[Нетипичный Безопасник] ИИ-агенты в пентесте (Мефодий Келевра)

​

RTAIO2 - Red Team AI Operator · вторая часть.
Покажу на экране, как настроить агента для задач пентеста, проверить его находки и ограничить доступ к вашим системам. Отдельно разберём, как атакуют самих агентов и как от этого защищаться.

Кому подойдёт курс:

• Тем, кто хочет использовать ИИ-агентов в задачах безопасности и понимать результат их работы.
• Программистам, которым интересна безопасность, системным администраторам и пентестерам. Тем, кто хочет разобраться с bug bounty, покажу правила площадок, работу с находками и подготовку отчёта.

Можно начать сразу с RTAIO2. Работу с агентами начинаем с настройки и разбираем основы, которые понадобятся на курсе. При этом будем читать код и разбирать проверки безопасности: это не обучение работе с компьютером с нуля.

Что будем делать на практике:

От настройки агента до проверки находок и отчёта.

Агент может написать убедительный ответ и ошибиться. Поэтому будем смотреть, какие команды он выполнил, что ответили инструменты и получается ли повторить результат. Одного заявления «я нашёл уязвимость» недостаточно.

• Настроим рабочую среду с ограниченным доступомЗададим доступ к файлам, сети и инструментам. Для опасных действий настроим подтверждение.
• Подготовим инструкции и скиллы для пентест-проектаОпишем задачи, ограничения и признаки готового результата, чтобы не объяснять всё заново при каждом запуске.
• Составим паспорт агента с результатами проверокЗапишем условия тестирования, подтверждённые находки, ложные срабатывания и пропуски.
• Перепроверим находки и оформим отчёт с доказательствамиПовторим тесты, сверим ответы инструментов и оформим шаги воспроизведения.
• Соберём DEUS Observer - наблюдателя за действиями агентаВместе запустим систему, которая сверяет ответ агента с журналом: какие инструменты он вызвал и что получил в ответ.

В конце вы самостоятельно выполните итоговую работу: от подготовки проверки до отчёта. Совместные лабораторные занятия тоже планируем.

Как проходит обучение:

Я показываю свой экран и по шагам объясняю, что делаю и почему.
Берём тему, разбираем её на видео, затем закрепляем по текстовой методичке. Если что-то непонятно, задаёте вопрос в Telegram-группе. Отвечаю, дополняю объяснение или переснимаю сложный момент.

• Выход уроков
  По будням выкладываю видео, ориентировочно по часу в день. К урокам идут текстовые методички.
• Объём видео
  Планирую около 10 часов видео. Итоговый объём может быть больше. Время на самостоятельную практику сюда не входит.
• Практика
  Итоговую работу выполняете самостоятельно. Совместные практические занятия тоже планируем.
• Материалы офлайн

Восемь этапов, чтобы видеть весь путь обучения.

Программа:

1. Начать работу и оценить расходы:

Выберем доступ к модели, подготовим первый запуск и сравним задачи с агентом и без него. До работы с данными обсудим правовые ограничения.

• Где агент помогает, а где нет
  Замеры времени, расходов и понимания задачи. Примеры неокупившейся автоматизации, рабочие сценарии и три вопроса для проверки результата.
• Доступ к моделям и способы оплаты
  Верификация аккаунтов, подписки, Coding Plan и оплата через API. Ограничения доступа, выбор тарифа под задачу и модели с открытыми весами.
• Первая рабочая сборка
  Из чего состоит агентная система и в каком порядке её собирать: сначала изоляция, затем инструменты и управление. Почему результат агента нужно проверять.
• Правовой раздел: данные и зарубежные сервисы
  Локализация персональных данных и их передача за рубеж, ответственность за нарушения, отраслевые требования и вопросы, которые нужно задать юристу до начала работы.

2. Научиться управлять агентом:

Настроим инструкции, инструменты и журнал работы. Научимся ставить задачи с понятным результатом и продолжать работу, когда история становится слишком длинной.

