Использование ChatGPT на проектах Red Team — применяют ли его подрядчики и какие тут риски?

Из-за фильтров безопасности публичные модели не напишут готовый 0-day эксплойт. Специалисты обычно используют их для обфускации известного кода, чтобы обходить системы детекта. Однако скармливать код компании облачным сервисам, кроме как локальным изолированным моделям, — это недопустимая уязвимость.

В прошлом месяце заказывали пентест за 120.000 TL, так по мониторингу трафика поймали безопасника на том, что он сливал логи ошибок нашей внутренней сети в публичный ИИ-сервис. Тестирование свернули в ту же минуту, контракт расторгли. Мониторить исходящий трафик аудиторов, увы, приходится самим заказчикам.

За честность контору можно похвалить, но выкатывать ценник в 160.000 TL и скармливать львиную долю работы боту по готовым промптам — это перебор. Вся суть Red Team строится на нестандартном человеческом мышлении, а шаблоны умеют гонять и обычные автосканеры.

Удобный бизнес: скормил целевую компанию нейронке, а потом выставил счет за консалтинг по Red Team. Когда пришлют отчет, вчитывайтесь в формулировки — часто там тупо скопипащенные стандартные ответы бота.

если крутят локальные сетки на своих серверах без досутпа в сеть то ноль вопросов но если сливают инфу во внешнее облако то о какой конфиденциальности речь. прописывайте в договоре конские штрафы за такое.

В соответствии с Законом о защите персональных данных и стандартами информационной безопасности, передача данных сотрудников или клиентов, полученных в ходе тестирования, на платформы искусственного интеллекта, размещённые на зарубежных серверах, является явным нарушением законодательства. Это может создать для вашей компании риск административного штрафа.

Ваше беспокойство абсолютно оправдано. Обязательно запросите у компаний, предлагающих услуги, документ с методологией тестирования. Потребуйте, чтобы они письменно обязались указать какие инструменты, на каком этапе и с какими мерами защиты данных они используют. Профессиональная компания не побоится это задокументировать.

По теме red team chatgpt так категорично говорить сложно. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете что именно улучшать. Проверено опытом.

у нас так же.

Краткое резюме для новичков: Если делаете впервые, начните с малого, масштабирование потом.

На этом всё извините, если затянул.

Буду рад, если напишете о результате. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Надеюсь, это будет полезно.

Верно. Изменение платежных данных никогда не подтверждается через тот же канал.

Без измерений мы всегда приходим к одному и тому же.

Я столкнулся с тем же два года назад. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Конечно, если ваша ситуация отличается, всё меняется.

Согласен, хочу даже особо подчеркнуть. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Буду отстаивать обратное, не обижайтесь. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Я бы пошел этим путем.

В целом верно, но один момент упущен. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент. Конечно, если ваша ситуация отличается, всё меняется.

взял на заметку, спасибо.

Абсолютно. Если добавить к этому: Большая часть потерь времени копится на задачах, ожидающих согласования.

Пишите если есть вопросы, отвечу по мере возможности.