Перейти к содержимому
Проверить домен

Слепок · закрытая бета с 25.01.2027

Береговая линия вашей компании. Как её видит атакующий.

Открытые Jupyter и Ollama, ключи LLM в бандлах и на GitHub, забытые поддомены, слабая почта. Берег находит, что AI-стартап выставил в интернет, и считает, сколько это стоит в час.

подключение
5 мин
агентов в сети
0
права
только чтение
ЛИСТ 1 · acme.ai вживую
Карта компании acme.ai: суша — ваша DNS-зона, острова — GitHub, Hugging Face и npm, высота рельефа — ₽ под риском, красный пунктир — утечки.

01 Что находим

Всё, что торчит наружу, — с адресом, ценой и фиксом

Мы ищем то, что обычно остаётся снаружи у AI-команды. Каждая находка — как карточка в штабе: что, где, почему опасно и сколько стоит в час. Ниже — данные компании acme.ai.

  • Открытая AI-инфраструктура

    ML-команда подняла Jupyter или Ollama «на минутку», и сервис остался в интернете без пароля. Находим по отпечаткам, сверяем версию с CVE и каталогом CISA KEV.

    • Jupyter
    • Ollama
    • Ray
    • Gradio
    • MLflow
    • Langflow
    • Qdrant
    • Weaviate
    • Chroma
    • vLLM
    • TGI
    • Triton
    ● ОткрытаF-01acme.ai

    Ollama без аутентификации на gpu-1.acme.ai:11434

    1 400–2 900 ₽/чПосле TXT

  • Утёкшие ключи LLM и облаков

    Ключ попал в публичный репозиторий, бандл фронтенда или Space на Hugging Face — его начнут жечь за часы. Показываем, где он лежит и сколько сожжёт за ночь. Сам ключ не храним.

    • GitHub с историей
    • gists
    • Hugging Face
    • npm / PyPI
    • JS-бандлы
    • source maps
    • YandexGPT
    • GigaChat
    • агрегаторы
    ● ОткрытаF-02acme.ai

    Ключ OpenAI в JS-бандле app.acme.ai/main.js

    37 800–108 000 ₽/чПассивно

  • Поддомены и забытые окружения

    Staging без пароля, превью-деплои, CNAME на удалённый проект — через такой поддомен атакующий публикует свою страницу на вашем адресе.

    • CT-логи
    • DNS
    • staging и превью
    • захват поддоменов
    • истечение домена
    ● ОткрытаF-06acme.ai

    docs.acme.ai → удалённый проект Vercel, поддомен можно захватить

    сценарный рискПассивно

  • Почта

    Без DMARC письмо «от директора» может отправить кто угодно. Даём готовые записи под ваш почтовый сервис и поэтапный план до p=reject.

    • SPF
    • DKIM
    • DMARC
    • MTA-STS
    ● ОткрытаF-07acme.ai

    DMARC p=none: письмо от ceo@acme.ai может отправить кто угодно

    фишингПассивно

  • Бренд и двойники

    Двойник домена с настроенной почтой — заготовка для фишинга ваших клиентов. Замечаем по регистрациям и новым сертификатам.

    • двойники домена
    • сертификаты в CT
    • пакеты-двойники SDK
    ● ОткрытаF-09acme.ai

    acme-login.ai зарегистрирован вчера, настроен MX

    фишингПассивно

  • ≈ 90 проверок в 10 группах

    Ещё — TLS и HSTS, публичные бакеты, открытые .env и .git, Swagger, админки, заголовки безопасности, security.txt. В первой версии — 28 самых важных.

    Что входит в тарифы

02 ₽ под риском в час

Риск в рублях, а не в баллах

CVSS 9.8 ничего не говорит фаундеру. «Этот ключ без лимита сожжёт до 108 000 ₽ за час» — говорит. Мы сортируем находки по деньгам, а не по цвету.

R(1 ч) = Σ Pi × LiP — вероятность эксплуатации в ближайший час · L — ущерб за час · показываем P50 и P90
  • Цифра с объяснением. По кнопке «почему эта цифра» — допущения: цены моделей, лимиты, вероятность по классу находки.
  • Первый фикс виден сразу. Лимит трат у провайдера режет ₽/ч за минуту — пока вы спокойно отзываете ключ.
  • Не почасовое — отдельно. Штрафы, утечка датасета, сорванная сделка не смешиваются с почасовой суммой.
₽ под риском / часacme.ai
97 600₽/ч · P50

P90 — до 219 300 ₽/ч

  • Ключ OpenAI в JS-бандле37 800–108 000
    app.acme.ai/main.js
  • Ключ Anthropic в истории репо48 600–81 000
    github.com/acme/ml-demo
  • Бот как бесплатный LLM7 100–21 600
    api.acme.ai/chat
  • Ray Dashboard без аутентификации2 700–5 800
    ray.acme.ai:8265
  • Чужой инференс на GPU1 400–2 900
    gpu-1.acme.ai:11434

Первый фикс: лимит трат 4 500 ₽/ч у OpenAI и Anthropic — пока ключи отзываются.

