Авито перенёс MITRE ATT&CK в декорации детектива: игру за 74 дня собрал безопасник с ИИ

Раньше в Авито опирались на обязательный курс по информационной безопасности (ИБ) с проверочным тестом. Курс остаётся, но, по словам автора игры Ильи Никифорова, тест показывает лишь, знает ли человек правило. Никифоров отвечает в Авито за Security Awareness, то есть за обучение сотрудников безопасному поведению, в команде GRC (управление рисками и соответствием требованиям).

Что нового в «Кибердетективе»?

Это MITRE ATT&CK в декорациях детектива: новый формат обучения безопасности строится на расследовании, а не на лекции. Игрок управляет медоедом Споком, маскотом команды ИБ, и расследует атаки на вымышленную компанию Lumi.

• Сюжет. Первый сезон называется «Тихий найм», в нём шесть дел, каждое разбирает отдельную схему атаки. Одна серия длится около 15 минут, дела открываются по очереди, после каждого показывают разбор: на каком шаге атаку можно было остановить.
• Полигон. Это 21 тренировочное задание по времени от 10 до 15 минут: 8 по фишингу, 6 по ИИ и 7 «технарских». Уровней три: стажёр, детектив и мастер.
• 18 игровых механик. Среди них разбор журнала входов, расстановка событий по времени и закрашивание лишнего на фото офиса. Задания в духе «прочитай и выбери пункт» автор не принимал.
• Кухня. Здесь собраны головоломки без оценки и 15 памяток, которые можно скачать и распечатать.
• Ранги за процесс. Их три: «Чистая работа», «Холодная голова» и «С оговорками». Тот, кто проверил отправителя и перезвонил по верному номеру, получает ранг выше. Тот, кто открыл подозрительную ссылку или взял готовое решение, получает ранг ниже.

Если наказывать за ошибку, человек начнет просто угадывать правильный ответ, а не думать. : Илья Никифоров, Security Awareness в Авито

Схемы атак в игре взяты из реальной практики

Компания в игре вымышленная, но приёмы злоумышленников настоящие. Это подделанный голос руководителя, счёт с домена, который отличается от настоящего на одну букву, и чужой человек за незаблокированным ноутбуком. Есть и шквал запросов на подтверждение входа: многофакторная аутентификация (MFA) требует кроме пароля подтвердить вход в телефоне, и мошенник засыпает жертву такими запросами, пока та не нажмёт «да».

Для сверки автор использовал MITRE ATT&CK. Это открытая база тактик и приёмов атак, своего рода справочник преступных почерков для безопасников. Проход в офис за сотрудником без пропуска в базе отдельно не описан, поэтому дело 001 построено на классической социальной инженерии, то есть на обмане людей, а не программ.

Главная разница с оригинальной базой в том, что задания привязаны к внутренним процессам Авито. Финальное действие игрока всегда одно и то же: «сообщить по сформированному алгоритму». Задания по генеративному ИИ отрабатывают, как выдать ИИ-сервису доступ к почте только в нужном объёме и как подготовить запрос во внешнюю нейросеть без данных клиентов.

Код, тесты и проверку кода выполняли ИИ-агенты, то есть нейросети, которые сами пишут и проверяют программу по заданию. Первый коммит появился 31 июля, в нём было 1 544 строки. На проект ушло больше 100 часов после работы и в выходные. По словам Никифорова, больше всего времени заняли сценарий, характеры героев, отрисовка и правила оценки, а не код.

Я не разработчик и никогда не делал игр. : Илья Никифоров, Авито

Как попробовать, если вы не в Авито?

1. Учтите, что игра открыта сотрудникам Авито. О публичном доступе источник не сообщает.
2. Возьмите из игры шесть привычек: проверять отправителя до клика, перезванивать руководителю по номеру из корпоративного справочника, не диктовать коды, давать минимальный доступ, не отправлять в нейросети данные клиентов и при сомнениях обращаться в ИБ.
3. Разберите со своей командой одну атаку как цепочку улик, а не как отдельное письмо.

Что делать с этим прямо сейчас, по ролям

Автору Дзена. Формат «одна мелочь тянет следующую» хорошо работает в объясняющих текстах. Подайте тему как расследование, а в конце дайте разбор: на каком шаге всё можно было остановить.

Маркетологу. Здесь оценивают ход действий, а не правильный ответ. Это рабочая идея для обучающих рассылок и квизов: хвалите за проверку, а не за угадывание.

Предпринимателю в РФ и СНГ. Правило «никаких данных клиентов во внешней нейросети» касается любых сервисов. Из доступных в РФ это YandexGPT и GigaChat, в промпт к ним тоже не стоит вставлять персональные данные.

Что чаще всего спрашивают про игру?

Можно ли сыграть в «Кибердетектива» без работы в Авито?

Источник об этом не сообщает: игра выпущена для сотрудников компании.

Сколько времени нужно на прохождение?

Одно дело занимает около 15 минут, тренировочное задание на полигоне занимает от 10 до 15 минут.

Может ли человек без навыков программирования повторить такой проект?

Опыт Авито показывает, что может, если он хорошо знает свою область и готов вложить время: здесь ушло больше 100 часов. Начните с одного сценария и одной привычки, которую хотите натренировать, а код поручите ИИ-агенту.