Агент OpenAI не сошёл с ума. Что мы знаем о взломе Hugging Face спустя неделю
Первая новость об этой истории уже успела состариться. Сначала Hugging Face сообщила о сложной автоматизированной атаке, потом OpenAI признала, что за ней стояли её модели, а ещё через несколько дней Reuters описал неприятную задержку с обнаружением. Каждое новое объяснение делало исходный заголовок спокойнее на вид и неприятнее по существу.
Методические рекомендации Банка России по безопасности ИИ на финрынке (№ 3-МР): обзор и что делать на практике
Привет, уважаемые эксперты!На связи Альбина Аскерова, руководитель направления по взаимодействию с регуляторами Swordfish Security. В прошлом обзоре мы разбирали методику ФСТЭК к приказу № 117, а в частности требования к безопасности ИИ в государственных системах и на объектах КИИ. Сегодня рассмотрим Методические рекомендации Банка России от 16.06.2026 № 3-МР по обеспечению информационной безопасности при разработке и применении ИИ на финансовом рынке.
Атака на LLM, которую нельзя исправить патчем
Не так давно вопросы безопасности искусственного интеллекта считались скорее темой для научных докладов, чем реальной проблемой для бизнеса. Большинство компаний, внедрявших LLM, сосредоточились на нескольких первоочередных задачах. Они стремились как можно быстрее выпустить минимально жизнеспособный продукт. Также они подключали к нему корпоративные знания, обучали помощника отвечать клиентам и автоматизировали работу техподдержки. Вопросы безопасности при этом откладывали. Такой подход был
Пентест 2026: как войти в профессию
В 2026 году рынок кибербезопасности окончательно разделился на два лагеря. В одном — энтузиасты, которые верят, что AI заменит пентестеров «через пару лет». В другом — профессионалы, которые спокойно работают, потому что понимают: автоматизация не отменяет человеческий фактор, а лишь смещает фокус. Собственно, подобное разделение можно встретить и в других направлениях ИБ и ИТ, но сегодня мы будем говорить именно про пентест.Реальность 2026 года
Почему ваша LLM-платформа — следующая цель: аудит безопасности AI-сервиса изнутри
Disclaimer: Всё описанное — результат санкционированного аудита безопасности по договору. Уязвимости ответственно раскрыты, ключи ротированы, домены и IP изменены. Статья — для понимания, не для воспроизведения.Мы искали уязвимости в RAG-платформе с десятками тысяч пользователей — а нашли доступ ко всей инфраструктуре и API-ключам с бюджетом в сотни тысяч долларов. Две недели мы строили сложные цепочки: SSRF через LangChain, инъекции в промпты, HTTP smuggling, CVE в десериализации. Ни одна не дала результата. А потом мы сделали один curl к открытому порту — и получили все ключи за 5 минут.
