Modelli LLM e API
Verboo, Venice AI e Drael vs NotHoly per la sicurezza
Verboo, Venice AI e Drael a confronto con NotHoly, novembre 2026: fatturazione, API, licenza, basi dei modelli e dove girano gli strumenti, con fonti.
Intermedio9 min di lettura
Il Manuale da campo di NotHoly
Sicurezza informatica, dai primi concetti agli strumenti reali. Ogni esercizio gira in un laboratorio tuo, e ogni affermazione rimanda alla sua fonte.
Argomenti
- Fondamenti di sicurezza
Cosa protegge la sicurezza, le parole che si usano e come attacchi e difese si incastrano.
4 articoli
- Reti e web
IP, DNS, HTTP e TLS: come viaggia una richiesta e dove si può leggere o modificare.
4 articoli
- Crittografia
Dal cifrario di Cesare a hash, chiavi e firme, con codice che puoi eseguire.
6 articoli
- Linux e strumenti per sviluppatori
Il terminale, Git, GitHub, Docker e Python: gli strumenti da cui parte ogni laboratorio.
5 articoli
- OSINT e recon
Trovare cosa c'è di pubblico su un target che hai il permesso di esaminare, e verificarlo.
12 articoli
- Laboratori di hacking
Ambienti di pratica legali che costruisci e rompi sulla tua macchina.
5 articoli
- Sicurezza web e API
Injection, controllo degli accessi, autenticazione e il resto della lista OWASP, testati a mano.
8 articoli
- Strumenti di sicurezza
Installare e usare gli strumenti open source del mestiere, dalle fonti ufficiali.
5 articoli
- Reverse engineering
Leggere binari che hai compilato tu, dall'esadecimale a Ghidra.
3 articoli
- Malware e analisi forense
Come gli analisti studiano il codice malevolo e cosa ricorda un sistema dopo un incidente.
3 articoli
- Rilevamento e blue team
Log, alert, regole Sigma e l'indagine che trasforma un evento in un finding.
3 articoli
- Intelligence sulle vulnerabilità
CVE, CVSS, EPSS e KEV: leggere un bollettino e decidere cosa correggere prima.
3 articoli
- Agenti di IA per la sicurezza
Agenti che usano strumenti di sicurezza, come configurarli e come controllare il loro lavoro.
9 articoli
- Modelli LLM e API
Chiamare un modello dal codice: chiavi, richieste, streaming, strumenti e costi.
15 articoli
- Sicurezza e governance dell'IA
Come rifiutano i modelli, cosa cambia l'abliteration e le regole intorno al loro uso.
4 articoli
- Carriera e metodologia
Perimetro, report, certificazioni e le abitudini di chi lo fa per mestiere.
11 articoli
Ultimi articoli
Modelli LLM e API
Piani illimitati vs pagamento a consumo per la sicurezza
I piani illimitati di solito limitano la velocità, non i token. Verboo, Venice.ai, Drael e il credito prepagato a token, confrontati su termini e fatture.
Intermedio7 min di lettura
Carriera e metodologia
Code e limiti di frequenza nel lavoro di sicurezza
Come code, limiti di frequenza e rallentamenti incidono su recon e cicli di agenti, e cosa pubblicano Verboo, Venice, Drael e NotHoly su ciascuno.
Intermedio6 min di lettura
Carriera e metodologia
Alternative a Verboo per la sicurezza offensiva, a confronto
Verboo, Venice AI, Drael e NotHoly a confronto per la sicurezza offensiva: fatturazione, licenza, dati, modelli e dove girano gli strumenti.
Intermedio8 min di lettura
Modelli LLM e API
Passare da Verboo a NotHoly: cosa cambia e cosa resta
Come spostare un flusso compatibile con OpenAI da Verboo, Venice AI o Drael a NotHoly: base URL, chiave, ID dei modelli, fatturazione, licenza e strumenti.
Intermedio6 min di lettura
Modelli LLM e API
Perché un modello abliterated conta nel lavoro offensivo
Un modello di chat generico rifiuta molte domande legittime di sicurezza. Un modello abliterated a pesi aperti risponde. Cosa dà e quali sono i limiti.
Intermedio3 min di lettura
Carriera e metodologia
Bug bounty con un copilota di IA: il loop
Un loop di bug bounty con l'IA: scegli il programma, leggi lo scope, recon, testa, verifica, segnala. Cosa abbozza il modello e cosa controlli.
