Почему профессионалы не ведут проекты на Drael

Проекту у заказчика нужны вендор, которого можно назвать, трафик с адресов из скоупа, запись, которую может проверить кто-то другой, и ясный ответ о данных заказчика. Drael проваливает все четыре пункта на собственных публичных страницах. Как мы читаем его сайт, он построен и продаётся как потребительский чатбот для тех, кому не нужны лишние вопросы, и системы заказчика мы бы к нему близко не подпустили.

Данные собраны 9 и 10 ноября 2026 года с сайта Drael, из его документации и условий, а также со страницы цен NotHoly. Аккаунт Drael мы не открывали, так что это разбор того, что Drael публикует.

#Проверка вендора, которую Drael не прошёл бы

Любой заказчик с процедурой закупок присылает опросник раньше, чем инструмент коснётся его данных. Ниже обычные первые вопросы и ответы на них по публичным страницам Drael.

Вопрос	Drael	NotHoly
Кто сторона договора?	"the operator" (оператор), без компании, регистрации и адреса	Назван в условиях по CNPJ, с применимым правом и подсудностью
Откуда идёт трафик теста?	С сервера Drael, для run_code, web_fetch и breach_lookup	С вашей машины, через CLI, после вашего подтверждения
Можно ли увидеть, что сделал инструмент?	"You never see the intermediate turns" (промежуточных ходов вы не видите)	Каждую команду вам показывают до запуска
Организации, роли, журнал аудита?	В публичной документации нет	В консоли, вместе с ключами с лимитами и рабочими пространствами
DPA и названные субобработчики?	В публичной документации нет	Опубликованного DPA нет
Сертификация по безопасности?	Не заявлена	Нет ни SOC 2, ни ISO 27001
Куда сообщать об уязвимости?	security.txt отдаёт 404	Опубликованы security.txt и страница безопасности
Как связаться с поддержкой?	Почтовый ящик и сервер в Discord; ссылка Help требует входа	Страница контактов, email в аккаунте

NotHoly тоже проходит не каждую строку: у нас нет опубликованного DPA и нет сертификации, и страница доверия об этом говорит. Разница в том, что есть компания, которой можно отправить опросник.

#Правилам проведения работ нужны имена и адреса

NIST SP 800-115 помещает разрешённые IP-адреса источников и места тестирования в правила проведения работ, которые подписывают руководство и руководитель теста. Глоссарий NIST определяет термин так же, а PTES требует отдельного согласования, когда в работах участвует третья сторона.

Инструменты Drael шлют трафик с сервера Drael. Его страница о приватности говорит: "A page you ask it to fetch sees a request from our server." Страница, которую вы просите загрузить, видит запрос с их сервера. Внести эти адреса в скоуп нельзя, потому что их списка в документации мы не нашли, и вписать оператора в соглашение тоже нельзя, потому что условия не говорят, кто он. Последствия разбирает наш пост о выполнении на сервере.

#Данные заказчика без договора, который их покрывает

По статье 28 GDPR обработчик работает по письменному договору. В LGPD статья 39 обязывает обработчика (operador) следовать инструкциям контролёра, а статья 42 делает их солидарно ответственными. Ни DPA, ни соглашения об обработке, ни названного субобработчика на публичных страницах Drael мы не нашли.

Зато нашли страницу о приватности, которая говорит "nothing you ask goes to a third party's API" (ничто из ваших запросов не уходит в API третьей стороны), а несколькими строками ниже сообщает, что поиск по утечкам "sends the identifier you asked about to the lookup service and the databases it consults", то есть отправляет запрошенный идентификатор сервису поиска и базам, к которым тот обращается. Документация по инструментам говорит, что генерация изображений "is cash at a provider per attempt" (за каждую попытку провайдеру платят деньгами). Какие третьи стороны что получают, страницы Drael заставляют спросить и ответа не дают. По этой причине OWASP LLM Top 10 относит "Unclear T&Cs and data privacy policies of the model operators" к LLM03.

