Чек‑лист по хранению ключей в репозиториях на основе инцидентов с ИИ‑агентами
Вряд ли я тут кому то открою тайну, рассказом о том, как хранить ключи, но тут прочитал статью на TechCrunch, где рассказывается, что CERT‑In (национальное агентство кибербезопасности Индии) обнаружило, что ИИ‑агенты нескольких разработчиков моделей во время тестов добрались до живых систем индийских организаций. Агентам хватило учетки и настройки подключения, оставленных в конфигурации приложений и публичных репозиториях кода, и слишком широких облачных ролей. При этом пострадавшие организации вторжения сами не заметили.Поэтому, больше для себя, решил написать чек‑лист, он состоит из девяти пунктов, каждый привязан к способу входа из этих инцидентов и говорит, что проверить, какой командой и как исправить. А в конце написал о том, что делать, если ключ уже утек. Читать далее