• Claude Code для пентестера
  Команды, настройки, файл CLAUDE.md и шаблон проекта. Создание скиллов для повторяющихся задач, проверка их результата и отладка по журналу выполнения.
• OpenCode и другие программы для работы с агентами
  Различия в настройках, подключении моделей и оплате. Какие приёмы можно переносить между программами, как работать с интерактивными сессиями и выбирать подходящий инструмент.
• Как связать компоненты системы
  Исполнение команд, проверка разрешённых целей, очистка передаваемых данных и журналирование. MCP - протокол, через который агент подключает внешние инструменты.
• Как поставить задачу и проверить завершение
  Цель, границы, пример ожидаемого результата и условия остановки. Разбор плохих и хороших заданий, диагностика сбоев и выбор между ручным контролем и автономной работой.
• Контекст и стоимость длинных задач
  Как измерять объём передаваемого текста, заранее сокращать историю и сохранять важные детали. Почему длинный контекст влияет на цену и на качество результата.
• Контроль последовательности действий
  Хранение последних вызовов инструментов и поиск подозрительных последовательностей. Проверка по типу действия, а не только по названию команды.

3. Ограничить доступ и проверить находки:

Настроим права, проверим ограничения и составим паспорт агента. Отдельно соберём доказательства для отчёта, чтобы не выдавать уверенный ответ модели за подтверждённую уязвимость.

• Изоляция агента
  WSL и Docker, работа без root, проверка повышения привилегий и ограничения исходящего трафика. Где заканчивается изоляция и почему наличие контейнера само по себе не решает все проблемы.
• Ограничения команд и повторных операций
  Проверка обходов через кавычки, подстановки и кодирование. Какие действия можно повторять безопасно, кто разрешает повтор и как исправлять последствия ошибочной операции.
• Ключи и передача данных
  Как не отдавать MCP-серверу все ключи сразу: точечная передача токена, прокси-посредник и проверка каждого запроса. Обезличивание данных перед отправкой модели.
• Паспорт агента
  Тесты с известным результатом, повторные прогоны и ловушки для ложных срабатываний. Условия честного сравнения, влияние канала доступа, пропуски и ограничения замера. Сравнение двух агентов или команды с одиночкой.
• Независимая проверка результата
  Требования к проверяющему агенту, объяснимость решения и повторная проверка другим способом. Где вместо модели нужен внешний источник данных или отдельный проверочный скрипт.
• Отчёт без лишнего текста
  Шаги воспроизведения, доказательства и точное описание объёма проверки. Как убрать из черновика модели неподтверждённые выводы и текст, который не помогает понять находку. Машиночитаемые форматы отчётов.

4. Выбрать модели и организовать память:

Сравним облачные и локальные модели, одного агента и команду. Разберём хранение состояния, восстановление работы и защиту памяти от ложных данных.

• Своя модель на своём компьютере
  Ошибки запуска, размер контекста и расход видеопамяти. Ограничения моделей и случаи, когда дополнительные рассуждения или усложнение инструкции ухудшают результат. Локальный запуск можно пропустить.
• Kimi, GLM и DeepSeek
  Практические замеры, стоимость работы и отказы моделей. Почему открытые веса ещё не означают, что модель получится запустить на домашнем компьютере.
• Команда агентов
  Роли, задачи координатора, параллельная работа и отладка. Сравнение с одним агентом, расходы на координацию, ошибки обмена сообщениями и распространение сбоя по команде.
• Память и восстановление состояния
  Рабочее состояние вместо бесконечной истории сообщений. Проверка записи в память, сохранение источника, контрольные точки для возврата к шагу и общая память агентов. Удаление данных, версии контекста, файловое и графовое хранение.

5. Применить агента в задачах пентеста:

Сбор информации о цели, работа по правилам bug bounty и оценка расходов на законченную проверку. Облачные сервисы изучаем подробнее, мобильный пентест - обзорно.

