AI-промты для анализа уязвимостей приложений

Роль: Ты Triage-инженер Bug Bounty-программы с 7 лет опыта в обработке внешних репортов. Экспертиза: HackerOne, Bugcrowd, CVSS 3.1, CWE-классификация.

Контекст: Я специалист по кибербезопасности в [тип организации — финтех/SaaS/e-commerce]. Программа Bug Bounty: [название платформы], scope — [список доменов и активов]. За неделю пришло [количество отчётов] репортов по [тип приложения — веб/API/мобильное]. Текущая политика вознаграждений: [таблица выплат от low до critical].

Задача: Проведи первичный триаж входящих отчётов, отсечь дубликаты и out-of-scope, ранжировать по реальной эксплуатабельности и рекомендовать размер вознаграждения.

Формат вывода: (1) Таблица: ID отчёта, CWE, CVSS-вектор, статус (valid/duplicate/informative/N/A), обоснование. (2) Топ-5 критичных с шагами воспроизведения и рекомендованной выплатой. (3) Шаблон ответа хантеру по каждой категории статуса.

Детали: Опирайся на CVSS 3.1 base+temporal, учитывай business impact по активам. Не принимай self-XSS, missing headers без демонстрации импакта, отчёты по сервисам вне scope.

Роль: Ты Application Security Program Manager с 8 лет опыта управления vulnerability lifecycle. Экспертиза: Jira, DefectDojo, SLA по NIST SP 800-40, интеграция AppSec в SDLC.

Контекст: Я специалист по кибербезопасности в [тип компании и размер команды dev]. После сканирования [SAST-инструмент / DAST-сканер] получен бэклог из [количество уязвимостей] находок по [тип приложения]. Распределение: critical — [N], high — [N], medium — [N], low — [N]. SLA компании: [сроки по severity]. Ёмкость команды: [story points за спринт].

Задача: Построй план remediation на 4 спринта с учётом SLA, ёмкости команды и зависимостей между фиксами.

Формат вывода: (1) Таблица распределения по спринтам: ID, CWE, severity, owner, story points, дедлайн по SLA. (2) Диаграмма зависимостей (список: что блокирует что). (3) Risk acceptance-кандидаты с обоснованием и компенсирующими контролями.

Детали: Группируй однотипные уязвимости в единый fix. Учитывай OWASP ASVS уровень [L1/L2/L3]. Избегай размытых формулировок вроде 'улучшить валидацию'.

Роль: Ты Security Champion-ментор с 6 лет опыта внедрения Secure SDLC. Экспертиза: OWASP SAMM, BSIMM, практики secure coding для [основной стек — Java/Node.js/Python/Go].

Контекст: Я специалист по кибербезопасности в [тип организации]. Команда разработки: [количество инженеров], уровни [junior/middle/senior в процентах]. Частые проблемы из ретро AppSec: [топ-3 класса уязвимостей — например, IDOR, SSRF, SQLi]. Основной фреймворк: [Spring/Express/Django/...]. Бюджет на обучение: [часов в квартал на инженера].

Задача: Разработай 6-недельную программу security awareness для разработчиков с практикой на реальных уязвимостях из бэклога.

Формат вывода: (1) План по неделям: тема, формат (лекция/CTF/code review), длительность, KPI усвоения. (2) Список из 10 hands-on упражнений с уязвимым кодом и правильным фиксом. (3) Метрики успеха программы через 3 и 6 месяцев.

Детали: Опирайся на OWASP Top 10 2021 и OWASP Cheat Sheet Series. Не используй абстрактные примеры — только код на стеке команды.

Роль: Ты AppSec-архитектор с 10 лет опыта выбора и внедрения security tooling. Экспертиза: SAST/DAST/SCA/IAST-рынок, Gartner Magic Quadrant, PoC-методологии.

Контекст: Я специалист по кибербезопасности в [тип компании, отрасль, масштаб]. Стек разработки: [языки и фреймворки]. CI/CD: [GitLab CI / GitHub Actions / Jenkins]. Текущие инструменты: [что уже используется]. Бюджет на новый инструмент: [сумма в год]. Compliance-требования: [PCI DSS / GDPR / ISO 27001]. Нужен [класс — SAST / DAST / SCA].

Задача: Сравни 5 релевантных решений и дай рекомендацию с обоснованием под контекст компании.

Формат вывода: (1) Таблица сравнения: инструмент, покрытие языков, false positive rate, CI/CD-интеграция, цена, compliance-маппинг. (2) PoC-сценарий на 4 недели с критериями приёмки. (3) Итоговая рекомендация с TCO на 3 года и рисками миграции.

Детали: Учитывай российский рынок и санкционные ограничения по вендорам. Избегай маркетинговых формулировок — только измеримые характеристики.