Сайт Drael вблизи: хакерский брендинг и тонкий продукт

Drael продвигает себя хакерской лексикой: exploit, dark web, "the OSINT nobody else will run" (OSINT, за который больше никто не возьмётся). Мы прочитали сайт и документацию страницу за страницей. Мы обнаружили продукт с отсутствующими страницами, текстом-заглушкой, заявлениями, которым противоречит его же документация, и почти без всего, о чём спросил бы специалист по безопасности. По нашему мнению, это костюм.

Данные собраны 9 и 10 ноября 2026 года с сайта Drael, из его документации по инструментам, условий и llms.txt, а также со страницы цен NotHoly. Каждый дефект ниже проверяется открытием указанного адреса. В аккаунт мы не входили, поэтому приложение за логином здесь не рассматривается.

#Что говорит текст сайта

Заголовок: "Nothing It Won't Answer", нет ничего, на что он не ответит. Слоган: "Chat, code it writes and runs, images with nothing blurred, and the OSINT nobody else will run." Чат, код, который модель пишет и запускает, изображения без размытия и тот самый OSINT. Раздел о коде обещает "the scanner, the exploit, the fix nothing else will", а раздел о поиске охватывает "the clear web and Tor hidden services alike", то есть и обычный веб, и скрытые сервисы Tor. Три цифры под первым экраном: ноль ответов с отказом, день как самый дешёвый план и никаких персональных данных.

На странице нигде не упомянуты скоуп, заказчик, отчёт, методология или команда. Как мы это читаем, слова взяты из offensive security, а предложение обращено к тому, кто хочет почувствовать, что ограничений нет.

#Как сайт выглядит вблизи

Что мы нашли	Где
Страницы с ценами нет. Ссылка в меню ведёт на якорь, а условия отправляют на "the plan page"	drael.sh/pricing отдаёт 404
Самый дешёвый план, дневной пропуск, трижды разрекламирован без цены	Главная страница; в эндпоинте планов его нет
Публичная ссылка "Help" перенаправляет на вход	drael.sh/help
Канала для сообщений об уязвимостях нет	/.well-known/security.txt отдаёт 404
Примеры кода обращаются к https://YOUR-HOST/v1 у хостингового сервиса	Quickstart и документация по изображениям
Главная на девяти языках, юридические страницы на двух, документация на одном	Sitemap; /es/legal/terms отдаёт 404
Страница 404 показывает португальское меню вокруг английского сообщения	Любая отсутствующая страница, португальский интерфейс
Английская документация с десятичными запятыми и точками в тысячах: "0,16", "13.218 tokens"	Документация по лимитам и инструментам
Документация ссылается на внутренние исходные файлы	"ledger/domain/published_test.go" на странице лимитов
Страница статуса без истории инцидентов, только счётчик "since the server last started" (с последнего запуска сервера)	drael.sh/status

На португальской главной есть фразы, которые читаются как дословный перевод английских идиом. "Nada fora da mesa" стоит на месте "Nothing off the table". "Nossas, e alcançam a rede" стоит на месте "Ours, and they reach the net". Носитель португальского не написал бы ни того ни другого.

Там, где клиент ждёт описания продукта, документация пересказывает собственную историю: "That split did not earn its complexity and was removed" (разделение не оправдало своей сложности, и его убрали), "There was, and it was removed" (было, и убрали), "What rations the scarce KV is the tier itself". В robots.txt лежат заметки, ни к кому конкретно не обращённые ("AI crawlers, stated honestly rather than performatively", то есть про ИИ-краулеров сказано честно, без показухи), и файл противоречит сам себе: в одном блоке он закрывает GPTBot и ClaudeBot, а в другом открывает им /docs. Португальский экран входа принимает код "do Drael antigo", то есть от старого Drael, а страница инструментов упоминает "the previous product", предыдущий продукт.

Как делали этот сайт, мы знать не можем. Нам эти дефекты подсказывают, что текст и страницы сгенерировали быстро и опубликовали, а от начала до конца их никто не прочитал.

