У моего агента и агента моего коллеги есть общий чат в мессенджере. Они обсуждают изменения в коде, задают друг другу вопросы и договариваются, в каком порядке вливать наши PR. Периодически (если не за ноутом) я открываю переписку, чтобы узнать, над чем сейчас идёт работа.

Правило можно прочитать, а привычку — только натренировать. На этой мысли держится «Кибердетектив» — браузерная игра, в которой сотрудники Авито расследуют атаки на вымышленную компанию. Компания выдуманная, а схемы атак настоящие: подделанный голос руководителя, счёт с домена «на одну букву мимо», шквал запросов MFA, чужой человек за незаблокированным ноутбуком.

Меня зовут Илья Никифоров, в Авито я отвечаю за Security Awareness в команде GRC: обучаю сотрудников, провожу учебные фишинговые рассылки, занимаюсь безопасностью генеративного ИИ. Я не разработчик и никогда не делал игр. «Кибердетектива» я придумал и собрал сам за 74 дня: код, тесты и ревью делали ИИ-агенты, а коллега помог превратить прототип в сервис компании.

Расскажу, что получилось, на каких реальных атаках построены задания, как распределялась работа между мной и нейросетями и как всё устроено внутри — для тех, кому интересен код. И почему считаю, что сегодня человек не из разработки может сделать полезный продукт в своей области.

Для экспериментов с ИИ в AppSec необязательно покупать облачную подписку. Модель можно запустить на рабочей станции, связать с анализаторами кода и поручить ей часть исследования. Открытые инструменты-обвязки позволяют настраивать такую работу под своё приложение. Таким образом, у команды появляется выбор, какие данные передавать модели, где их обрабатывать и насколько самостоятельной делать проверку.

Впрочем, установить модель заметно проще, чем понять, какую работу ей стоит доверить и как её организовать. Разобрать сообщение сканера, восстановить путь пользовательских данных или провести многошаговое исследование приложения – это всё задачи разного масштаба. Если сразу поручить небольшой локальной модели весь аудит, то по результату такого эксперимента будет трудно судить, какие отдельные задачи она способна решать.

Поиск подходящих задач связан и с организацией проверки. Открытые инструменты позволяют менять её под своё приложение и понимать, какие решения повлияли на результат. Постепенно у команды складывается собственная методика работы с ИИ, которую можно уточнять и применять в следующих проектах.

В этой статье мы сначала проследим, как появились эти возможности, а затем рассмотрим локальные сценарии AppSec и последствия свободного выбора моделей и инструментов.

Наша команда маркетинга активно использует «ИИ-оркестр» для генерации текстового и графического контента на сайте. При этом мы стараемся выдержать баланс рукописного и сгенерированного контента, чтобы транслировать для пользователей только качественный материал. Рассказываем, как нам удалось повысить эффективность и сократить расходы в канале органического трафика на 6,5 млн рублей за полгода.

Один и тот же заголовок помещался в HTML, а в PowerPoint переносился на другую строку. Я рассчитывал, что для генератора презентаций хватит размеров текстового блока и метрик шрифта. Пришлось измерять поведение самого PowerPoint: как он округляет ширину символов, рисует глифы и выбирает место переноса.

Это оказалось одной из самых сложных частей SlideCraft — инструмента, который я сделал для подготовки управленческих презентаций с помощью ИИ. Пользователь описывает задачу агенту, согласует структуру и получает редактируемый .pptx. За этим стоят правила построения аргумента, макеты с ограничениями на текст и проверки результата.

Представьте угольный разрез, по которому ездят более 200 самосвалов. Распределяют их работу диспетчеры по рации. Но человеку очень сложно обработать такое количество информации и не упустить, чтобы все было вовремя: заправка, пересменки и т.д. Как говорит статистика, за смену набегает более 10 000 отклонений от нормы – нереальное число, чтобы человек успел на все отреагировать.

Отсюда и возникла идея у инженеров «Операционного совершенства» (OES): над действующей системой мониторинга создать надстройку из ИИ-модулей, которая балансирует самосвалы и ловит потери и простои в реальном времени.

Каждый таксист знает, как управлять страной а заодно и «Роснефтью»: кого снять в правлении и что делать с ценой на нефть, он объяснит за одну поездку от аэропорта до центра. Проверить эти знания на деле ему было негде. Теперь и государство, и крупную корпорацию можно собрать из ИИ‑агентов, и мы это сделали! Нет, не перешли работать в такси, а собрали Корпорацию Всевластия. А я таки сел за руль:-)