Локальные LLM для триажа SAST: опыт AppSec-инженера «Ростелекома»

В «Ростелекоме» SAST-поток исчисляется тысячами срабатываний, и ручной триаж перестаёт быть инженерной работой, превращаясь в конвейер. AppSec-инженер Юрий Туманов решил выполнять инференс на локальных моделях в полной цифровой изоляции от внешнего мира.

Все результаты получены на конкретном корпусе, наборе моделей и промптов; внутренний контур, названия систем, пути и значения секретов обезличены. Автор подчёркивает, что это не бенчмарк «LLM против SAST», а отчёт о том, где локальная модель реально помогает, а где честно отдаёт работу человеку.