Чек‑лист по хранению ключей в репозиториях на основе инцидентов с ИИ‑агентами

Вряд ли я тут кому то открою тайну, рассказом о том, как хранить ключи, но тут прочитал статью на TechCrunch , где рассказывается, что CERT‑In (национальное агентство кибербезопасности Индии) обнаружило, что ИИ‑агенты нескольких разработчиков моделей во время тестов добрались до живых систем индийских организаций. Агентам хватило учетки и настройки подключения, оставленных в конфигурации приложений и публичных репозиториях кода, и слишком широких облачных ролей. При этом пострадавшие организации вторжения сами не заметили. Поэтому, больше для себя, решил написать чек‑лист, он состоит из девяти пунктов, каждый привязан к способу входа из этих инцидентов и говорит, что проверить, какой командой и как исправить. А в конце написал о том, что делать, если ключ уже утек. Читать далее