Praktyczne artykuły o testach penetracyjnych, audytach bezpieczeństwa i ochronie firm przed atakami - pisane przez zespół, który to robi na co dzień.
16 października 2026 · 8 min czytania
MyDr, Ursynów, Bonifratrzy, Eskulap. Którędy weszli napastnicy, co łączy tegoroczne ataki na ochronę zdrowia i jaką ofertę z bezpłatnym skanem przygotowaliśmy z Fundacją Profilaktyka Pro.
12 października 2026 · 9 min czytania
Dobrze przygotowana wiadomość nie wygląda podejrzanie. Co powinno być w programie szkolenia, dlaczego liczba zgłoszeń mówi więcej niż liczba kliknięć i czego samo szkolenie nie załatwi.
6 października 2026 · 10 min czytania
Jedyny styl API z własnym podrozdziałem w OWASP WSTG. Schemat zamiast listy adresów, autoryzacja przy każdym polu, koszt zapytania rosnący wykładniczo i sto prób logowania w jednym żądaniu HTTP.
3 października 2026 · 9 min czytania
REST nie ma własnego rozdziału w OWASP WSTG i nie jest to przeoczenie. Sześć kroków testu: inwentaryzacja punktów końcowych, metody HTTP, cykl życia tokenu, autoryzacja z dwóch kont, typy w JSON i logika biznesowa.
1 października 2026 · 9 min czytania
API nie ma interfejsu, za którym schowa się błąd autoryzacji. Dlaczego BOLA jest na pierwszym miejscu listy, czym testy API różnią się od testów aplikacji webowej i co sprawdzamy inaczej w GraphQL.
1 października 2026 · 6 min czytania
Denial of Wallet jako ryzyko biznesowe specyficzne dla modeli rozliczanych per token, ekstrakcja modelu przez masowe zapytania i dlaczego ten wpis domyka całą serię OWASP LLM Top 10:2025.
1 października 2026 · 7 min czytania
Zmyślony precedens w piśmie procesowym, zmyślona nazwa pakietu w kodzie produkcyjnym. Dlaczego halucynacja to problem bezpieczeństwa, nie jakości, i dlaczego RAG ogranicza ryzyko, ale go nie eliminuje.
1 października 2026 · 7 min czytania
Model pobrany z publicznego huba to binarna czarna skrzynka. Podatne adaptery LoRA, usługi do łączenia modeli, przestarzałe zależności i realne incydenty - PoisonGPT, Shadow Ray, fałszywe wersje WizardLM.
1 października 2026 · 8 min czytania
Model potrafi odtworzyć fragmenty danych, na których był trenowany lub dostrajany. Regurgitacja, membership inference i dlaczego sanityzacja danych wejściowych i filtr odpowiedzi to dwie osobne warstwy, nie jedna.
1 października 2026 · 9 min czytania
Pozycja numer jeden na liście OWASP, bo to brama do reszty kategorii. Bezpośrednie wstrzyknięcie od użytkownika, pośrednie ukryte w stronie, mailu albo dokumencie - i dlaczego żaden filtr wejścia nie rozwiąże tego do końca.
29 września 2026 · 8 min czytania
Prompt systemowy da się wyciągnąć, bo model nie rozróżnia instrukcji od rozmowy. Groźne jest nie to, że ktoś go przeczyta - groźne jest to, co prompt zdradza o systemie za modelem: klucze API, limity transakcji, reguły filtrowania.
22 września 2026 · 9 min czytania
Uprawnienia, które gubią się przy indeksowaniu, wycieki między klientami, usunięte dokumenty w indeksie i dlaczego embedding to nie anonimizacja.
21 września 2026 · 8 min czytania
Tekst z modelu trafia do przeglądarki, bazy albo powłoki bez kodowania. Sześć miejsc docelowych, wyciek danych przez obrazek w Markdownie i dlaczego walidacja wejścia tu nie pomaga.
21 września 2026 · 9 min czytania
Agent z za szerokimi narzędziami, uprawnieniami i swobodą. Trzy źródła problemu z listy OWASP, zabójcze trio i to, jak sprawdzić, co zmanipulowany agent realnie może zepsuć.
20 września 2026 · 9 min czytania
Atak nie na aplikację, tylko na materiał, z którego system się uczy albo który cytuje. Cztery momenty, w których wchodzi trucizna, backdoor z wyzwalaczem i to, co realnie da się sprawdzić w firmie.
31 sierpnia 2026 · 10 min czytania
Dwie nowe kategorie, SSRF wchłonięty przez kontrolę dostępu, błędna konfiguracja na drugim miejscu. Przegląd wszystkich dziesięciu kategorii z przykładami i tego, czego lista nie obejmuje.
28 sierpnia 2026 · 7 min czytania
Praktyczna lista rzeczy do ustalenia przed pentestem: zakres, konta testowe, kwestie formalne, wyjątki na WAF i komunikacja z zespołem testującym.
18 sierpnia 2026 · 9 min czytania
Kogo obejmuje dyrektywa NIS2, jakie progi wielkości decydują o kwalifikacji, jakie obowiązki nakłada i dlaczego dotknie także firm, które formalnie jej nie podlegają.
16 sierpnia 2026 · 8 min czytania
Dlaczego nikt nie podaje cennika pentestów, co realnie wpływa na wycenę i jak porównywać oferty, żeby nie kupić skanu automatycznego w cenie testu manualnego.
15 sierpnia 2026 · 10 min czytania
Czym różni się pentest aplikacji z modelem językowym od klasycznego testu webowego, na czym polega wstrzykiwanie promptu i dlaczego najgroźniejsze błędy leżą poza samym modelem.
14 sierpnia 2026 · 8 min czytania
Pentest sprawdza, czy da się włamać. Audyt sprawdza, czy jesteś zorganizowany zgodnie ze sztuką. Rozkładamy obie usługi na czynniki pierwsze i pokazujemy, która ma sens w jakiej sytuacji.