Base4 min di lettura
OSINT e recon
Flusso OSINT da zero, con IA come copilota
Flusso OSINT ripetibile per un bersaglio che puoi guardare: definisci ambito, raccogli a fasi, correla e la chat di NotHoly riassume.
Base3 min di lettura
Modelli LLM e API
L'API di NotHoly entra nel tuo codice OpenAI o Anthropic
Cambia la base URL, la chiave e l'ID del modello. L'SDK OpenAI o Anthropic che già usi, e gli strumenti sopra di esso, continuano a funzionare su NotHoly.
Intermedio3 min di lettura
Carriera e metodologia
Scegliere il tuo primo programma di bug bounty
Come scegliere un primo programma di bug bounty e leggerne scope e regole, con l'IA che trasforma la policy in una checklist che poi verifichi.
Base3 min di lettura
OSINT e recon
Enumerazione sottodomini con subfinder, amass e IA
Enumera i sottodomini di un ambito tuo: subfinder, amass, findomain e chaos via anew e httpx, con la chat di NotHoly per il triage.
Base3 min di lettura
Modelli LLM e API
Perché il prepagato a token si adatta alla sicurezza
Niente abbonamento. Metti credito in USD, non scade, e paghi a token per ciò che esegui. Tetti e budget per chiave evitano che un loop svuoti il saldo.
Intermedio3 min di lettura
Strumenti di sicurezza
Il toolkit del bug bounty e la NotHoly CLI
Un toolkit di bug bounty per chi inizia, più la NotHoly CLI nel terminale con lo scope registrato così i comandi restano dentro il programma.
Base3 min di lettura
OSINT e recon
Crawling e raccolta URL: gospider, gau, qsreplace
Raccogli URL e parametri di un ambito tuo con gospider, hakrawler, waybackurls e gau, poi filtra con qsreplace e la chat di NotHoly.
Base3 min di lettura
Agenti di IA per la sicurezza
Perché automatizzare recon e test sulla API di NotHoly
Metti nella pipeline un modello che non rifiuta, con CVE, advisory e lettura di pagine pubbliche senza costo di token. I tuoi strumenti fanno l'attivo.
Intermedio3 min di lettura
Sicurezza web e API
Leggere il JavaScript con l'IA per trovare endpoint
Il JavaScript del front end elenca l'API con cui parla un'app. Usa l'IA per leggere i bundle e far emergere endpoint e parametri, che poi verifichi.
Base3 min di lettura
OSINT e recon
Certificate transparency e storia DNS nella recon
Usa crt.sh, i log CT e il DNS passivo per mappare host e infrastruttura di un ambito tuo, e lascia che la chat di NotHoly correli i record.
Intermedio3 min di lettura
Strumenti di sicurezza
Perché la CLI di NotHoly e non un assistente generico
L'agente gira sulla tua macchina con la tua approvazione, il modello accetta il lavoro di sicurezza, e un engagement controlla ogni comando.
Intermedio3 min di lettura
Sicurezza web e API
Testare i bug web comuni con l'aiuto dell'IA
Metodo per IDOR, XSS, SSRF e auth rotta con un modello di IA come lettore e secondo parere, più come verificare un finding ed evitare i falsi positivi.
Base3 min di lettura
OSINT e recon
Recon su GitHub: trovare segreti trapelati nel tuo ambito
Cerca segreti legati a un ambito tuo su GitHub e nel codice pubblico, con github-search, gitleaks e trufflehog, piu la chat di NotHoly.
Intermedio3 min di lettura
Strumenti di sicurezza
Perché l'estensione VS Code di NotHoly per la review
Review del file o del git diff nel tuo editor, con tutto il contesto. Il modello accetta la domanda di sicurezza e crea da un reperto un test o una regola.
Intermedio3 min di lettura
Sicurezza web e API
Test delle API con l'IA: OpenAPI e GraphQL
Le API si descrivono tramite le spec OpenAPI e l'introspection GraphQL. Usa l'IA per leggere lo schema e pianificare i test di autorizzazione.
Intermedio3 min di lettura
OSINT e recon
Dorking sui motori di ricerca che funziona ancora
Operatori pratici di Google e Bing per la recon di un ambito tuo: site, filetype, intitle, inurl, con la chat di NotHoly per creare set di query.
