Usługi

Współpraca

Cztery rodzaje zleceń, prowadzonych przez te same osoby, które stoją za badaniami na tej stronie. Każde ustalenie ma reprodukcję i uzasadnienie, dlaczego ma znaczenie, a kolejność wyznacza to, czy atakujący naprawdę do niego dotrze.

Rozpocznij współpracę Zobacz przykładowy raport

S/00Co robimy

S/01

Audyt bezpieczeństwa agentów AI i MCP

Dla kogoZespoły, które wdrażają agenty, copiloty lub serwery MCP na produkcję.

Co sprawdzamy

Prompt injection przez wyniki narzędzi, dokumenty, zgłoszenia i treści z sieci
Nadużycie narzędzi i nadmierna autonomia: co model może zrobić, a nie powinien
Transport i uwierzytelnianie MCP, obsługa sesji, wystawione endpointy
Sekrety i poświadczenia osiągalne z kontekstu agenta
Wartości podane przez model, które trafiają do plików, powłoki i sieci

Co dostajesz

Raport z odtwarzalnymi ustaleniami uszeregowanymi według realnej możliwości ataku, konkretne poprawki i ponowny test po ich wdrożeniu.

Dowód Nasze notatki o bezpieczeństwie transportu MCP →

S/02

Decepcja MCP z honeymcp

Dla kogoZespoły bezpieczeństwa, które chcą widzieć, co atakujący robią z infrastrukturą agentów, zamiast zgadywać.

Co sprawdzamy

Dobór i rozmieszczenie person w Twoim środowisku
Strojenie detektorów pod Twój realny ruch
Eksport STIX 2.1 do SIEM lub platformy threat intel
Procedura na wypadek, gdy sensor się odezwie

Co dostajesz

Działające sensory, dostrojone detektory i spisana procedura. Narzędzie jest open source, więc nic Cię nie wiąże.

Dowód honeymcp na GitHubie →

S/03

Triage oparty na osiągalności

Dla kogoZespoły zasypane wynikami skanerów, które muszą wiedzieć, co jest prawdziwe.

Co sprawdzamy

Osiągalność każdej zgłoszonej podatności z pozycji atakującego
Które znaleziska w zależnościach leżą na ścieżkach kodu, które faktycznie się wykonują
Co może bezpiecznie poczekać, z uzasadnieniem na piśmie

Co dostajesz

Krótka, uszeregowana lista tego, co jest osiągalne i dlaczego, zamiast długiej listy tego, co istnieje.

S/04

Fuzzing kerneli i systemów

Dla kogoProducenci i zespoły platformowe, które utrzymują kod kernela, sterowników lub stosu sieciowego.

Co sprawdzamy

Ukierunkowane kampanie fuzzingu z syzkallerem i KASAN
Triage i deduplikacja crashy aż do przyczyny źródłowej
Poprawki pisane i przekazywane upstream, gdy kod jest otwarty

Co dostajesz

Przeanalizowane crashe z reprodukcjami, analizą przyczyny i, gdy to możliwe, przyjętą poprawką.

Dowód Nasze CVE w Linuksie i Apple →

S/05Jak przebiega zlecenie

01Rozmowa o zakresieTrzydzieści minut o tym, co budujesz i co Cię niepokoi. Bez przygotowań.
02Zakres i cena na piśmieCo wchodzi, co nie, harmonogram i cena, uzgodnione na piśmie przed rozpoczęciem pracy.
03TestyWszystko krytyczne zgłaszamy w dniu potwierdzenia, a nie dopiero w raporcie końcowym.
04Raport i retestUstalenia z reprodukcjami i poprawkami, a potem ponowny test po wdrożeniu zmian.

S/06Jak wygląda efekt pracy

Przykładowy raport

Poglądowy raport dla fikcyjnego systemu, zbudowany z klas błędów, o których piszemy. Pokazuje format: dotkliwość, osiągalność, reprodukcję, poprawkę i status retestu dla każdego ustalenia.

Otwórz przykładowy raport

Chmura Microsoft Sprzedajemy i wspieramy też Microsoft 365 i Azure. Obecni klienci zgłaszają sprawy licencji, tenantów i rozliczeń przez dział wsparcia. Przejdź do wsparcia →

S/07Rozpocznij współpracę