Google заплатила студенту $36 337 за уязвимость в Google App Engine

Google заплатила студенту $36 337 за уязвимость в Google App Engine

Google заплатила студенту $36 337 за уязвимость в Google App Engine

Молодой исследователь в области безопасности получил от Google $36 337 за раскрытие информации о серьезной уязвимости в Google App Engine. Вознаграждение досталось 18-летнему студенту Республиканского университета в Уругвае.

Google App Engine представляет собой службу хостинга сайтов и web-приложений на серверах Google с бесплатным именем <имя_сайта>.appspot.com либо с собственным именем, задействованным с помощью служб Google.

По словам специалиста, в начале этого года ему удалось получить доступ к среде разработки Google App Engine, в которой была возможность использовать внутренние API.

Каждое приложение Google App Engine (GAE) отвечает на HTTP-запросы с заголовком «X-Cloud-Trace-Context». В процессе исследования эксперт понял, как приложения GAE выполняют внутренние действия, включая запись в журнал и извлечение токенов OAuth.

Внутренние действия выполнялись путем отправки сообщений Protocol Buffers (PB) на внутреннюю конечную точку HTTP. В ответ шло соответствующее сообщение PB (ответ от API), либо сообщение об ошибке.

Далее эксперт воспользовался Nmap, с помощью которой обнаружил, что порт 4 был открыт. Затем исследователь поднял клиент C++ и запустил его на GAE, что привело к обнаружению службы gRPC, которая запускала API «apphosting.APIHost».

Студент создал Java-библиотеку, которая считывала аргументы, благодаря этому ему удалось узнать имена API, например, «logservice» и «stubby».

Используя полученную информацию, специалист смог получить доступ к промежуточным и тестовым средам разработки GAE, недоступным для обычных пользователей.

Google посчитала этот недостаток очень серьезным, за что студент и получил щедрое вознаграждение.

Группа Астра собрала суверенный ИИ: от кода до агентной ОС

«Группа Астра» представила направление «Астра ИИ» — комплекс решений для внедрения искусственного интеллекта в компаниях, которым не хочется отправлять код и документы неизвестно куда. В контур вошли инфраструктура для запуска моделей, инструменты разработки, агентная ОС и методология оценки экономического эффекта.

Компания делает ставку на локальные решения: данные хранятся внутри организации, доступ контролируется, а действия ИИ-агентов записываются и ограничиваются политиками безопасности.

Использовать можно российские, открытые и передовые модели — выбор зависит от критичности задачи. В «Астре» объясняют такой подход суровой статистикой.

ИИ уже пробуют внедрять 97% компаний, но до промышленной эксплуатации добрались лишь 10-15%. Более 90% бизнеса пока не увидели системной выгоды, а 79% предприятий критической информационной инфраструктуры вообще запрещают публичные генеративные сервисы.


Одним из ключевых продуктов станет «Астра ИИ Код» — агент-программист, который работает в терминале, анализирует и редактирует код, запускает тесты и сборки. Самодеятельность ему обещают прикрутить: план и изменения должен подтверждать человек. Массовый запуск продукта намечен на четвёртый квартал 2026 года.


На собственных командах «Астра» уже получила прирост производительности от 30 до 90%, а трудоёмкость отдельных процессов снизила на 24-50%. Впрочем, магии не обещают: на новых проектах эффект может достигать 35-40%, а в старом коде — не дотягивать и до 10%.

Для команды из 100 человек компания оценивает вложения в 63 млн рублей в год, потенциальный высвобожденный ресурс — примерно в 103 млн рублей, а срок окупаемости — около шести месяцев.

RSS: Новости на портале Anti-Malware.ru