SQLi будет жить, пока безопасность на стадии разработки не станет нормой

SQLi будет жить, пока безопасность на стадии разработки не станет нормой

SQLi будет жить, пока безопасность на стадии разработки не станет нормой

Возможность внедрения SQL-кода (SQL injection, SQLi) была впервые признана уязвимостью более 20 лет назад, однако она до сих пор зачастую всплывает в веб-приложениях. Матиас Маду (Matias Madou), технический директор и соучредитель компании Secure Code Warrior, уверен, что этот тривиальный баг будет и впредь составлять угрозу для пользователей, пока разработчики не научатся привносить безопасность в программные коды.

Баг SQLi, по мнению эксперта, легко устранить. Учитывая почтенный возраст проблемы, она должна присутствовать только в унаследованном софте и непропатченных системах. Тем не менее, создатели веб-приложений повторяют эту ошибку вновь и вновь.

Атака внедрением SQL-кода не требует специальных знаний и навыков, а последствия могут быть весьма неприятными — SQLi до сих пор занимает первое место в рейтинге рисков OWASP Top 10. Так, в минувшем августе поставщик графического контента Freepik сообщил о компрометации учетных данных 8,3 млн пользователей в результате SQLi-атаки. За три месяца до этого в США был открыт процесс по делу украинца Виталия Антоненко, которого обвинили в краже сотен тысяч номеров кредитных карт и персональных данных посредством массовых взломов через SQLi.

К сожалению, многие дипломированные программисты, по словам Маду, имеют слабое представление о защитном кодировании. Для проведения специальных тренингов у бизнес-структур не хватает квалифицированных кадров и возможностей, а подчас и желания. Новые языки программирования вроде Rust помогают избавиться от некоторых типовых багов, однако использование устаревших систем и библиотек сводит на нет все усилия по обеспечению безопасности корпоративной инфраструктуры.

Эксперт призывает интернет-сообщество повысить культуру создания программных продуктов, стимулировать разработчиков к освоению приемов безопасного программирования и не жалеть времени на подготовку качественных, защищенных кодов.

X запретила Grok «раздевать» людей на изображениях после скандала

Платформа X (прежний Twitter) Илона Маска объявила о новых ограничениях для своего ИИ-бота Grok после волны международной критики и расследований, связанных с генерированием непристойных изображений реальных людей — включая женщин и детей. Об этом компания сообщила 14 января.

Поводом стал резонанс вокруг так называемого Spicy Mode, который позволял с помощью простых текстовых запросов «раздевать» людей на фотографиях — например, «надень на неё бикини» или «убери одежду».

Эти возможности вызвали шквал жалоб, блокировки сервиса в отдельных странах и проверку со стороны регуляторов.

В X заявили, что приняли технические меры, чтобы пресечь подобные сценарии. В частности, компания начнёт блокировать по геолокации возможность создавать или редактировать изображения людей в «откровенной одежде» — бикини, нижнем белье и аналогичных образах — в тех юрисдикциях, где такие действия нарушают закон.

«Мы внедрили технологические ограничения, которые не позволяют Grok редактировать изображения реальных людей в откровенной одежде, включая бикини», — говорится в заявлении команды безопасности X.

Ограничения распространяются на всех пользователей, включая платных подписчиков.

Кроме того, в качестве «дополнительного уровня защиты» X решила оставить генерацию и редактирование изображений через Grok только для платных аккаунтов. В компании считают, что это позволит снизить риски злоупотреблений.

На ситуацию уже отреагировали европейские регуляторы. В Еврокомиссии заявили, что внимательно изучают дополнительные меры, принятые X, и проверят, действительно ли они способны защитить пользователей в ЕС. Представитель комиссии Томас Ренье отметил, что речь идёт о реакции на острую критику из-за непристойных изображений.

По данным недавнего исследования некоммерческой организации AI Forensics, более половины из 20 тысяч проанализированных изображений, созданных Grok, показывали людей в минимальном количестве одежды. Большинство из них — женщины, а около 2% персонажей выглядели как несовершеннолетние.

RSS: Новости на портале Anti-Malware.ru