ИИ-агенты вместо пентестеров: как росбизнес готовится к новым типам атак
ИИ-агенты вместо пентестеров: как росбизнес готовится к новым типам атак #infosec #pentest #AI #bugbounty В декабре прошлого года вышло исследование Boston Consulting Group, которое показало, что 88% компаний планируют использовать ИИ для защиты, однако реально внедрили такие инструменты только 7%. Мы тут знаем, сколько в себе может нести хакерский ИИ, поэтому прикольно посмотреть на то, как российский рынок к этому готовится. Вот ребята из Т-Банка, к примеру, на конференции ЦИПР рассказали про свою внутреннюю тулзу Nulla. Лично для меня это очень интересный кейс, потому что они попытались автоматизировать не условный фаззинг, а нормальную атаку с адаптацией под инфраструктуру, что очень в тему на фоне новостей о Claude Mythos или программе-вымогателе PromptLock. Что делает тул Вместо того чтобы гонять классические сканеры, которые работают по жестким правилам и сыплют фолсами, полностью автономная группа ИИ-агентов Nulla имитирует живого хакера. Nulla реально смотрит на реакцию защитных механизмов, на ходу меняет векторы и выстраивает сложные цепочки. Что под капотом Агент бьет в нарушения логики доступа (читай: ищет IDOR'ы и Broken Access Control). Nulla находит обходы бизнес-процессов, ломая предусмотренную последовательность, а также строит сложные kill chain'ы между сервисами. Impact Время проверки одного сервиса — 45 минут (руками в нем кто угодно ковырялся бы несколько суток). Уже прогнали через 1300 сервисов экосистемы Т-Банка. И тут самое интересное — метрики. Они оценивают сэкономленные на баг-баунти деньги в 100 мультов до конца года. То есть ИИ нашел то, за что раньше пришлось бы жирно платить ресечерам. При этом живых багхантеров не отменяют: еще с февраля Т-Банк дает до 10 млн рублей за импакт. @poxek | MAX | Блог | YT | RT | VK