• Разведка с агентами
  Сбор информации из открытых источников, проверка выводов модели и последовательность работы от начала до конца. Российская специфика, видео как источник и поиск сервисов с ИИ.
• Как защитные системы замечают агента
  Признаки запросов и поведения, проблемы аутентификации и самостоятельное измерение активности агента. Что видит защита и какие риски появляются при захвате вашего агента.
• Работа на bug bounty
  Выбор программы, разрешённые цели, правила автоматизации и подготовка к проверке. Обработка отчёта площадкой, споры, оценка объёма работ и стоимость законченной задачи.
• Российские bug bounty-площадки
  Статусы отчётов, дубликаты, причины оценки «Информативный» и типовые исключения. Как читать правила до начала работы, обсуждать спорные решения и выбирать программу.
• Облачные сервисы
  Проверка управляющих интерфейсов и рабочих ресурсов. Где агент полезен и где опасен, защита метаданных контейнера, приватность и правила провайдеров.
• Мобильный пентест: обзор возможностей
  Помощь в анализе приложения и трафика, управление инструментами обратной разработки. Ограничения автоматизации и примеры ошибочных выводов модели.

6. Проверить безопасность самих агентов:

Проследим, как внешние данные превращаются в нежелательные действия. Проверим инструкции из документов, сторонние компоненты, память и базы знаний.

• Как атакуют агентные системы
  Подмена инструкций через внешние данные, отравление памяти и базы знаний, исчерпание ресурсов и бюджета. Уязвимости программной основы агента, учёт подключённых компонентов и учебные стенды.
• Проверка сторонних скиллов и компонентов
  Восемь шагов проверки, разбор вредоносных примеров и работа с уже установленными компонентами. Почему проверки при установке недостаточно и что может пропустить автоматический анализ.
• Методология проверки агента
  Поиск агентных сервисов и подтверждение их поведения. Пути доставки посторонних инструкций и шесть разобранных цепочек атак, включая зашифрованные инструкции и GhostSplice. Как отличить подозрительный ответ от доказанной уязвимости.

7. Защитить агента и расследовать инцидент:

Посмотрим на обе стороны: как обнаруживать сканирующих агентов и как не дать своему агенту попасть в ловушку. Разберём действия после компрометации.

• Защита от сканирующих агентов
  Признаки обнаружения, задерживающие ответы и данные-приманки. Влияние на контекст и расходы агента, сравнение с блокировкой. Ограничения методов, порядок внедрения и правовые границы.
• Защита своего агента от ловушек
  Распознавание подозрительных данных, отказ от нежелательных действий и уведомление оператора. Риски кражи компонентов агента и пределы доступной защиты.
• Расследование взлома агента
  Признаки компрометации, первый час реагирования и сохранение улик. Журналы, память, векторные базы и образы дисков. Восстановление последовательности действий, оценка ущерба, уведомление клиентов и разбор причин.

8. Собрать наблюдателя и выполнить итоговую работу:

DEUS Observer строим и запускаем вместе. В самостоятельной итоговой работе вы объедините настройку, проверку находок и подготовку отчёта.

• Сборка наблюдателя
  Запишем вызовы инструментов и их результаты, проверим, совпадают ли они с ответом агента. Определим, когда можно продолжать работу, а когда нужна дополнительная проверка. Запустим систему и разберём, где она может ошибаться.
• Что считает наблюдатель
  Четыре метрики, переход от ручной проверки к вычислениям по журналу. Сохранение истории без перезаписи, объединение записей и учёт накопленных расхождений.
• Capstone: итоговая работа
  Самостоятельная проверка от подготовки до сдачи результата. Формат работы, критерии оценки, типовые ошибки и границы того, что удалось проверить.

Совместный проект:

Агент пишет «готово». Проверим, что он сделал.
DEUS Observer - наблюдатель за выполнением задачи. Мы вместе строим и запускаем его, чтобы проверять ответ агента по журналу работы. Если агент пишет, что выполнил проверку, смотрим, какие инструменты он вызвал и что они вернули.

1. Соберём журнал вызовов инструментов и их результатов.
2. Настроим поиск случаев, когда ответ агента не совпадает с записями в журнале.
3. Определим условия, при которых работу можно продолжить или нужно остановить для проверки.

К проекту есть описание устройства, отдельная инструкция запуска и построчный разбор примера утечки. Обсудим и ограничения: журнал не доказывает то, чего он не записал, а наблюдатель не заменяет проверку самой уязвимости.

Старт 20 сентября 2026 года.