Pull to refresh
8K+
4
Василий Пластунов@vasily2015

Информационная безопасность

0,5
Rating
Send message

14 августа была выложена новая версия модели Qwen 3.8 27b и 27b-FP8. 12 августа назад была выложена новая версия модели Qwen 3.8-2.4T-A95B и Qwen 3.8-2.4T-A95B-FP8.

Почему это важно для кибербеза? Семейство квен самое популярное семейство среди моделей на hugging face как по количеству скачиваний так и по использованию для построения\файнтюна своих моделей. Россия в этом плане не сильно отличается от мировых тенденций.

Версия на 27 млрд параметров по общим бенчмаркам способностей находится на уровне GLM-5.2 (max), Deepseek V4Pro 0813, GPT 5.6 Luna. Квантованную до FP8 версию можно попробовать запустить на условно домашней rtx 5090 32 Гб

Версия на 2,4 трлн параметров по общим бенчмаркам способностей находится на уровне Muse Spark 1.2, GPT 5.6 Terra, т.е. можно отнести к SOTA моделям . Эта версия FP8 уже потребует профессиональных минимум 16 видеокарт Nvidia B300.

Как обычно хотелось бы понимать насколько эти модели более защищенная и (или) более способная для задач кибербезопасности.

А тут появляются проблемы, официально у новых моделей нет тех репорта, только карточки на hugging face c ссылками в никуда или на весьма ограниченное описание. Каких либо других независимых отчетов по кибербезопасности и safety мне тоже не удалось найти. В части возможностей самой модели можно с допущениями ориентироваться на тест облачной версии модели Qwen 3.8 Max (как аналога Qwen 3.8-2.4T-A95B) от Aikido:
"Qwen rediscovered 26 of 32 CVEs across three runs, for 81.25% pass@3 recall. That's ahead of GPT-5.6-Sol and matches Opus 5, at roughly half the cost".

Можно попробовать ориентироваться на комплексные бенчи:
Terminal‑Bench 2.1 - навыки работы в командной строке, в том числе для задач кибербезопасности (нахождение и закрытие уязвимостей в коде, реверс-инжиниринг бинарных файлов и безопасная настройка доступов).
DeepSWE 1.1 - бенч для навыков агентов по написанию кода, отдельных разделов по безопасности нет, но это навык смежный с написанием кода.

Значимое отличие - Qwen 3.8 27b единственную из актуальных опенсорс общих моделей можно запустить на одиночном устройстве, особенно если на неофициальном квантовании FP4. Тогда как для "соседей" по бенчмаркам (GLM 5.2, Deepseek V4Pro 0813, GPT 5.6 Luna) потребуется кластер (а иногда и не один) профессиональных видеокарт.

Что на текущий момент является аномальным результатом по соотношению (возможности модели в Terminal‑Bench 2.1)/стоимость оборудования. Соотношение сохраняется в DeepSWE 1.1 и нескольких других бенчах .

Будем ждать новых отчетов по этому семейству, пока Artificial Analysis не включил в бенч по затратам Qwen 3.8 27b, поэтому нужно отнестись сдержанно к получившейся аномальной оценке.

Если у кого то есть локальная RTX 5090 и свободное время - поделитесь впечатлениями ;) .

Исследование Akido
Исследование Akido
Tags:
+3
Comments3

Ведение базы уязвимостей NVD NIST было проаудировано Министерством торговли США. NIST обвинили в отсутствии стратегических и своевременных решений по проблеме бэклога NIST NVD, с чем NIST согласился.

По итогам аудита:
1. NIST составит план по борьбе с бэклогом.
2. Будет разработано решение по приоритезации обработки уязвимостей.
3. NIST перестанет рассчитывать CVSS по умолчанию, если он уже есть или нет явного запроса на это или проблем с расчетом. Будет оценена возможность автоматизации этого процесса.
4. Расчет CVSS теперь будет доступен в виде базы.
5. Будет расширен доступ к системе CPE (Common Platform Enumeration, связка уязвимость-конкретная версия продукта) для внешних организаций.
6.Программы NIST и CISA будут скорректированы для исключения взаимного дублирования обогащения уязвимостей одним и тем же исполнителем.
7. Будет разработано новая стратегия коммуникации со стейкхолдерами.

Сам отчёт по аудиту публичный и содержит больше деталей.

Tags:
Total votes 2: ↑2 and ↓0+4
Comments0

Anthropic дал пол года миру на перестройку процессов кибербезопасности

Anthropic обновила свою статью по проекту Glasswing. Glasswing - это проект предварительного доступа к передовой модели Mythos недоступной в общем доступе. Указано расширение объема пилота на 150 новых организации. Обещано расширение программы на 15 стран. Ранее официальный доступ к Mythos был только у организаций в США, что вызывало негатив у других стран.

