Похек

AI как новая поверхность атаки: реальные инциденты, мошенничество и уязвимости агентной эпохи Коротко ▪️AI стал поверхностью атаки там, где модель получает не только текст, но и данные, инструменты,

Вот и все, практически два года в Бастионе прошли Теперь настало время расти дальше и развивать те задачи, которые мне интересны. Респект команде PR Бастиона, пока что лучшая команда PR с которой мне

Победителей выбрали в конкурсе на анти нейрослоп советов для Standoff 365 Bug Bounty . Просьба тех, кто увидел свой ник и коммент найти меня на Standoff Talks. Я на первом этаже, хожу в панамке чёрной

CVE-2026-53657: root внутри Lima QEMU-гостя через открытый сокет агента Разобрал CVE-2026-53657 в Lima: до версии v2.1.2 непривилегированный пользователь внутри QEMU-гостя мог подключиться к /run/lim

Сегодня стартовали открытые кибериспытания Т-Банка: их несколько дней назад анонсировал руководитель управления кибербезопасности Игорь Кубышко В рамках 17-го Standoff он подробно рассказал о програ

TokenTwin Checker: маленький Burp плагин для BAC/IDOR Посмотрел rootdr-backup/TokenTwin-Checker по коду, не только по README. Это Jython-расширение для Burp Suite: берёт выбранные запросы из контекст

Django, pickle и RCE через cache poisoning HackedAlert описал RCE-сценарий для Django 6.0.4: атакующий записывает в Redis/Memcached вредный pickle-объект под ключ сессии, затем отправляет запрос с ну

У многих ИБ-продуктов первая версия получается быстрее, чем первая системная продажа в энтерпрайз Технически команда уже умеет закрывать задачу: сканировать периметр, автоматизировать ИБ-процесс, защ

SSTI ❤️ htmlspecialchars() Попался тут интересный проект, в котором нашлась Twig SSTI'ка, до которой, чтобы добраться, нужно обойти несколько ограничений: Удалось её обнаружить после того, как я реши

DeepSecrets (последнее от моего знакомого Николая из Yandex, у его инструмента не стандартный подход к поиску секретов)