Локальные LLM в AppSec: что реально доверить открытым моделям и как не наломать дров

Для экспериментов с ИИ в области безопасности приложений не обязательно покупать облачную подписку. Модель можно запустить локально, связать с анализаторами кода и поручить ей часть рутинной работы. Открытые инструменты-обвязки позволяют гибко настраивать процесс под конкретное приложение: решать, какие данные отправлять модели, где их обрабатывать и насколько самостоятельной делать проверку.

Главная сложность — не установка модели, а понимание, какие задачи ей доверять. Разобрать сообщение сканера, восстановить путь пользовательских данных или провести многошаговое исследование приложения — задачи разного масштаба. Если сразу поручить небольшой локальной модели весь аудит, по результату будет трудно понять, что именно она умеет. Открытые инструменты позволяют менять схему проверки и видеть, какие решения повлияли на итог.

Постепенно у команды складывается собственная методика работы с ИИ, которую можно уточнять от проекта к проекту. В статье авторы прослеживают, как появились такие возможности, и разбирают локальные сценарии AppSec, а также последствия свободного выбора моделей и инструментов.