Не почасовое, считаем отдельной строкой: эмбеддинги базы знаний в открытом Qdrant, захват поддомена docs.acme.ai — фишинг и кража cookie.

03 Как это работает

От домена до карты — четверть часа

  1. 00:00

    Домен

    Введите домен компании. За 60 секунд — сводка: сколько находок и какой критичности. Без адресов и деталей — их видит только владелец.

  2. 00:05

    TXT-запись

    Добавьте одну TXT-запись у DNS-провайдера. Это не доступ, а подтверждение, что домен ваш. Открывает полный отчёт и безопасные пробы.

    _slepok-verify.acme.ai TXT "slepok-site-verification=8f3c…"

  3. 00:15

    Отчёт

    Карта береговой линии, находки по ₽ в час, что чинить первым и готовый фикс: команда, конфиг или PR. Дальше — ежедневный дифф: что появилось, что закрыто.

  4. по желанию

    Подключения — только чтение

    GitHub App без доступа к коду, траты на LLM, Cloudflare. Каждое — отдельно, с объяснением, зачем нужно каждое право. Отключается в один клик.

04 Почему безопасно

Мы не просим ключей от дома. Только адрес

Подключение через домен не даёт нам никаких прав. Всё, что глубже, — отдельные подключения только на чтение, каждое можно отозвать.

  • Без агентов

    Ничего не ставим в вашу сеть и на ноутбуки. Смотрим снаружи — так же, как атакующий, только с вашего разрешения.

  • Отзыв — удалить TXT

    Проверяем запись каждый день. Удалили — активные проверки останавливаются, детали скрываются. Подключения отзываются в один клик у нас и у провайдера.

  • Секреты не храним

    Значение найденного ключа не попадает ни в базу, ни в логи. Остаются тип, отпечаток HMAC-SHA256, последние 4 символа и место находки.

  • Детали — только владельцу

    Без подтверждения домена показываем только счётчики. Иначе сервис стал бы картой уязвимостей для любого, кто ввёл чужой домен.

Чего домен не покажет

Снаружи видно примерно 20–35 % рисков AI-стартапа. MFA сотрудников, приватные репозитории, IAM облака и траты на LLM видны только через подключения на чтение. Мы говорим об этом заранее, а не после оплаты.

Как мы работаем безопасно и законно

05 Для enterprise-опросников

Банк прислал опросник на 180 вопросов? Начните с фактов

Сделка висит, пока служба безопасности клиента ждёт ответов. Слепок собирает технические факты с датой и доказательством: TLS, DMARC, мониторинг секретов, защита веток.

  • Честное покрытие. Внешние факты закрывают 15–25 % вопросов анкет класса SOC 2 и ISO 27001, с подключениями GitHub, Workspace и облака — до 40–50 %. Остальное — ваши политики и процессы.
  • Черновик, а не «опросник за клик». Где факта нет, пишем «требует ответа компании». Ничего не выдумываем.
  • Trust-страница. Публично — только пройденные контроли с датой. Нерешённое не показываем никогда.
  • 152-ФЗ
  • ГОСТ 57580-lite
  • SOC 2-lite
  • ISO 27001
  • CAIQ v4
  • OWASP LLM Top 10

Экспорт фактов — в тарифе Startup. Генератор ответов и Trust-страница — в Growth, с 01.06.2027.

Посмотреть Trust-страницу

06 Почему это не паранойя

Так это выглядит в цифрах

Для кого мы строим Берег

  • «За вечер понять, что у нас торчит, закрыть критичное и отправить банку внятный отчёт».

    Фаундер или CTO · AI-стартап на 12 человек

  • «Узнавать о проблеме из Telegram раньше, чем из счёта, и ротировать ключ за минуту».

    Первый DevOps · команда на 35 человек

  • «Черновик ответов на опросник готов наполовину, остальное инженер закрывает за день».

    COO или аккаунт-менеджер · тот, кому прислали опросник

  • Здесь будут отзывы участников беты

    Набираем первые команды до 25.01.2027. Фразы выше — задачи наших будущих пользователей, как мы их понимаем, а не отзывы клиентов.