Base3 min di lettura
Reverse engineering
Perché usare NotHoly per il reverse engineering
Tieni Ghidra, radare2 o IDA. Incolla l'output del decompilatore e il modello lo spiega e scrive lo script, senza rifiutare. Triage statico per iniziare.
Intermedio3 min di lettura
Agenti di IA per la sicurezza
Costruisci il tuo hackbot, parte 1: architettura
Il progetto di un agente di bug bounty: un LLM, dei tool, memoria e guardrail, in un loop che gira sulla tua macchina sotto la tua approvazione.
Intermedio3 min di lettura
OSINT e recon
OSINT su persone e aziende, con cura
Controlli di username, email e violazioni per un ambito tuo, con sherlock, holehe e Have I Been Pwned, dentro i limiti di privacy.
Intermedio3 min di lettura
Malware e analisi forense
Perché usare NotHoly per l'analisi del malware
Triage statico in un sandbox che non esegue mai il campione, e un modello che lo spiega e lo mappa su ATT&CK. La detonazione resta nel tuo laboratorio.
Intermedio3 min di lettura
Agenti di IA per la sicurezza
Costruisci il tuo hackbot, parte 2: scrivi l'agente
Un agente di bug bounty in Python con tool calling sull'API NotHoly: propone comandi di recon, aspetta l'approvazione, legge l'output e tiene le note.
Intermedio3 min di lettura
OSINT e recon
OSINT di immagini e geolocalizzazione, le basi
Leggi i metadati delle immagini con exiftool, fai ricerca inversa e restringi un luogo dagli indizi visivi per un ambito tuo, con la chat di NotHoly.
Base3 min di lettura
Carriera e metodologia
Perché usare NotHoly per il bug bounty
Un modello che scrive la proof of concept senza rifiutare, dati di ricerca senza costo di token, e una CLI che tiene il lavoro nello scope.
Intermedio3 min di lettura
Agenti di IA per la sicurezza
Costruisci il tuo hackbot, parte 3: tool MCP e CLI
Dai al tuo agente tool condivisi via MCP, aggiungi un controllo dello scope con notholy engage ed esegui tutto dalla NotHoly CLI o dal tuo editor.
Intermedio3 min di lettura
Agenti di IA per la sicurezza
Organizzare i risultati OSINT: note, grafi, timeline
Trasforma recon sparsa in note strutturate, un grafo di entita e una timeline per un ambito tuo, e lascia che la chat di NotHoly riassuma e trovi lacune.
Intermedio3 min di lettura
Sicurezza web e API
Perché usare NotHoly per la sicurezza di web e API
Incolla la richiesta, la risposta o la spec OpenAPI. Il modello nomina il controllo mancante e scrive il test per il tuo proxy. Il proxy manda il traffico.
Intermedio3 min di lettura
Carriera e metodologia
Scrivere report di bug bounty con l'IA
Trasforma le note in un report che un triager può riprodurre, con l'IA che abbozza dalle tue evidenze e tu che verifichi ogni riga prima di inviare.
Base3 min di lettura
Agenti di IA per la sicurezza
Trasformare l'OSINT in un report pulito
Costruisci un report OSINT che regge: ambito, metodo, risultati con prova e gravita, e la chat di NotHoly per abbozzare e stringere.
Intermedio3 min di lettura
OSINT e recon
Perché usare NotHoly per l'OSINT
Un modello che ragiona su ciò che raccogli, più strumenti passivi che solo leggono: ricerca web, lettore di pagine protetto e ricerca dark web.
Intermedio3 min di lettura
Laboratori di hacking
Perché usare NotHoly per CTF e laboratori
Un modello che scrive l'exploit del tuo challenge e spiega perché funziona, triage statico del binario, e un solve che gira nel tuo lab, non nel nostro.
Intermedio3 min di lettura
Modelli LLM e API
Drael vs NotHoly: perché Drael non è per professionisti
Drael vs NotHoly, novembre 2026: operatore senza nome, un solo modello nascosto, API da US$ 70 e codice che gira sul server di Drael. Il nostro verdetto.
Intermedio8 min di lettura
Modelli LLM e API
Prezzi Drael: un mese di 28 giorni e 13 pagamenti l'anno
Prezzi Drael a novembre 2026: settimana, 4 settimane e anno, il 13° pagamento, un pass giornaliero senza prezzo pubblicato e rimborsi solo in credito.
