RTAIO2: ИИ-агенты в пентесте

1. Начать работу и оценить расходы:

• Выберем доступ к модели, подготовим первый запуск и сравним задачи с агентом и без него. До работы с данными обсудим правовые ограничения.
• Где агент помогает, а где нет: Замеры времени, расходов и понимания задачи. Примеры неокупившейся автоматизации, рабочие сценарии и три вопроса для проверки результата.
• Доступ к моделям и способы оплаты: Верификация аккаунтов, подписки, Coding Plan и оплата через API. Ограничения доступа, выбор тарифа под задачу и модели с открытыми весами.
• Первая рабочая сборка: Из чего состоит агентная система и в каком порядке её собирать: сначала изоляция, затем инструменты и управление. Почему результат агента нужно проверять.
• Правовой раздел: данные и зарубежные сервисы: Локализация персональных данных и их передача за рубеж, ответственность за нарушения, отраслевые требования и вопросы, которые нужно задать юристу до начала работы.

1. Научиться управлять агентом:

• Настроим инструкции, инструменты и журнал работы. Научимся ставить задачи с понятным результатом и продолжать работу, когда история становится слишком длинной.
• Claude Code для пентестера: Команды, настройки, файл CLAUDE.md и шаблон проекта. Создание скиллов для повторяющихся задач, проверка их результата и отладка по журналу выполнения.
• OpenCode и другие программы для работы с агентами: Различия в настройках, подключении моделей и оплате. Какие приёмы можно переносить между программами, как работать с интерактивными сессиями и выбирать подходящий инструмент.
• Как связать компоненты системы: Исполнение команд, проверка разрешённых целей, очистка передаваемых данных и журналирование. MCP - протокол, через который агент подключает внешние инструменты.
• Как поставить задачу и проверить завершение: Цель, границы, пример ожидаемого результата и условия остановки. Разбор плохих и хороших заданий, диагностика сбоев и выбор между ручным контролем и автономной работой.
• Контекст и стоимость длинных задач: Как измерять объём передаваемого текста, заранее сокращать историю и сохранять важные детали. Почему длинный контекст влияет на цену и на качество результата.
• Контроль последовательности действий: Хранение последних вызовов инструментов и поиск подозрительных последовательностей. Проверка по типу действия, а не только по названию команды.

1. Ограничить доступ и проверить находки:

• Настроим права, проверим ограничения и составим паспорт агента. Отдельно соберём доказательства для отчёта, чтобы не выдавать уверенный ответ модели за подтверждённую уязвимость.
• Изоляция агента: WSL и Docker, работа без root, проверка повышения привилегий и ограничения исходящего трафика. Где заканчивается изоляция и почему наличие контейнера само по себе не решает все проблемы.
• Ограничения команд и повторных операций: Проверка обходов через кавычки, подстановки и кодирование. Какие действия можно повторять безопасно, кто разрешает повтор и как исправлять последствия ошибочной операции.
• Ключи и передача данных: Как не отдавать MCP-серверу все ключи сразу: точечная передача токена, прокси-посредник и проверка каждого запроса. Обезличивание данных перед отправкой модели.
• Паспорт агента: Тесты с известным результатом, повторные прогоны и ловушки для ложных срабатываний. Условия честного сравнения, влияние канала доступа, пропуски и ограничения замера. Сравнение двух агентов или команды с одиночкой.
• Независимая проверка результата: Требования к проверяющему агенту, объяснимость решения и повторная проверка другим способом. Где вместо модели нужен внешний источник данных или отдельный проверочный скрипт.
• Отчёт без лишнего текста: Шаги воспроизведения, доказательства и точное описание объёма проверки. Как убрать из черновика модели неподтверждённые выводы и текст, который не помогает понять находку. Машиночитаемые форматы отчётов.

1. Выбрать модели и организовать память:

• Сравним облачные и локальные модели, одного агента и команду. Разберём хранение состояния, восстановление работы и защиту памяти от ложных данных.
• Своя модель на своём компьютере: Ошибки запуска, размер контекста и расход видеопамяти. Ограничения моделей и случаи, когда дополнительные рассуждения или усложнение инструкции ухудшают результат. Локальный запуск можно пропустить.
• Kimi, GLM и DeepSeek: Практические замеры, стоимость работы и отказы моделей. Почему открытые веса ещё не означают, что модель получится запустить на домашнем компьютере.
• Команда агентов: Роли, задачи координатора, параллельная работа и отладка. Сравнение с одним агентом, расходы на координацию, ошибки обмена сообщениями и распространение сбоя по команде.
• Память и восстановление состояния: Рабочее состояние вместо бесконечной истории сообщений. Проверка записи в память, сохранение источника, контрольные точки для возврата к шагу и общая память агентов. Удаление данных, версии контекста, файловое и графовое хранение.

