Революция пентеста: презентация отечественной технологии Цербер

23 октября 2025 года в стенах Университета Инха в Ташкенте состоялось событие, которое может изменить глобальный ландшафт кибербезопасности. Компания C7 Cybersecurity провела закрытую презентацию технологической платформы, представляющей собой фундаментально новый подход к процессу поиска и эксплуатации уязвимостей.

Впервые в истории индустрии одновременно были представлены три взаимосвязанных решения, не имеющих аналогов в мировой практике: специализированный язык программирования для этичного хакинга, интегрированная среда разработки (IDE) для пентестинга и комплексная экосистема, охватывающая полный цикл работы специалиста по информационной безопасности.

Результатом стала первая в мире экосистема для пентеста (этичного хакинга), с помощью которой можно обнаруживать уязвимости в 10-20 раз быстрее, чем до этого.

Если вы ранее за неделю могли проверить на безопасность 1 приложение, с помощью этой экосистемы вы сможете проверить 20 приложений за тот же срок.

Это первый в мире профессиональный софт и экосистема для проведения пентестинга. Система имеет как автономный, так и ручной режим. Для тестирования, мы проверили безопасность с помощью данной экосистемы более 100 веб приложений где заранее заложена уязвимость - от простых уязвимостей (простая XXE) до продвинутых (SSRF с крайне сложным кастомным фильтром) - и по замерам получили следующую статистику:

• в полностью автономном режиме, система проникла в 91% веб приложений (получила доступ к базе данных / исполнила произвольный код на сервере) за 7 минут.
• в режиме с ассистированием от человека до 3 подсказок: проникла в 100% случаев.

Для Узбекистана это исторический момент — первый случай выхода национальной технологической компании на международную арену кибербезопасности с решением прорывного уровня, созданным полностью собственными силами.

5 лет фундаментальных исследований

В основе экосистемы Cerberus лежит технология, которая впервые делает пентестинг программируемым процессом. Компания C7 Cybersecurity инвестировала более пяти лет в исследования в области теории типов, формальных языков программирования и математических моделей безопасности.

Результатом этой работы стал новый язык программирования, специально разработанный для задач этичного хакинга. Язык построен на строгой математической основе, использующей теорию типов и теорию категорий — разделы математики, которые позволяют формализовать сложные вычислительные процессы и гарантировать их корректность на уровне системы типов.

Это критически важное отличие от существующих на рынке решений.

Не ИИ-агент. Первая экосистема для программируемого пентестинга

Экосистема Cerberus — это не очередной ИИ-агент для автоматизации. Это не сканер уязвимостей с интеграцией языковой модели. Это не типичный инструмент автоматизированного тестирования, надстроенный над существующими средствами.

Мы создали первую в мире экосистему для этичного хакинга, в основе которой лежит революционная технология: представление пентестинга в виде языка программирования.

Мы разработали такую систему типов, которая позволяет представить весь процесс поиска уязвимостей в виде формального кода. Каждое действие пентестера, каждая эксплуатационная техника, каждый сценарий атаки могут быть выражены через конструкции языка с математическими гарантиями корректности.

Пентестинг становится программируемым на уровне фундаментальных абстракций.

Это означает, что специалист по информационной безопасности получает инструмент совершенно нового класса: язык, на котором можно формально описывать логику поиска уязвимостей, создавать переиспользуемые техники, строить сложные сценарии тестирования и делиться экспертизой через код.

После создания языка и экосистемы мы обучили искусственный интеллект генерировать код на этом языке. В результате специалисты получили дополнительную возможность: систему, которой можно поставить задачу в естественной форме — провести аудит безопасности конкретного веб-приложения, API, сетевой инфраструктуры или любого другого актива — и она будет автономно генерировать и выполнять код на специализированном языке до достижения поставленной цели.

Разница между этим подходом и существующими решениями фундаментальна. Традиционные инструменты пытаются автоматизировать действия специалиста через последовательность предопределенных проверок. Cerberus дает специалисту язык для программирования самой логики безопасности, превращая пентестинг в инженерную дисциплину с формальными основаниями.

