{"title":"Ваш security-агент слепнет через 5 минут. Cloudflare показала, что с этим делать","url":"https://verapointmedia.com/news/build-your-own-vulnerability-harness/","markdownUrl":"https://verapointmedia.com/news/build-your-own-vulnerability-harness.md","language":"ru","category":"news","publishedAt":"2026-06-19T15:11:31.000Z","updatedAt":"2026-06-19T15:11:31.000Z","references":["https://blog.cloudflare.com/build-your-own-vulnerability-harness/","https://news.google.com/rss/articles/CBMic0FVX3lxTE1pWDBMczJHSmhnRDNhYUZjdFVKTHM5M05NMUdoNWl5VE00cGJ2Y0tscHF4T3lvMWIxOGwzRHJ6SjNEQmItOFAtYktkRWJ2d2dTSWJ3bDkwN2lvUklpUHRQX2FnQjNSeDBnLTZIdkJWMUR4Mkk?oc=5"],"rights":"Public user-requested reading, summarization and citation allowed. Model training requires separate permission.","contentMarkdown":"# Ваш security-агент слепнет через 5 минут. Cloudflare показала, что с этим делать\n\n- Site: VeraPoint News\n- Section: Новости\n- Date: 2026-06-19\n- Canonical: https://verapointmedia.com/news/build-your-own-vulnerability-harness/\n- Markdown: https://verapointmedia.com/news/build-your-own-vulnerability-harness.md\n- Summary: Cloudflare объяснила, почему одиночные LLM-агенты для поиска уязвимостей — тупик, и опубликовала архитектуру харнесса, который живёт дольше любой модели.\n- Tags: #cloudflare #llm #безопасность #devsecops #архитектура #projectglasswing\n- Image: https://verapointmedia.com/static/content-assets/news/build-your-own-vulnerability-harness/cover.webp\n\n## Sources\n\n- https://blog.cloudflare.com/build-your-own-vulnerability-harness/\n- https://news.google.com/rss/articles/CBMic0FVX3lxTE1pWDBMczJHSmhnRDNhYUZjdFVKTHM5M05NMUdoNWl5VE00cGJ2Y0tscHF4T3lvMWIxOGwzRHJ6SjNEQmItOFAtYktkRWJ2d2dTSWJ3bDkwN2lvUklpUHRQX2FnQjNSeDBnLTZIdkJWMUR4Mkk?oc=5\n\n---\n\nВаш босс спросит через месяц: «Слушай, а почему мы тратим бюджет на LLM-агента для поиска багов, если он находит одно и то же и теряет контекст после пары файлов?»\n\nИ у меня для вас плохие новости — скорее всего, так и будет.\n\nCloudflare только что выкатила вторую часть разбора своего проекта Glasswing. И это не красивая презенташка про «AI-powered security», а честный инженерный пост про то, почему подход «одна модель — один агент — одно репо» для реального поиска уязвимостей не работает. Вообще. Они объяснили, как построить харнесс, который решает эту боль.\n\nЯ прочитала, покопалась в деталях и попробую пересказать человеческим языком.\n\n## Первое: почему ваш нынешний агент тупит\n\nПредставьте: вы просите LLM-агента проверить безопасность кода. Он заходит в репозиторий, видит сотни файлов, начинает читать… и примерно через 5 минут его контекстное окно забито настолько, что он забывает, с чего начал. Дальше он либо галлюцинирует, либо сваливается в ложные срабатывания — видит «уязвимость» там, где её нет. Или не видит там, где она есть.\n\nCloudflare называет это проблемой «одной гипотезы»: агент держит в голове только одну версию того, что происходит в коде. И когда контекст схлопывается — а он схлопывается всегда — вы теряете результаты.\n\nОни описали это в первой статье про Project Glasswing (та была про общие выводы). Новая статья — уже с конкретными рецептами.\n\n## В чём суть решения: это не промпт, это архитектура\n\nГлавный тезис Cloudflare: будущее не за отдельными моделями, а за харнессом — слоем-оркестратором, который управляет процессом поиска уязвимостей. Модели внутри харнесса — сменные компоненты.