Drael запускает ваш exploit на своём сервере. Это изъян

Drael выполняет код, написанный его моделью, на собственном сервере и продаёт это как главную возможность. Для работы по безопасности это изъян в самой конструкции. Цель видит адрес Drael, в вашем скоупе этого адреса нет, промежуточные шаги от вас скрыты, а по условиям за результат отвечаете вы.

Данные собраны 9 и 10 ноября 2026 года с сайта Drael, из его документации по инструментам и юридических страниц, а также со страницы цен NotHoly. Аккаунт Drael мы не открывали и его sandbox не запускали: всё, что написано ниже, взято с его публичных страниц.

#Что продаёт Drael

Главная страница укладывает это в одно предложение: "It writes the scanner, the exploit, the fix nothing else will, and the sandbox behind it is real: the network is a flag on the call, not a permanent no." Смысл такой: модель пишет сканер, exploit и исправление, sandbox за ней настоящий, а сеть включается флагом в вызове. Инструмент называется run_code. Он выполняет Python или bash в контейнере на инфраструктуре Drael, внутри серверного цикла длиной до десяти ходов модели.

Свойство run_code	Значение в документации Drael
Где выполняется	Сервер Drael, один контейнер на запуск
Сеть	По умолчанию выключена, включается параметром network в вызове
Длительность	30 секунд по умолчанию, максимум 5 минут
Серверный цикл	До 10 ходов; "You never see the intermediate turns" (промежуточные ходы вам не показывают)
Файлы	"Files persist across calls in the same session" (файлы сохраняются между вызовами одной сессии)
Параллельность	"One run at a time", один запуск за раз на аккаунт

Контейнер защищает хост Drael от вашего кода. Хосту на другом конце флага network он ничем не помогает: тот получает те же пакеты с адреса, который принадлежит Drael.

#Чей IP доходит до цели

IP Drael. Его страница о приватности прямо говорит это о загрузке страниц: "A page you ask it to fetch sees a request from our server." То есть страница, которую вы попросили загрузить, видит запрос с сервера Drael. Код, который работает в его контейнере с включённой сетью, выходит наружу оттуда же.

Шаг	В Drael	В NotHoly
Прочитать публичную страницу	web_fetch, с сервера Drael, "including sites behind bot protection" (включая сайты за защитой от ботов)	read_url, только публичные страницы, через выход с защитой от SSRF
Отправить трафик на хост	run_code с включённым network, из контейнера Drael	Ни один серверный инструмент этого не делает; CLI выполняет команду на вашей машине, с вашего IP, после вашего подтверждения
Достучаться до .onion	web_fetch через Tor	Поиск выводит результаты и никогда не открывает .onion
Обработать файл	Прикрепляется к рабочему пространству на сервере, где выполняется код модели	Загруженные файлы анализируются в sandbox на gVisor и никогда не исполняются
Увидеть каждый шаг	До 10 серверных ходов, которых вы не видите	Каждая команда приходит к вам на подтверждение

Blue team заказчика работает по списку адресов-источников. Трафик с адреса вне этого списка считается инцидентом, и разбирать его будут как инцидент.

#Почему это ломает скоуп

Правила проведения работ (rules of engagement) указывают, откуда идёт тест. NIST SP 800-115, приложение B, перечисляет разрешённые и запрещённые IP в разделе 4, места, из которых разрешено тестирование, в разделе 2.3, а подписи в разделе 7. PTES требует подписанного Permission to Test и отдельного согласования, когда в работах участвуют третьи стороны.

Адреса Drael вам не принадлежат, и заявить их как свои вы не можете, а его оператор не является стороной вашего договора. Оператор не назван даже в собственных условиях, так что вписать его в документы не получится, даже если захотеть.

Такие законы, как 18 USC 1030 в США и статья 154-A Уголовного кодекса Бразилии, завязаны на наличие разрешения. Покрывает ли разрешение, в котором перечислены ваши адреса, трафик с чужих, решать вашему юристу, и задавать ему этот вопрос после того, как SOC заказчика завёл тикет, вам не захочется.

#Доказательства вам не принадлежат

В отчёте нужно указать, что было отправлено, когда, откуда и что пришло в ответ. В документации Drael сказано: "You never see the intermediate turns". Вы получаете рассказ модели о том, что она сделала. OWASP LLM Top 10 относит такие проблемы к классу LLM06, Excessive Agency: цикл выполняет сетевые действия без контрольной точки.

