0-day StyleSmuggler в Magento: бэкдоры в интернет-магазинах
В Magento Open Source и Adobe Commerce нашли новую 0-day уязвимость, получившую имя StyleSmuggler. С её помощью атакующие без авторизации выполняют код на сервере и ставят…
// статьи и исследования
Блог
GPT-6 Astra набрала 100% на ExploitBench, но генерацию PoC OpenAI перекрыла
OpenAI выпустила GPT-6 Astra, и одна цифра из релиза напрягает даже спокойных людей: на бенчмарке ExploitBench модель набрала 100%. Предыдущая версия брала 78,5%. Речь про тест,…
LLMjacking: угон ИИ-моделей через украденный AWS-ключ обходится жертве в 100 000 $ в день
LLMjacking — это кража чужих ИИ-мощностей через скомпрометированный облачный ключ. Схема простая до обидного: злоумышленник получает AWS IAM-ключ с правами AdministratorAccess, подключает через него дорогие foundation-модели…
CVE-2026-35029 в LiteLLM: как урезанная роль вскрывает все ключи проекта
7 апреля 2026 года, буквально на следующий день после раскрытия CVE-2026-35029, honeypot-сенсоры (приманки) поймали первые пробы против LiteLLM — популярного AI-gateway (шлюза к LLM), через который…
Вредоносный .git/config запускает чужой код в Claude, Cursor и других ИИ-агентах
Чтобы ИИ-агент выполнил чужой код на вашей машине, ему не нужен ни хитрый промпт, ни «побег» из песочницы. Достаточно открыть присланный репозиторий: команда, зашитая в его…
ИИ научился находить 0-day: кибер-модели Google, Anthropic и OpenAI
За одну неделю сентября 2026 года три крупнейшие ИИ-лаборатории почти хором признали одно и то же: их модели уже находят и используют уязвимости на уровне сильной…
Защита от CI-инъекции: реальные взломы и как их ловит agentpipe
Реальные взломы CI/CD 2025 года (tj-actions, Nx, Amazon Q, GitHub MCP): что такое CI-инъекция (clinjection) и как agentpipe и agentpipe SaaS ловят цепочку атаки до секретов.
agentpipe v0.9: сканер безопасности CI/CD теперь работает прямо в пайплайне
Большое обновление agentpipe: GitHub Action с комментарием к PR и SARIF, режим baseline, автопатч agentpipe fix и политики репозитория и организации.
10 реальных уязвимостей ИИ-агентов в 2025 году и как от них защититься
Разбор 10 реальных атак на ИИ-агентов 2025 года с CVE и источниками: prompt-инъекции, отравление MCP, кража секретов из CI, удаление баз. И чем каждую можно было остановить.
Безопасность ИИ-агентов: три рубежа защиты, которые закрывают дыры друг друга
Сканер CI/CD agentpipe, файрвол Airlock и честное подтверждение Countersign. Что решает каждый, где у каждого предел, и как они закрывают слабые места друг друга.