\n\nПочему это важно? Потому что рынок AI-моделей штормит. Сегодня у вас лучшая модель — завтра она исчезла, или вышла новая, в два раза точнее. Если вы завязаны на одну, вы в ловушке.\n\nХарнесс Cloudflare построен так, чтобы пережить любую модель. Он:\n- управляет состоянием поиска;\n- не теряет гипотезы между запусками;\n- кросс-проверяет результаты разными моделями (adversarial review — состязательная проверка, когда одна модель ищет баги, а другая критикует находки первой);\n- обходит лимиты контекстного окна, дробя задачу на сессии.\n\nЕсли упростить: вместо одного «умного» агента, который пытается объять необъятное, работает фабрика из маленьких проверок. Одна модель выдвинула гипотезу — её результат сохранился отдельно. Вторая модель перепроверила. Третья — трассирует зависимости между репозиториями.\n\n## «А почему не subagents?» — Cloudflare ответила сразу\n\nВ статье прямо разобрали возражение, которое наверняка возникнет у инженера: «Может, просто наплодить subagents, и они справятся?»\n\nОтвет Cloudflare: subagents — хороший старт, но не решение. Проблема в том, что анализ безопасности требует сотен параллельных расследований, которые:\n- живут между запусками (persistence);\n- не делят одно переполненное контекстное окно;\n- могут быть переиспользованы и перекрёстно сверены позже;\n- в идеале — отслеживают уязвимости через цепочки зависимостей между репозиториями (fleet-wide dependency tracing).\n\nТо есть «просто добавьте агентов» не работает. Это оркестрационная задача, и промптом её не закрыть.\n\n## Где здесь пахнет PR, а где — реальная инженерия\n\nCloudflare не скрывает, что это архитектурный подход, а не готовый продукт. Статья — технический гайд с объяснением управления состоянием, дедупликации и triage-цикла (триаж — это когда из тысяч сырых срабатываний вручную или автоматически отбирают те, что реально надо чинить).\n\nНо нужно держать в голове ограничения:\n- Cloudflare — крупная компания с ресурсами. Внедрить такой харнесс в маленькой команде — отдельный инженерный подвиг.\n- Сложность архитектуры растёт: чем больше моделей и этапов проверки, тем выше стоимость вычислений и поддержки.\n- Подход model-agnostic — это свобода, но и головная боль: каждая новая модель потребует калибровки.\n\nТак что «берите и делайте» — громко сказано, но направление мысли понятное.\n\n## Почему это важно прямо сейчас\n\nЕсли коротко: вы либо строите систему, которая переживёт смену моделей, либо каждый апдейт в индустрии будет для вас катастрофой.\n\nCloudflare подтверждает то, что многие инженеры уже чувствуют на практике: LLM-пайплайны без нормальной обвязки — это дорого и ненадёжно. Ложные срабатывания умножаются, контекст теряется, время уходит.\n\nХарнесс, описанный в статье — не серебряная пуля, но честная попытка решить эти проблемы на уровне архитектуры.\n\nДля технических команд это стоит изучить не как «готовый ответ», а как инженерный вызов: можете ли вы сделать свою систему безопасности model-agnostic? Если нет — какой ценой вы будете платить за каждый следующий апдейт моделей?\n\n## Материалы\n\n- [Cloudflare Blog] Build your own vulnerability harness: https://blog.cloudflare.com/build-your-own-vulnerability-harness/\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMic0FVX3lxTE1pWDBMczJHSmhnRDNhYUZjdFVKTHM5M05NMUdoNWl5VE00cGJ2Y0tscHF4T3lvMWIxOGwzRHJ6SjNEQmItOFAtYktkRWJ2d2dTSWJ3bDkwN2lvUklpUHRQX2FnQjNSeDBnLTZIdkJWMUR4Mkk?oc=5\n"}