дороже по токенам.
Получается, возможность использовать открытые модели для анализа, - это серьёзная экономия и теперь она не приводит к деградации результата.
💼 Зачем бизнесу:
API и привязка к интернету все реже становятся обязательным условием работы с качественным ИИ.
Компании могут разворачивать наступательные и оборонительные сканеры на базе открытых весов в изолированном контуре и получать приемлемый результат.
#cybersecurity #DeepSeek #GLM #LLM #AppSec #тесты
———
@tsingular
⚡5🔥5❤1✍1💯1