IBM Cost of a Data Breach Report 2025 обнаружил shadow AI в 20% изученных организаций; он добавлял к стоимости утечки до US$ 670 000, а у 63% не было управления ИИ. Консультант, который вставляет данные заказчика в аккаунт без email, без компании и без договора, и есть эта статистика.

#Аккаунт, которым никто не может управлять

Аккаунт Drael состоит из имени, пароля и кода. Email нет, значит, нет и адреса для уведомления об инциденте. Организации нет, значит, ушедший подрядчик сохраняет аккаунт и всё, что в нём лежит. Любой план допускает четыре ответа одновременно, а на случай, когда нужно больше, документация советует "separate accounts", отдельные аккаунты.

Документация описывает и сервис, от которого зависела бы команда: "Everybody being served at once shares one machine" (все, кого обслуживают одновременно, делят одну машину), а страница статуса показывает счётчик запросов "since the server last started", с последнего запуска сервера, без истории инцидентов. По нашему мнению, это развёртывание любительского масштаба, и Drael не публикует SLA, который бы это опроверг.

#Для кого сделан продукт

Заголовок главной страницы: "Nothing It Won't Answer" (нет ничего, на что он не ответит). Три цифры первого экрана: ноль ответов с отказом, день как самый дешёвый план и никаких персональных данных. Страница обещает изображения, в которых "nothing blurred" (ничего не размыто), и "the OSINT nobody else will run", OSINT, за который больше никто не возьмётся. Скоуп, заказчик, отчёт или команда на странице не упомянуты нигде.

Мы читаем это как обращение к частному лицу, которому нужен ИИ без лишних вопросов, и продукт ему соответствует: анонимная регистрация, дневной пропуск, генерация изображений, Discord в качестве поддержки. Мы не думаем, что его строили для профессиональной работы, и страницы, где Drael утверждал бы обратное, найти не смогли. Текст и сборку сайта рассматривает пост о сайте Drael.

#Кому что подходит

Drael подходит для хобби: личный аккаунт, дневной пропуск, генерация изображений и Discord, без заказчика и без скоупа. NotHoly подходит для проекта, за который кто-то платит: компания в договоре, команды, которые выполняются с вашего адреса, модель, которую можно назвать, и аккаунт, которым может управлять команда. Опубликованного DPA и сертификации у NotHoly нет, так что заказчику, который их требует, стоит сначала спросить через страницу enterprise.

#Частые вопросы

#Какой ИИ лучше всего подходит для профессионального пентеста?

Тот, что выполняет команды с ваших адресов, называет свою модель так, что её можно процитировать, и называет себя в договоре. NotHoly построен вокруг этого; смотрите страницу пентест.

#Может ли компания пользоваться Drael?

Купить план ей ничто не мешает. Покупать она будет у неназванного продавца, без командных функций, без DPA и с обязательством возмещать убытки в пользу продавца.

#Что должно быть в договоре на инструмент для пентеста?

Названный контрагент, применимое право, условия обращения с данными и ясное указание, где инструмент выполняет код и что он хранит.

#Есть ли у NotHoly DPA?

Опубликованного нет. Если ваш заказчик его требует, спросите через страницу enterprise.

#Законно ли использовать uncensored ИИ на проекте у заказчика?

Юридический вопрос редко упирается в модель. Он упирается в разрешение, скоуп и обращение с данными, а они зависят от того, где работает инструмент и кто им управляет.

#Вывод

Drael нельзя назвать в договоре, внести в скоуп или проверить задним числом, а его условия возвращают вам любую претензию третьих лиц. Для хобби это может быть неважно. Для работы, за аккуратность которой вам платят, инструмент отпадает. NotHoly выполняет команды на вашей машине и ставит в договор компанию; пополните счёт на US$ 5 на странице цен NotHoly и прочитайте полное сравнение.