Intermedio7 min di lettura
Modelli LLM e API
API Drael: US$ 70 per entrare, ragionamento senza tetto
Costo reale API Drael, nov. 2026: US$ 70 minimi ogni 4 settimane, ragionamento forzato fatturato come output, max_tokens scartato, 4 chiamate alla volta.
Intermedio7 min di lettura
Agenti di IA per la sicurezza
Drael esegue il tuo exploit sul suo server. È un difetto
Un'IA che esegue exploit sul proprio server mette l'IP del fornitore sul tuo target, nasconde i passaggi e tiene i tuoi file. In un pentest non regge.
Intermedio7 min di lettura
Carriera e metodologia
Perché i professionisti non portano un incarico su Drael
L'IA per il pentest professionale richiede un fornitore con un nome, rispetto del perimetro, audit trail e un DPA. Drael fallisce sulle sue stesse pagine.
Intermedio6 min di lettura
Sicurezza e governance dell'IA
Termini di Drael: né società, né legge, né foro
I termini di servizio di Drael, clausola per clausola: operatore senza nome, nessuna legge applicabile, la sua difesa la paghi tu, rimborsi in credito.
Intermedio8 min di lettura
Sicurezza e governance dell'IA
Account IA senza email: un vanto che lascia a piedi i team
Un account IA senza email sembra privacy. Per un team: nessun avviso di incidente, nessun recupero, nessun offboarding, e meno anonimato di quanto si dice.
Intermedio6 min di lettura
Modelli LLM e API
drael-v1: un modello nascosto, e i suoi bug nella doc
Che modello usa Drael? drael-v1 è un alias su pesi non dichiarati, con system prompt nascosto, ragionamento forzato e guasti annotati nella sua stessa doc.
Intermedio6 min di lettura
Carriera e metodologia
Il sito di Drael da vicino: branding hacker, poco prodotto
Abbiamo letto drael.sh pagina per pagina: 404 dove punta la doc, host segnaposto, pagine legali in due lingue su nove e claim smentiti dalla sua doc.
Intermedio7 min di lettura
Modelli LLM e API
IA uncensored per la sicurezza: Drael e Venice bocciate
Come scegliere un'IA uncensored per pentest e sicurezza offensiva: otto controlli da fare in un'ora, e dove Drael e Venice li falliscono.
Intermedio7 min di lettura
Modelli LLM e API
Venice AI vs NotHoly: prezzo, licenza, credito a scadenza
Venice AI vs NotHoly, novembre 2026: prezzi API per modello di Venice, licenza per uso personale e crediti mensili che scadono, contro NotHoly a consumo.
Intermedio6 min di lettura
Modelli LLM e API
Abliterated vs uncensored: perché serviamo abliterated
Modelli abliterated e uncensored: l'abliteration toglie il rifiuto e lascia i pesi, un fine-tune li riaddestra. La ricerca, e cosa vende Venice.
Intermedio6 min di lettura
Carriera e metodologia
Venice AI per la sicurezza: i termini dicono uso personale
Puoi usare Venice AI per pentest e lavoro per clienti? La sezione 7.1 la concede per uso personale, non commerciale, e 10.6, 10.11 e 12 peggiorano le cose.
Intermedio7 min di lettura
Fondamenti di sicurezza
La triade CIA: riservatezza, integrità e disponibilità
La triade CIA spiegata: riservatezza, integrità e disponibilità, con esempi quotidiani, verifiche con hash e firme e dieci incidenti da classificare.
Base13 min di lettura
Fondamenti di sicurezza
Cos'è una vulnerabilità? Debolezza, minaccia, rischio ed exploit
Distingui vulnerabilità, minaccia, rischio ed exploit, guarda come CWE e CVE danno un nome alle falle e capisci perché anche le falle irraggiungibili possono contare.
Base10 min di lettura
Fondamenti di sicurezza
Threat modeling con STRIDE: un primo modello di una web app
Impara i diagrammi di flusso dei dati, i trust boundary e le sei categorie STRIDE, poi modella un OWASP Juice Shop locale in Threat Dragon.
Intermedio11 min di lettura
Reti e web
TCP/IP e porte: come i servizi restano in ascolto sulla tua macchina
Una porta è un ingresso numerato della tua macchina. Come TCP e UDP usano le porte e come avviare, trovare e testare un server locale su 127.0.0.1.
Base12 min di lettura
Reti e web
Come funziona HTTP: richieste, risposte, header e codici di stato
Leggi uno scambio HTTP reale riga per riga: metodi, URL, header, classi di codici di stato e cookie, provati con curl su un server locale.