    Стать участником беты

07 Тарифы

Цены на сайте. Без звонка продавцу

Начните бесплатно, платите, когда Слепок впервые спасёт вам ночь или сделку. Цены предварительные: бета — с 25.01.2027, Startup — с 15.03.2027, Growth — с 01.06.2027.

  • Free

    бета с 25.01.2027

    Попробовать, разовый снимок береговой линии

    0 ₽навсегда

    Без карты и без звонка

    • 1 домен
    • До TXT — только счётчики, без деталей
    • После TXT — полный отчёт раз в 30 дней
    • Пассивный периметр: поддомены, захват поддоменов, почта, TLS, двойники домена
    • AI-экспозиция и секреты — счётчиком
    • Итоговая цифра «₽ под риском в час»
    Проверить домен
  • Рекомендуем стартапам

    Startup

    с 15.03.2027

    AI-стартап на 5–20 человек

    1 900 ₽в месяц

    19 000 ₽ при оплате за год

    • До 3 доменов, ежедневный мониторинг и дифф береговой линии
    • Открытая AI-инфраструктура: детали и безопасная проба одним GET
    • Секреты в GitHub, HF, npm/PyPI, JS-бандлах — с инструкцией или PR на ротацию
    • GitHub App без доступа к коду, траты на LLM, Cloudflare — только чтение
    • ₽ под риском по каждой находке
    • PDF для руководства и «факты для опросника»
    • Алерты в Telegram, e-mail, Slack
    Начать со Startup

  • Growth

    с 01.06.2027

    20–100 человек, есть enterprise-клиенты

    9 900 ₽в месяц

    99 000 ₽ при оплате за год

    • До 10 доменов, скан по событию: новый поддомен в CT, новый деплой
    • Облака и Google Workspace / Яндекс 360 — только чтениес 01.06.2027
    • Ежемесячный red-team своего LLM-бота — по отдельному согласиюс 01.06.2027
    • Генератор и автозаполнение security-опросниковс 01.06.2027
    • Trust-страница с NDA-доступом к документамс 01.06.2027
    • 20 пользователей, SSO: Яндекс ID / Google / OIDC
    • Приоритетная поддержка и разбор с инженером раз в месяц
    Обсудить Growth

Подробное сравнение и разовые услугиПрограмма для фондов и акселераторов

08 Вопросы

Что обычно спрашивают

Это законно — проверять мой домен?

Без TXT-записи мы используем только публичные данные: DNS, логи сертификатов, публичные GitHub и Hugging Face, а к сайту обращаемся как обычный посетитель. Активные проверки — только после TXT и согласия в условиях использования. Эксплуатация, подбор паролей и вход по найденным ключам запрещены всегда. Подробно — на странице «Безопасность».

А если мой домен введёт кто-то чужой?

Он увидит только счётчики: «2 критичных, 5 средних». Ни хостов, ни путей, ни секретов. Детальный отчёт открывается после TXT-записи или отправляется на адрес в самом домене. Для неподтверждённых доменов действуют лимиты и капча.

Вы храните найденные ключи?

Нет. Детектор работает в памяти, наружу выходит отпечаток HMAC-SHA256, последние 4 символа и место находки. Чужие ключи мы не проверяем вызовом API. Ротацию делаете вы: мы даём ссылку на консоль провайдера, инструкцию или готовый PR.

Вы видите все наши риски?

Нет, и честно об этом говорим. Снаружи видно примерно 20–35 % рисков AI-стартапа. MFA сотрудников, приватные репозитории, IAM облака и траты на LLM видны только через подключения на чтение — GitHub App, облако, биллинг. Поэтому после домена мы предлагаем 2–3 таких подключения.

Чем это отличается от поисковиков по интернету вроде Shodan или Censys?

Поисковики дают сырые данные о хостах, выводы делаете сами. Слепок привязывает находки к вашей компании, оценивает риск в рублях, предлагает фикс и следит за изменениями. Сравнение по категориям — на странице «Сравнение».

Когда можно начать и сколько это стоит?

Закрытая бета — с 25.01.2027, бесплатно. Тариф Startup (1 900 ₽/мес, GitHub и Cloudflare сразу) — с 15.03.2027, Growth (9 900 ₽/мес) — с 01.06.2027. Цены предварительные. Все тарифы — на странице «Тарифы».

Посмотрите на свой берег раньше, чем кто-то другой

Сводка — за 60 секунд. Бесплатно, без агентов и без звонков.