1. Применить агента в задачах пентеста:

• Сбор информации о цели, работа по правилам bug bounty и оценка расходов на законченную проверку. Облачные сервисы изучаем подробнее, мобильный пентест - обзорно.
• Разведка с агентами: Сбор информации из открытых источников, проверка выводов модели и последовательность работы от начала до конца. Российская специфика, видео как источник и поиск сервисов с ИИ.
• Как защитные системы замечают агента: Признаки запросов и поведения, проблемы аутентификации и самостоятельное измерение активности агента. Что видит защита и какие риски появляются при захвате вашего агента.
• Работа на bug bounty: Выбор программы, разрешённые цели, правила автоматизации и подготовка к проверке. Обработка отчёта площадкой, споры, оценка объёма работ и стоимость законченной задачи.
• Российские bug bounty-площадки: Статусы отчётов, дубликаты, причины оценки «Информативный» и типовые исключения. Как читать правила до начала работы, обсуждать спорные решения и выбирать программу.
• Облачные сервисы: Проверка управляющих интерфейсов и рабочих ресурсов. Где агент полезен и где опасен, защита метаданных контейнера, приватность и правила провайдеров.
• Мобильный пентест: обзор возможностей: Помощь в анализе приложения и трафика, управление инструментами обратной разработки. Ограничения автоматизации и примеры ошибочных выводов модели.

1. Проверить безопасность самих агентов:

• Проследим, как внешние данные превращаются в нежелательные действия. Проверим инструкции из документов, сторонние компоненты, память и базы знаний.
• Как атакуют агентные системы: Подмена инструкций через внешние данные, отравление памяти и базы знаний, исчерпание ресурсов и бюджета. Уязвимости программной основы агента, учёт подключённых компонентов и учебные стенды.
• Проверка сторонних скиллов и компонентов: Восемь шагов проверки, разбор вредоносных примеров и работа с уже установленными компонентами. Почему проверки при установке недостаточно и что может пропустить автоматический анализ.
• Методология проверки агента: Поиск агентных сервисов и подтверждение их поведения. Пути доставки посторонних инструкций и шесть разобранных цепочек атак, включая зашифрованные инструкции и GhostSplice. Как отличить подозрительный ответ от доказанной уязвимости.

1. Защитить агента и расследовать инцидент:

• Посмотрим на обе стороны: как обнаруживать сканирующих агентов и как не дать своему агенту попасть в ловушку. Разберём действия после компрометации.
• Защита от сканирующих агентов: Признаки обнаружения, задерживающие ответы и данные-приманки. Влияние на контекст и расходы агента, сравнение с блокировкой. Ограничения методов, порядок внедрения и правовые границы.
• Защита своего агента от ловушек: Распознавание подозрительных данных, отказ от нежелательных действий и уведомление оператора. Риски кражи компонентов агента и пределы доступной защиты.
• Расследование взлома агента: Признаки компрометации, первый час реагирования и сохранение улик. Журналы, память, векторные базы и образы дисков. Восстановление последовательности действий, оценка ущерба, уведомление клиентов и разбор причин.

1. Собрать наблюдателя и выполнить итоговую работу:

• DEUS Observer строим и запускаем вместе. В самостоятельной итоговой работе вы объедините настройку, проверку находок и подготовку отчёта.
• Сборка наблюдателя: Запишем вызовы инструментов и их результаты, проверим, совпадают ли они с ответом агента. Определим, когда можно продолжать работу, а когда нужна дополнительная проверка. Запустим систему и разберём, где она может ошибаться.
• Что считает наблюдатель: Четыре метрики, переход от ручной проверки к вычислениям по журналу. Сохранение истории без перезаписи, объединение записей и учёт накопленных расхождений.
• Capstone: итоговая работа: Самостоятельная проверка от подготовки до сдачи результата. Формат работы, критерии оценки, типовые ошибки и границы того, что удалось проверить.

Совместный проект:

• DEUS Observer - наблюдатель за выполнением задачи: проверка ответа агента по журналу работы, сверка вызванных инструментов и их ответов.
• Сбор журнала вызовов инструментов и их результатов.
• Настройка поиска случаев расхождения ответа агента с записями в журнале.
• Определение условий для продолжения или остановки работы.
• Описание устройства, инструкция запуска, построчный разбор примера утечки и разбор ограничений журнала и наблюдателя.