Данные тоже остаются на той стороне. Страница о приватности перечисляет, что хранится: "Your conversations, image prompts, the code you ran and your instructions" (переписка, промпты для изображений, запущенный вами код и ваши инструкции), а ещё "The files your code wrote, in that conversation's workspace, for up to three days after it was last used." Файлы, записанные вашим кодом, лежат до трёх дней после последнего использования, и отсчёт начинается заново при каждом обращении. NIST SP 800-115 требует документированных правил хранения и уничтожения данных теста (раздел 7.4). В Drael вывод с систем заказчика лежит на диске продавца, которого вы не можете назвать. Если вы удалите данные, копии в бэкапе, по словам той же страницы, "leave as backups are rotated", то есть уходят по мере ротации бэкапов, а расписание ротации не указано.

#Кто отвечает, когда звонит заказчик

Вы. В условиях Drael сказано, что запускать ответ или действовать по нему "is your decision and your risk" (ваше решение и ваш риск), а также: "If someone makes a claim against the operator because of how you used Drael or what you did with an answer, you take responsibility for it, including the reasonable cost of defending it." Если кто-то предъявит оператору претензию из-за того, как вы пользовались Drael, ответственность берёте на себя вы, включая разумные расходы на его защиту.

Трафик отправляет сервер Drael, а счёт по условиям достаётся вам, вместе с расходами оператора на юристов. Собственная ответственность Drael ограничена суммой платежей за три месяца. Те же условия добавляют: "Nothing Drael says is legal, medical, financial or security advice." Ничто из сказанного Drael не считается консультацией, в том числе по безопасности. Остальное есть в нашем разборе условий.

#Где должно быть выполнение

В NotHoly инференс остаётся на нашей стороне, а выполнение на вашей. Ни один серверный инструмент не сканирует системы третьих сторон, не эксплуатирует их уязвимости и не шлёт на них активный трафик. CLI выполняет команды на вашей машине, каждую с вашего подтверждения, с адреса, который уже есть в ваших правилах проведения работ, а запись остаётся в истории вашего shell и в вашем дампе пакетов.

Запускать и изолировать окружение при этом приходится вам самим, но тестировщик и так этим занимается. Ваши промпты всё равно уходят на инференс на нашей стороне: содержимое API не записывается, только метаданные, а история чата сохраняется, если вы не выбрали временный чат. Как это ложится на реальную работу, описано на страницах пентест, red team и harness.

#Кому что подходит

Серверная песочница Drael подходит одиночке, который хочет, чтобы модель сама выполняла свой код и забирала страницы без отдельной машины, и который не направляет этот трафик на чужие системы. NotHoly подходит для работы с подписанным скоупом: инференс на нашей стороне, выполнение на вашей, каждая команда уходит с вашего адреса после вашего подтверждения, а запись остаётся в истории вашей оболочки и в захвате пакетов. Плата за это в том, что своё окружение вы поднимаете и изолируете сами, а тестировщик и так этим занимается.

#Частые вопросы

#Какой IP видит цель, когда код запускает ИИ?

IP того места, где выполняется код. У Drael это сервер Drael. У CLI на вашей машине это ваш адрес.

#Можно ли использовать на пентесте ИИ, который запускает код?

Можно, если он выполняет код из места, указанного в ваших правилах проведения работ, и вы можете журналировать каждую команду. Хостинговому инструменту, который сам отправляет трафик, сначала нужно письменное согласие заказчика.

#Сколько Drael хранит файлы из run_code?

До трёх дней после последнего использования, согласно его странице о приватности, а запущенный вами код хранится вместе с историей.

#Кто отвечает, если хостинговый ИИ попал не в ту цель?

Условия Drael перекладывают претензии, связанные с вашим использованием, на вас, включая разумные расходы оператора на защиту.

#Выполняет ли NotHoly код на своих серверах?

Нет. Инфраструктура не касается целей, а загруженные файлы анализируются без исполнения.

#Вывод

Выполнение на сервере Drael выставляет вперёд как главную возможность, и из-за него же сервис нельзя использовать в работе на заказчика. Оно скрывает шаги, шлёт трафик с адреса вне вашего скоупа, хранит вывод и оставляет ответственность на вас. Мы решили такого не строить. Если у вашей работы есть подписанный скоуп, прочитайте, как в CLI устроено подтверждение команд, пополните счёт на US$ 5 на странице цен NotHoly и оставьте пакеты на собственном адресе. Пост «Почему профессионалы не ведут проекты на Drael» применяет ту же проверку к остальному продукту.