Революционная экосистема с тремя режимами работы

Cerberus представляет собой первую в мире комплексную экосистему для пентестинга, которая позволяет обнаруживать уязвимости в 10-20 раз быстрее за счет программируемости процесса. При этом специалист получает гибкость в выборе режима работы:

Самостоятельная работа — пентестер пишет код на специализированном языке, используя всю мощь формальных абстракций для описания сложной логики поиска уязвимостей.

Совместная работа с ИИ — специалист использует ИИ как ассистента, который генерирует код по описанию задачи, а пентестер контролирует процесс, корректирует стратегию и направляет анализ.

Полностью автономный режим — система самостоятельно проводит анализ без участия человека, генерируя и выполняя код до достижения поставленной цели.

Эта гибкость критически важна. В зависимости от задачи, уровня сложности целевой системы и доступных ресурсов, пентестер может выбрать оптимальный подход — от полного контроля до полной автоматизации.

Дополнительное преимущество технологии — решение проблемы галлюцинаций ИИ. Когда языковая модель генерирует произвольный текст, невозможно гарантировать корректность её действий. Когда модель генерирует строго типизированный код с формальными ограничениями, система типов выступает в роли гаранта корректности. Неверный код просто не скомпилируется. Это фундаментальное отличие от подходов, где ИИ-агент выполняет действия напрямую без промежуточного уровня формальной верификации.

Демонстрация технологии: результаты в реальном времени

На закрытом мероприятии в Университете Инха была проведена серия демонстраций возможностей платформы перед аудиторией из специалистов по информационной безопасности, представителей банковского сектора и экспертов отрасли.

Первая часть демонстрации показала работу языка программирования в ручном режиме. С помощью IDE и языка были проанализированы несколько веб-приложений из лабораторий PortSwigger — признанного стандарта для обучения и тестирования навыков пентестинга, включая лаборатории экспертного уровня сложности, которые были успешно решены за 5 минут.

Вторая часть демонстрации прошла в формате полностью автономной работы системы. На сцене в присутствии всех участников мероприятия был засечен таймер на 7 минут. Системе был передан промпт с четкой задачей: провести тестирование на проникновение веб-приложения и получить несанкционированный доступ к базе данных.

Задача была выполнена автономно без какого-либо вмешательства оператора в прямом эфире.

В прямом эфире система взломала базу данных, достала пароль администратора из базы данных, заполучила пароль администратора из базы данных и вошла в панель администратора для подтверждения осуществления несанкционированного доступа.

Система самостоятельно генерировала код на специализированном языке, анализировала результаты, корректировала стратегию и достигла поставленной цели в установленные временные рамки.

Количественные показатели эффективности

По результатам обширного внутреннего тестирования на базе лабораторий PortSwigger — платформы, которая де-факто является индустриальным стандартом для оценки навыков специалистов по безопасности веб-приложений — были получены следующие показатели:

91% лабораторий решаются системой полностью автономно, без какого-либо участия человека. Система самостоятельно определяет стратегию тестирования, находит уязвимости и проводит их эксплуатацию до получения требуемого результата.

100% лабораторий решаются с минимальным участием оператора — не более трех корректирующих подсказок или уточнений в процессе работы. Это означает, что даже в наиболее сложных сценариях система требует минимальной поддержки со стороны специалиста.

Среднее время анализа типового веб-приложения с уязвимостью составляет 4 минуты — от момента постановки задачи до получения подтверждения успешной эксплуатации. Для сравнения: ручной анализ того же приложения специалистом занимает от 30 минут до нескольких часов в зависимости от сложности и опыта пентестера.

Эти показатели не являются результатом работы на синтетических или упрощенных задачах. PortSwigger Academy содержит лаборатории, моделирующие реальные уязвимости из современных веб-приложений, включая сложные цепочки эксплуатации, требующие глубокого понимания механизмов безопасности.

Практическое тестирование участниками

В завершающей части мероприятия участникам была предоставлена возможность самостоятельно протестировать технологию. Специалисты по информационной безопасности получили доступ к демонстрационным стендам с экосистемой Cerberus и могли в интерактивном режиме оценить работу языка программирования, IDE и возможности различных режимов работы.

Эта часть презентации была критически важна: технология такого уровня требует не только демонстрации результатов, но и возможности для профессионалов отрасли лично убедиться в работоспособности и применимости решения в реальных сценариях.

