Термины с точными определениями.
Короткие определения слов, которые используются в offensive security и в теме abliterated-моделей.
Д
- Джейлбрейк
- Промпт, составленный так, чтобы модель проигнорировала своё обучение безопасности. Работает через уговоры и обычно перестаёт работать после обновления модели.
М
- Модель с открытыми весами
- Модель, обученные веса которой опубликованы, так что любой может её запускать, изучать или менять.
Н
- Направление отказа
- Одно направление в пространстве активаций языковой модели, которое, как показали исследования, определяет отказы. Если его убрать, отказы слабеют.
П
- Правило Sigma
- Универсальный формат правил детектирования на YAML, который можно конвертировать в языки запросов разных SIEM.
- Промпт-инъекция
- Инструкции, спрятанные в содержимом, которое читает модель, например в файле или веб-странице, и пытающиеся изменить поведение модели или её инструментов.
С
- Скоуп
- Системы, методы и временное окно, которые проект по тестированию или bug bounty программа разрешают вам тестировать.
- Статический анализ
- Изучение кода или бинарника без запуска: структура, строки, импорты, поток управления.
Т
- Триаж
- Сортировка отчётов или находок по валидности, критичности и приоритету перед более глубокой работой.
A
- Abliteration
- Правка весов модели, которая удаляет из её активаций направление, отвечающее за отказы, чтобы модель отвечала на запросы, от которых иначе отказалась бы.
C
- CVE
- Common Vulnerabilities and Exposures: публичный идентификатор вида CVE-2021-44228, присвоенный одной раскрытой уязвимости.
- CVSS
- Common Vulnerability Scoring System: оценка технической критичности уязвимости от 0 до 10, вычисляемая по вектору метрик.
- CWE
- Common Weakness Enumeration: каталог типов слабостей, например CWE-79 для межсайтового скриптинга, к которым относятся уязвимости.
E
- EPSS
- Exploit Prediction Scoring System от FIRST: оценка вероятности того, что CVE начнут эксплуатировать в ближайшие 30 дней.
I
- IDOR
- Insecure Direct Object Reference: ошибка контроля доступа, при которой смена идентификатора в запросе возвращает объект другого пользователя.
K
- KEV
- Каталог Known Exploited Vulnerabilities от CISA: CVE с подтверждённой эксплуатацией в реальных атаках и сроками устранения для федеральных ведомств США.
P
- PoC
- Proof of concept: минимальная демонстрация того, что уязвимость существует и даёт заявленный импакт.
R
S
- SSRF
- Server-Side Request Forgery: атакующий заставляет сервер отправлять запросы туда, куда выберет сам, часто во внутренний сервис.
X
- XSS
- Межсайтовый скриптинг: внедрение скрипта, который выполняется в браузере другого пользователя в контексте уязвимого сайта.
Спрашивайте обо всём, что позволяет ваш скоуп.
Создайте аккаунт, пополните баланс от $5 и задайте первый вопрос в чате или в терминале.
- 1/3
Создайте аккаунт
Личный или для компании. Позже можно перейти на аккаунт компании без потери баланса и ключей.
ЛичныйКомпания - 2/3
Пополните баланс
Картой, от $5. Оплата за токены, без подписки.
$5.00минимальное пополнение - 3/3
Спрашивайте
В чате, или установите CLI и выполните notholy login в терминале.
$ notholy login