AppSecFest2026
Где разработка, DevSecOps и безопасность сходятся в реальных кейсах, практиках и атаках изнутри
Чем запомнился 2026
Обсуждаем реальные уязвимости и показываем атаки в живом режиме.
Посмотри на свою инфраструктуру глазами атакующего.
Внедрение безопасности в CI/CD и защита AI-моделей.
Место встречи разработчиков, безопасников и CTO.
13 спикеров
Как проходил день
-
9:00–10:00Регистрация и приветственный кофе-брейк
-
10:00–10:03Приветственное словоСъездбек Темирбеков, CEO в AST Cyber Lab
-
10:03–10:05Выступление генерального партнёра DerScannerАйдана Дербекова, AppSec Triage & CodeFix Engineer в DerScanner
-
10:05–10:30От VibeCoding к Enterprise-level Specification-Driven Development: учёт, контроль и управлениеАлександр Тютин, DevSecOps в Semrush (Adobe)
Подробнее
AI-assisted и Specification-Driven Development плотно вошли в нашу жизнь, вокруг этого выросли сотни и тысячи компаний. Как сделать это масштабируемым и управляемым? Спикер поделится опытом запуска продукта, рассматривая процесс разработки и управления через призму ISO IEC 42001:2023 и других фреймворков, уделяя особое внимание принципам Responsible AI.
-
10:30–10:55Bugbounty: Hack. Earn. Repeat — наш опыт создания независимой площадки для багхантеров от багхантеровДаурен Базарбеков и Олег Юрченко, RTEAM
-
10:55–11:25Кофе-брейк
-
11:25–11:55The DevSecOps Backbone: Centralizing Security Workflows in HashiCorp VaultАдам Брезнен, IBM
Подробнее
Сессия о том, как HashiCorp Vault выходит за рамки обычного хранилища ключей и становится полноценной платформой управления жизненным циклом безопасности: динамические учётные данные, автоматизированное управление сертификатами и централизованное шифрование данных.
-
11:55–12:25The Post-Cookie WebСергей Белов, Freedom Holding Corp.
Подробнее
Device-bound sessions, FedCM, WebAuthn L3, and the new browser primitives hardening the session layer.
-
12:25–12:55Prompt-to-Prod: как бы не навайбкодить уязвимостей?Светлана Газизова
Подробнее
Обсудим, как ИИ изменил скорость доставки кода и почему классические аппсек-подходы не успевают за нейронками. Рассмотрим феномен «галлюцинаций безопасности»: когда ИИ предлагает рабочее, но дырявое решение (устаревшие либы, SQL-инъекции, небезопасные архитектуры). Посмотрим, как промптить безопасно, и составим список полезных лайфхаков и безопасных запросов для каждого разработчика.
-
12:55–14:00Обед и активности!
-
14:00–14:35What Open Source Malware Does Today?Кэмерон Таунсенд, Principal Architect в Sonatype
Подробнее
Актуальные наблюдения о развитии open source malware и о том, почему защита цепочек поставки ПО становится критически важной для современных команд разработки и безопасности.
-
14:35–15:10Running an International Bug Bounty: lessons from our first year in productionКарина Абакова, Head of Product Security в Beeline Kazakhstan
Подробнее
Запуск bug bounty — это не только про платформу, но и про готовность процессов, команд и инфраструктуры к реальным атакам. Как мы запускали международную программу, с какими проблемами столкнулись и что изменили по ходу первого года: практические выводы, метрики и показательные кейсы.
-
15:10–15:45Канарейка в шахте продакшенаАрнур Нуров, тимлид в крупной финтех-корпорации
Подробнее
Как внедрять канареечный деплоймент в большой компании и автоматизировать сбор метрик.
-
15:45–16:15Кофе-брейк и нетворкинг
-
16:15–16:45AppSec на минималках: как построить киберзащиту при ограниченных ресурсах?Михаил Маркевич, независимый эксперт по кибербезопасности и ментор
Подробнее
По общемировой статистике, на 75–100 разработчиков в крупных компаниях приходится один AppSec-инженер, и только в 40% случаев он обладает необходимыми навыками. Как на практике организовать минимально безопасную разработку в условиях нехватки персонала, времени и бюджета.
-
16:45–17:10Управление секретами: внедрение Vault и собственный клиентАрсений Савин, тех. архитектор и разработчик, ONAY!
Подробнее
Как мы выстроили безопасный контур разработки (Dev/Stage/Prod) в рамках SSDLC и перешли от хаотичного хранения секретов к централизованному управлению через HashiCorp Vault. Зачем понадобился собственный клиент, как внедрить решение без изменений CI и какие ошибки мы допустили по пути.
-
17:10–17:35Безопасность 5G сетейЖаркынай Есполова, Huawei
Подробнее
Современные атаки на мобильные сети и уязвимости 5G, парадокс безопасности: как технологические улучшения, например beamforming, могут открывать новые векторы атак. Реальные кейсы и подходы к решению.
-
17:35–17:45Kahoot-викторина
-
17:45–17:55Награждение за Kahoot и закрытие конференции
Практика и живое общение
This workshop explores the practical automation of internal and external certificates using HashiCorp Vault. Participants will learn how to implement native and ACME-based workflows to manage certificate lifecycles seamlessly across both legacy VM environments and modern Kubernetes platforms.
Возможность выдохнуть и поговорить про безопасность так, как обычно говорят только в узком кругу коллег. AppSec, DevSecOps, инженерная культура, процессы, факапы, находки и всё, что редко помещается в формальный формат. Без расписания и регламента — разговор пойдёт туда, куда поведёт комьюнити.
Испытай себя в роли хакера
OpenCTF в коллаборации с Mimicats Team
Открытое CTF-соревнование от команды mimicats — прокачай свои скиллы в реальных задачах по информационной безопасности. Уникальный формат, максимум практики, никакой теории — только ты и вызов.
! Участие только со своим ноутбуком!
Партнёры выпуска
