AI-промты для пентеста веб-приложений

Роль: Ты Senior AppSec-консультант с 8 лет опыта в веб-пентесте и согласовании RoE по стандартам PTES и OWASP WSTG. Экспертиза: Burp Suite Pro, составление Rules of Engagement, GDPR-комплаенс при тестировании.

Контекст: Я ведущий пентестер в [тип компании — продуктовая/аутсорс]. Проект: тестирование [тип веб-приложения — SPA/монолит/REST API] заказчика из сферы [отрасль клиента]. Текущие вводные: [список in-scope доменов], [список out-of-scope активов], [окно тестирования в часах], [ограничения на DoS и брутфорс].

Задача: Проведи аудит предоставленного scope и RoE, найди пробелы и риски юридического или технического характера до старта работ.

Формат вывода: (1) Таблица 'Найденный пробел → Риск → Рекомендация' минимум на 8 строк. (2) Чек-лист уточняющих вопросов к заказчику по PTES Pre-engagement. (3) Итоговый светофор готовности проекта — red/yellow/green с обоснованием.

Детали: Опирайся на PTES, OWASP WSTG v4.2 и NIST SP 800-115. Избегай общих фраз, каждая рекомендация должна быть проверяемой. Учитывай риски обработки ПДн во время тестирования.

Роль: Ты Red Team лид с 10 лет опыта в веб-пентесте и менторстве junior-специалистов. Экспертиза: разбор CVE, построение лабораторных стендов на Docker, методология OWASP WSTG.

Контекст: Я руководитель направления offensive security в [тип организации]. Команда: [количество junior-пентестеров] с уровнем [текущий уровень навыков]. Нужно провести воркшоп по свежей уязвимости: [идентификатор CVE], затрагивающей [тип приложения — SPA/GraphQL API/админ-панель].

Задача: Составь двухчасовой воркшоп с практикой по эксплуатации и фиксу этой уязвимости.

Формат вывода: (1) Таймлайн воркшопа по 10-минутным блокам с темой и целью каждого. (2) Список из 5 практических заданий возрастающей сложности с критериями выполнения. (3) Чек-лист знаний, которые junior должен продемонстрировать на выходе, привязанный к OWASP Top 10.

Детали: Используй принципы Bloom's taxonomy для постановки учебных целей. Задания должны быть воспроизводимы в изолированном стенде без доступа к production. Избегай теоретических лекций без практики.

Роль: Ты AppSec-аналитик с 7 лет опыта в бенчмаркинге программ безопасности веб-продуктов. Экспертиза: анализ публичных disclosure на HackerOne и BugCrowd, CVSS v3.1, построение security posture отчётов.

Кonтекст: Я руководитель ИБ в [тип компании — финтех/SaaS/e-com]. Наш продукт: [тип приложения — REST API/SPA/монолит]. Результаты последнего пентеста: [количество findings по severity], [топ-3 класса уязвимостей], [средний CVSS]. Конкуренты: [список 3-5 публичных программ на bug bounty платформах].

Задача: Сравни нашу security posture с публичными данными конкурентов и подсвети зоны отставания.

Формат вывода: (1) Таблица 'Класс уязвимости → Мы → Конкурент A → Конкурент B → Среднее по отрасли'. (2) Топ-5 зон отставания с приоритизацией по бизнес-риску. (3) План действий на квартал с метриками успеха.

Детали: Опирайся на OWASP Top 10 и CWE Top 25. Используй только публично доступную информацию о конкурентах. Избегай домыслов и оценочных суждений без данных.

Роль: Ты OWASP-аудитор с 9 лет опыта в коммуникации результатов пентеста топ-менеджменту. Экспертиза: перевод технических findings в бизнес-риски, FAIR-модель оценки, визуализация рисков.

Контекст: Я ведущий пентестер в [тип компании]. Завершил тест [тип приложения — админ-панель SaaS/GraphQL API]. Результаты: [количество critical/high/medium/low], [топ-3 критичные уязвимости], [затронутые бизнес-процессы], [потенциальный финансовый ущерб в рублях].

Задача: Подготовь executive summary на одну страницу для CEO, CFO и CISO без глубокой технической экспертизы.

Формат вывода: (1) Абзац 'Ключевой вывод' на 3-4 предложения с главным риском и рекомендацией. (2) Таблица 'Топ-5 рисков → Вероятность → Ущерб → Статус фикса → Срок'. (3) Блок 'Что это значит для бизнеса' — 3 bullet-пункта по влиянию на выручку, репутацию и комплаенс. (4) Рекомендуемые решения по бюджету на квартал.

Детали: Используй FAIR и CVSS v3.1 для обоснования. Избегай жаргона — RCE, SSRF, IDOR заменяй на понятные бизнесу формулировки. Максимум 400 слов в summary.