Base11 min di lettura
Reti e web
Che cos'è TLS? Come HTTPS protegge il traffico
TLS 1.3 dà a HTTPS riservatezza, integrità e autenticazione del server. Impara l'handshake, le catene di certificati e ciò che il lucchetto non dimostra.
Base12 min di lettura
Crittografia
Cifratura, codifica e hashing: che cosa fa ciascuno
Distingui codifica, cifratura e hashing con laboratori su Base64, SHA-256 e OpenSSL. Impara perché Base64 non protegge niente e perché gli hash sono unidirezionali.
Base10 min di lettura
Crittografia
Password e hashing con Argon2id
Perché gli hash veloci non vanno bene per le password, a cosa servono salt e work factor e come calcolare e verificare un hash con Argon2id in Python usando argon2-cffi.
Intermedio10 min di lettura
Crittografia
Chiavi pubbliche e private spiegate: firme che puoi verificare
Chiavi pubbliche e private da zero: cosa dimostra una firma, perché la chiave privata resta segreta e un lab con Ed25519 in cui un file modificato non passa la verifica.
Base10 min di lettura
Linux e strumenti per sviluppatori
Basi di Bash per il lavoro di sicurezza
Impara pipe, redirezioni, variabili, loop, codici di uscita e set -euo pipefail, poi usali per contare gli accessi falliti e calcolare l'hash di una cartella.
Base13 min di lettura
Linux e strumenti per sviluppatori
Permessi Linux: utenti, gruppi, chmod e umask
Proprietari e gruppi Linux, bit rwx, chmod, umask e setuid, con un lab che prova l'accesso come secondo utente e trova i permessi rischiosi sui file.
Base13 min di lettura
Linux e strumenti per sviluppatori
Chiavi SSH: come funzionano e come usarle in sicurezza
Come funzionano le chiavi host e utente di SSH, perché la scelta predefinita è Ed25519 con passphrase e come impostare un accesso con chiave e fare hardening su una VM di laboratorio tua.
Base11 min di lettura
OSINT e recon
Etica e privacy nell'OSINT: che cosa non raccogliere
Finalità, proporzionalità, consenso e minimizzazione dei dati nell'OSINT, con le basi di LGPD e GDPR e un modello di piano di ricerca di una pagina.
Base11 min di lettura
OSINT e recon
Certificate Transparency: trova ogni certificato emesso per il tuo dominio
Come i log di Certificate Transparency registrano i certificati TLS pubblici e come esaminare i risultati di crt.sh per un dominio di tua proprietà senza toccarne gli host.
Base9 min di lettura
Laboratori di hacking
Come creare una rete Docker isolata per il tuo lab
Crea una rete Docker senza accesso a internet, avvia OWASP Juice Shop al suo interno e pubblica una copia per il browser solo su 127.0.0.1. Verifica ogni passo.
Base12 min di lettura
Laboratori di hacking
Come scrivere un buon report di pentest
Dai una struttura a un report di pentest e scrivi un finding che altri possano riprodurre, con prove, impatto, un vettore CVSS v4.0 e una correzione.
Intermedio8 min di lettura
Sicurezza web e API
La OWASP Top 10 spiegata agli sviluppatori
Che cos'è la OWASP Top 10, cosa significa ogni categoria dell'edizione 2025, come difendersi e come collegare le sfide di Juice Shop alle categorie.
Base13 min di lettura
Sicurezza web e API
SQL injection spiegata con OWASP Juice Shop
Come una SQL injection cambia il significato di una query, perché le query parametrizzate la risolvono e un laboratorio sul login di Juice Shop con una demo in Python e sqlite3.
Intermedio10 min di lettura
Sicurezza web e API
Cross-site scripting (XSS) spiegato: tipi e difese
Impara in un laboratorio locale i tipi reflected, stored e DOM-based di XSS, perché l'output encoding dipende dal contesto e come CSP aggiunge difesa in profondità.
Intermedio11 min di lettura
Sicurezza web e API
Che cos'è il CSRF e come aiutano i cookie SameSite
Il cross-site request forgery usa contro di te i cookie del tuo browser. Le difese in ordine di efficacia e un laboratorio Flask per provare SameSite.
Intermedio12 min di lettura
Strumenti di sicurezza
Le basi di Nmap nel tuo laboratorio
Nmap mappa le porte aperte sulla tua macchina. Impara connect scan e SYN scan, rilevamento dei servizi e file di output, poi abbina ogni porta al suo processo.