#Где сайт и документация расходятся

Сайт говорит	Документация говорит
Цифра на первом экране: ноль ответов с отказом	provider_refused: "The image model refused this prompt" (модель изображений отклонила этот промпт)
"the OSINT nobody else will run"	"they are not what the product leads with" (продукт выставляет вперёд не их)
"There is no AI vendor in the path" (на пути нет ИИ-вендора)	"generate_image is cash at a provider per attempt" (каждая попытка оплачивается провайдеру)
"nothing you ask goes to a third party's API" (ничто не уходит в API третьей стороны)	Поиск по утечкам "sends the identifier you asked about to the lookup service" (отправляет идентификатор сервису поиска)
"Priced by the month" (цена за месяц)	Месяц длится четыре недели
"the exploit, the fix"	"Nothing Drael says is legal, medical, financial or security advice" (ничто из сказанного не является советом, в том числе по безопасности)

Возможно, для каждой строки найдётся объяснение. Только покупатель не обязан сам примирять лендинг с его же справочником ошибок.

#Поиск по утечкам как юридическая проблема

Вся OSINT-функция сводится к одному инструменту, breach_lookup: "An email, a username, a phone, a domain, a password. It says where an identifier has already leaked." Email, имя пользователя, телефон, домен или пароль, и инструмент сообщает, где идентификатор уже утёк. Это чужие персональные данные. По LGPD и GDPR для такого поиска нужно законное основание, а на работе для заказчика он должен быть в скоупе.

Страницы Drael не дают ни основания, ни договора. Идентификатор уходит "to the lookup service and the databases it consults", сервису поиска и базам, к которым тот обращается, и страница о приватности их не называет. Условия запрещают использовать Drael, чтобы "stalk, threaten or expose a private person" (преследовать частное лицо, угрожать ему или раскрывать сведения о нём), а оценку и ответственность оставляют вам. Про возмещение убытков рассказывает наш разбор условий.

#Как эта работа выглядит по договору

Настоящий OSINT на проекте начинается с письменного скоупа, как описывают PTES и NIST SP 800-115, и заканчивается отчётом, где у каждого пункта есть источник, время и ответственный. По данным релиза IBM Cost of a Data Breach 2026, средняя утечка обходится в US$ 4,99 миллиона, а Netskope насчитывает 223 нарушения политик данных в GenAI на организацию в месяц. Заказчики читают эти отчёты и спрашивают, куда ушли их данные.

Поиск по dark web в NotHoly выводит результаты и никогда не открывает .onion. read_url читает только публичные страницы. На наших серверах ничто не сканирует цель и не шлёт ей запросов. Это скучнее страницы Drael, и именно поэтому инструмент можно вписать в техническое задание.

#Кому что подходит

Сайт Drael продаёт ощущение работы без ограничений, и он подходит тому, кому нужны это ощущение и uncensored-чатбот с генерацией изображений. NotHoly построен для оплачиваемой работы по безопасности: скоуп, который трафик соблюдает, модель с базой, на которую можно сослаться, поиск по даркнету, который только выводит список результатов, и read_url, который читает публичные страницы. Это звучит скучнее, чем "the OSINT nobody else will run", зато это можно вписать в техническое задание.

#Частые вопросы

#Законен ли OSINT с помощью ИИ?

Зависит от данных и от вашего основания для их обработки. С публичными страницами ситуация одна, а утёкшие учётные данные конкретных людей относятся к персональным данным, и вам нужны законное основание и, как правило, скоуп.

#Что такое поиск по утечкам и кто видит запрос?

Поиск идентификатора по утёкшим базам. В Drael идентификатор отправляется сервису поиска и базам, которые страница о приватности не называет.

#Является ли Drael инструментом безопасности?

Лексикой он пользуется. Мы не нашли ни контроля скоупа, ни журнала аудита, ни командных функций, ни канала для сообщений об уязвимостях.

#Что делает ИИ-инструмент пригодным для red team?

Выполнение с ваших собственных адресов, модель, которую можно назвать, логи, которые остаются у вас, и вендор в договоре. Смотрите страницу red team.

#Занимается ли NotHoly OSINT?

Он помогает с методологией, триажем и отчётами, читает публичные страницы и выводит результаты поиска по dark web. Поиск по утечкам он не выполняет и целей не касается.

#Вывод

Сайт Drael продаёт ощущение, что вы хакер, а выдаёт чатбот с генерацией изображений, собранный на страницах, которые ссылаются на несуществующие адреса. Мы не думаем, что его делали для людей, которые зарабатывают этим на жизнь, и ничто из прочитанного не говорит о том, что они его тестировали. Чек-лист есть в посте о том, почему профессионалы не ведут проекты на Drael, а цены NotHoly начинаются с US$ 5.