Изменение экономики отрасли

Программируемость пентестинга и возможность работать в различных режимах — от полностью ручного до полностью автономного — приводит к ускорению процесса обнаружения и эксплуатации уязвимостей в 10-20 раз. Это имеет прямые экономические последствия для всей индустрии кибербезопасности:

• Стоимость проведения профессионального аудита безопасности снижается пропорционально сокращению времени работы специалистов.
• Время получения результатов тестирования сокращается с недель до дней или даже часов. - Глубина покрытия тестирования увеличивается, так как система может проанализировать значительно больший объем потенциальных векторов атак за то же время.

Это делает регулярное тестирование на проникновение доступным не только для крупных корпораций с выделенными бюджетами на безопасность, но и для средних и малых организаций, которые ранее не могли позволить себе профессиональный аудит из-за его стоимости.

Один из стратегических приоритетов C7 Cybersecurity — демократизация доступа к профессиональной кибербезопасности. Технология разработана не только для того, чтобы сделать пентестинг быстрее, но и чтобы сделать его доступнее для организаций любого масштаба.

Модель лицензирования и тарифные планы

Экосистема Cerberus будет доступна в нескольких форматах, соответствующих потребностям различных сегментов рынка:

Облачный тариф для малого бизнеса — $20/месяц

Базовый план предназначен для малых организаций и стартапов. Включает тестирование на проникновение в облачном режиме с использованием автономного режима работы. Пользователь получает возможность запускать автоматический анализ своих активов без необходимости самостоятельно писать код на языке программирования или настраивать параметры тестирования. Система работает автономно и предоставляет отчеты о найденных уязвимостях.

Лицензия пентестера — $999/год

Профессиональная лицензия для специалистов по информационной безопасности. Предоставляет полный доступ к языку программирования, IDE и всем возможностям экосистемы. Пентестер может писать собственный код, создавать кастомные сценарии тестирования, работать совместно с ИИ или использовать автономный режим, комбинировать различные подходы — использовать всю мощность платформы для решения сложных задач аудита безопасности.

Корпоративная лицензия — от $60,000/год

Решение для крупных организаций и предприятий, требующих локального развертывания (on-premise). Включает установку экосистемы в инфраструктуре заказчика, полный контроль над данными, интеграцию с существующими системами безопасности, техническую поддержку и обучение команды. Подходит для банков, государственных организаций и компаний с повышенными требованиями к конфиденциальности.

Узбекистан на международной арене кибербезопасности

Представление экосистемы Cerberus — это не только технологический прорыв, но и значимое событие для национальной IT-индустрии. Впервые узбекистанская компания выходит на глобальный рынок кибербезопасности с решением, которое создает новую категорию инструментов и не имеет прямых аналогов в мировой практике.

Технология разработана полностью отечественными силами, основана на многолетних научных исследованиях и демонстрирует, что Узбекистан способен конкурировать в наиболее технологически сложных сегментах глобального IT-рынка.

График запуска и доступ к демонстрации

Предпродажи экосистемы Cerberus официально стартуют с середины ноября 2025 года. До начала коммерческого запуска C7 Cybersecurity проводит программу бесплатных демонстраций и консультаций для заинтересованных организаций.

Специалисты по информационной безопасности, руководители IT-подразделений и представители компаний, которые хотят лично оценить возможности платформы, могут подать заявку на персонализированную демонстрацию.

В рамках демонстрации предоставляется:

• Детальное объяснение технологии и архитектуры решения
• Живая демонстрация работы системы на реальных примерах
• Консультация по применимости технологии для конкретных задач заказчика
• Обсуждение моделей внедрения и интеграции

Заявку на участие в демонстрации можно подать по ссылке: https://forms.gle/tg4z7vExhqnTBECS6

---

О компании C7 Cybersecurity

C7 Cybersecurity — узбекистанская компания, специализирующаяся на аудите информационной безопасности для банковского сектора и разработке инновационных технологических решений в области кибербезопасности. Компания более пяти лет ведет фундаментальные исследования в области формальных методов, теории типов и математических моделей безопасности, результатом которых стало создание экосистемы Cerberus — первой в мире платформы для пентестинга, основанной на специализированном языке программирования.