Не могу не процитировать ключевой, как мне кажется, абзац: “Mythos Preview continues a long-term trend that we’ve been warning about for some time: within 6 to 12 months, we expect that many other AI companies will have Mythos-class models, and they could release them without safeguards that prevent misuse. In that world, cyberattacks could occur much more often, and in much more unpredictable forms. It’s imperative that cyberdefenders adapt to maintain pace.”

Т.е. по оценке Anthropic в период от 6 до 12 месяцев могут появится модели аналогичные по своим возможностям Mythos, но не обязательно, что с таким же щепетильным подходом к безопасности как у Anthropic.

Нужно учитывать, что параллельно днем ранее появилась новость о подаче Антропик “конфиденциальной” заявки на IPO.

Tags:
Total votes 3: ↑2 and ↓1+3
Comments0

Сколько кибербезников нужно компании

Наткнулся на неплохую и бесплатную аналитику от Гартнер . В частности данные по штатным единица КБ как функции от ИТ по секторам экономики. И мнению по количеству КБ специалистов как доли от количества работников в компании в целом.

"Midsize enterprises (<1,000 employees): Start with one to three specialists.
Large enterprises (≥1,000 and <10,000 employees): Expand to four to 15 roles.
Extra-large enterprises (≥10,000 and <50,000 employees): Grow to 15 to 50 professionals.
Extra-extra-large enterprises (≥50,000 employees): From 50+ roles, add specialized functions as complexity grows."

Отличная стартовая статья для использования среди прочих материалов при аудите и обоснования штатных единиц Кибербезопасности.

Tags:
Total votes 1: ↑1 and ↓0+3
Comments0

Вышла новая версия модели Антропик Claude 4.8. Небольшое увеличение точности по всем бенчмаркам кроме кибербезопасности. В этом релизе значительное внимание было уделено мерам безопасности (сейфгарды) и, по заявлению производителя, 4.7 примерно равно 4.8.

Но в новости ещё указано, что прогресс в области мер безопасности, позволяет планировать в ближайшие недели публичный релиз "моделей уровня Mythos".

Больше технических деталей возможно найти в системной карточке новой модели.

Исключен из карточки популяный бенчмарк Cybench как насыщенный. Насыщенные бенчмарки это бенчмарки которые больше не показывают прогресса, передовые модели набирают в них значения близкие к 90-95%.

Добавилось в карточку 2 новых бенча кибербезопасности ExploitBench (способность писать готовые эксплойты с нуля), OSS-Fuzz (фаззинг открытого программного обеспечения).
Остались старые бенчи CyberGym (поиск уязвимостей в реальном коде открытого программного обеспечения), способность писать эксплойты для Firefox 147.

Интересен и раздел описывающий безопасность использования агентов (промты для написания вредоносного ПО, двойного применения типа разведки и т.д.) . Из общего улучшения общей безопасности в версии 4.8 выбивается такая оценка как устойчивость к промт инъекциям при написании кода с помощью инструмента от Shade. На 200 попытках с 52,5% вероятности успеха на 4.7 защищенность снизилась до 65% на версии 4.8 без режима размышления т.е. чуть меньше чем в 2/3 случаях промт инъекции оказались успешными. Сами авторы системной карточки комментируют этот регресс так - это компромис с уменьшением ложно положительных срабатываний.

В своем ТГ канале ещё разместил пару графиков из карточки модели.

Tags:
Rating0
Comments0

Тем кто ещё находится в стадии планирования календаря мероприятий по кибербезу на 2026 год для развития или пиара себя и коллег, могу посоветовать вот такие публичные календари:

  1. ICT2GO (https://ict2go.ru/events/) Интерфейс не самый современный, но покрытие по разнообразию событий у него одно из самых хороших. Можно искать мероприятия и по отдельным направлениям ИТ.

  2. Security Vision (https://www.securityvision.ru/events/) У ICT2GO нет в календаре крупных событий типа PHD или ТЕРРИТОРИЯ БЕЗОПАСНОСТИ, нет крупных иностранных событий. У календарика Security Vision таких проблем нет.

Иногда в этих телеграмм каналах публикуются мероприятия которых нет в 2 источниках выше:
https://t.me/InfoBezEvents
https://t.me/event_security
https://t.me/secwebinars

p.s. Раньше ещё был календарь по знаковым событиям от Алексея Викторовича Лукацкого, он велся более 10 лет.. Вот версия календарика образца 2023 года (https://web.archive.org/web/20230928011400/https://lukatsky.ru/calendar)

Tags:
Total votes 1: ↑1 and ↓0+1
Comments0

Information

Rating
2,350-th
Location
Россия
Registered
Activity

Specialization

Руководитель, Архитектор информационной безопасности
Ведущий
Управление проектами
Управление людьми
Ведение переговоров
Построение команды
Организация бизнес-процессов
Стратегическое планирование