Base13 min di lettura
Strumenti di sicurezza
Le basi di OWASP ZAP sul tuo Juice Shop locale
Esegui la scansione passiva baseline di ZAP contro Juice Shop sulla tua macchina, leggi il report e controlla a mano un alert prima di fidarti.
Base12 min di lettura
Reverse engineering
Che cos'è il reverse engineering? Usi, limiti e nozioni legali di base
Che cosa scarta la compilazione, in che cosa i disassembler differiscono dai decompilatori e quali limiti legali conoscere prima di analizzare un binario.
Base9 min di lettura
Reverse engineering
Introduzione a Ghidra con un binario innocuo compilato da te
Compila in due modi un piccolo controllo di licenza in C, poi usa Ghidra per trovarne la stringa, seguire i riferimenti e confrontare il decompilatore con il tuo sorgente.
Intermedio13 min di lettura
Malware e analisi forense
Hash dei file in ambito DFIR e l'etica del caricamento su VirusTotal
Come gli hash identificano i file, perché SHA-256 ha sostituito MD5, come NSRL filtra il software noto e perché caricare un file su VirusTotal significa condividerlo.
Base10 min di lettura
Malware e analisi forense
Scrivi una regola YARA su un file di test innocuo
Scrivi la tua prima regola YARA, falla corrispondere a un file di test innocuo e non a un altro, e capisci perché ogni regola ha bisogno di test positivi e negativi.
Base10 min di lettura
Rilevamento e blue team
Che cos'è un SIEM? Log, query e alert
Un SIEM raccoglie i log, li normalizza, applica regole di correlazione e genera alert per il triage. Segui la pipeline con un esempio che puoi eseguire.
Base14 min di lettura
Rilevamento e blue team
I log degli eventi di Windows e gli Event ID più usati da chi difende
Leggi il log Security di Windows: policy di audit, Event ID 4624, 4625, 4634, 4672, 4688 e 1102, cosa aggiunge Sysmon e un logon fallito da trovare da solo.
Base13 min di lettura
Rilevamento e blue team
Scrivere una regola Sigma: il primo rilevamento, con i test
Scrivi una regola Sigma per i logon Windows falliti, validala, convertila per Splunk e provala su eventi known-good e known-bad.
Intermedio14 min di lettura
Intelligence sulle vulnerabilità
Leggere un CVE: cosa ti dice un record CVE e cosa non ti dice
Un record CVE dà un nome alla falla e rimanda al vendor, ed è il bollettino di sicurezza del vendor a stabilire la versione con il fix.
Base12 min di lettura
Intelligence sulle vulnerabilità
CVSS spiegato: leggere e calcolare una stringa vettore
Che cosa significa un punteggio CVSS come 9.8, come sono fatte le stringhe vettore v4.0 e v3.1 e come decodificarne e ricalcolarne una a mano.
Base12 min di lettura
Intelligence sulle vulnerabilità
CISA KEV ed EPSS: dare priorità in base alle prove di sfruttamento
Ordina i CVE con il catalogo KEV di CISA e i punteggi EPSS di FIRST accanto a CVSS, poi costruisci una tabella di priorità dai due feed gratuiti.
Base12 min di lettura
Agenti di IA per la sicurezza
Agenti AI e tool use: come un modello chiama le funzioni
Come funziona il tool use: il modello restituisce una chiamata strutturata, il tuo programma host esegue il tool e le regole di approvazione decidono cosa è permesso.
Base12 min di lettura
Agenti di IA per la sicurezza
Che cos'è MCP? Il Model Context Protocol spiegato
MCP è il protocollo aperto che collega le app di IA a tool e dati. Impara ruoli, primitive, trasporti e modello di sicurezza con un lab in sandbox.
Intermedio13 min di lettura
Modelli LLM e API
Che cos'è un large language model (LLM)?
Come i large language model trasformano il testo in token e prevedono il successivo, e perché sembrano sicuri di sé anche quando sbagliano.
Base13 min di lettura
Modelli LLM e API
Cos'è un'API LLM? Richieste, messaggi, token ed errori
Come è fatta una richiesta a un'API di chat: modello, messaggi, token, streaming, chiavi API, limiti di richieste ed errori HTTP, con esempi commentati.
Base13 min di lettura
Sicurezza e governance dell'IA
La prompt injection spiegata
Con la prompt injection, il testo in input a un LLM agisce come istruzioni. Attacchi diretti e indiretti, perché non esiste un rimedio completo e le difese a strati.
Base13 min di lettura
Sicurezza e governance dell'IA
Come usare un LLM con prudenza nel lavoro di sicurezza
I quattro rischi principali degli assistenti AI nel lavoro di sicurezza, un metodo per contenerli e un laboratorio che verifica un riepilogo CVE scritto da un'AI confrontandolo con NVD e KEV.
Intermedio12 min di lettura
Carriera e metodologia
Carriere nella sicurezza informatica: quale ruolo fa per te?
Confronta otto ruoli comuni della sicurezza informatica per lavoro quotidiano, competenze di base e un primo esercizio gratuito, poi scegline due da esplorare.
Base13 min di lettura
Carriera e metodologia
Regole d'ingaggio nel bug bounty: perimetro, safe harbour e divulgazione
Leggi la policy di un bug bounty per capire perimetro, safe harbour e termini di divulgazione, poi scrivi una checklist da compilare prima di ogni test dentro il perimetro di un programma.
Base13 min di lettura
Fondamenti di sicurezza
Che cos'è la sicurezza informatica? Guida per principianti
Cosa comprende la sicurezza informatica, la triade CIA, i modi comuni in cui i sistemi cedono e un primo esercizio sicuro con gli hash sulla tua macchina.
Base5 min di lettura
Crittografia
Che cos'è la crittografia? Cifratura, chiavi, hash ed esempi quotidiani
La crittografia da zero: cifratura, chiavi, hash, firme e perché un cifrario di Cesare insegna i concetti ma non protegge nulla.
Base5 min di lettura
Crittografia
Che cos'è il cifrario di Cesare? Un esempio semplice e perché non è sicuro
Il cifrario di Cesare fa scorrere ogni lettera di un numero fisso di posizioni. Cifra HELLO in KHOOR a mano, inverti il processo e vedi perché fallisce.
Base4 min di lettura
Crittografia
Cifrario di Cesare in Python: cifrare e decifrare un testo passo per passo
Costruisci un cifrario di Cesare in Python, provalo con unittest e vedi perché questo cifrario a scorrimento non dà alcuna vera segretezza.
Base5 min di lettura
Linux e strumenti per sviluppatori
Che cos'è GitHub? Repository, branch e il tuo primo progetto
GitHub spiegato a chi comincia: che cosa fanno Git e GitHub, i termini che ti servono, una prova locale con Git e come controllare un progetto prima di eseguirlo.
Base5 min di lettura
Linux e strumenti per sviluppatori
Come creare un account GitHub e il tuo primo repository
Crea un account GitHub e un primo repository dal browser, aggiungi un README e un secondo commit, e tieni fuori i segreti.
Base4 min di lettura
Reti e web
Che cos'è il DNS? Come i nomi di dominio diventano indirizzi IP
Come il DNS trasforma i nomi in indirizzi: resolver, server autoritativi, cache e TTL, i record A, AAAA, CNAME, MX e TXT e una query sicura da provare.
Base6 min di lettura
OSINT e recon
Che cos'è l'OSINT? Open-source intelligence per principianti
Che cosa significa OSINT, come verificare le informazioni pubbliche, dove sono i limiti etici e come scrivere un breve report che mostra le prove.
Base5 min di lettura
Laboratori di hacking
Come costruire un home lab legale
Costruisci un home lab che hai il diritto di attaccare: un file di perimetro, porte Docker legate al loopback, una rete isolata, un quaderno di appunti e uno smontaggio pulito.
Base4 min di lettura
Laboratori di hacking
OWASP Juice Shop con Docker: un laboratorio locale per esercitarsi
Esegui OWASP Juice Shop in un container Docker legato alla tua macchina, verifica che risponda e fermalo in modo pulito.
Base5 min di lettura
Chiedi tutto quello che il tuo perimetro consente.
Crea un account, aggiungi crediti e fai la prima domanda in chat o nel terminale.
- 1/3
Crea l'account
Privato o azienda. Puoi passare ad azienda in seguito senza perdere saldo o chiavi.
PrivatoAzienda - 2/3
Aggiungi crediti
Con carta. Paghi a token, senza abbonamento.
$5.00ricarica minima - 3/3
Chiedi
In chat, oppure installa la CLI ed esegui notholy login nel terminale.
$ notholy login