🇨🇳 Си Цзиньпин открыл Всемирную конференцию по искусственному интеллекту в Шанхае

В рамках конференции было объявлено о создании организации World AI Cooperation Organization (WAICO). К инициативе присоединились около 30 стран, среди которых 🇷🇺Россия, 🇧🇷Бразилия и 🇮🇩Индонезия. Новое объединение позволит Китаю участвовать в формировании международных стандартов для ИИ-моделей.

Пекин активно использует ИИ в дипломатических целях, привлекая страны глобального Юга. В ходе встречи с президентом 🇰🇿Казахстана Касым-Жомартом Токаевым председатель Си Цзиньпин подтвердил готовность делиться технологиями для цифровой трансформации экономики Казахстана.

По данным FT, разрыв между 🇨🇳Китаем и 🇺🇸США в сфере ИИ сокращается. Китайский стартап Moonshot выпускает большие языковые модели, возможности которых приближаются к уровню разработок передовых лабораторий США, таких как Anthropic. Сегодня был пост об этом.

Западные корпорации, включая DoorDash, Siemens и Airbnb, начинают внедрять ИИ-решения китайской разработки. Выбор обусловлен стоимостью использования LLM, производительностью и простотой развёртывания на собственной инфраструктуре.

✋ @Russian_OSINT

🥷❗️Хакерская атака на дочернее предприятие Coca-Cola временно остановила производство продукции Fairlife в США

Корпорация The Coca-Cola Company официально уведомила Комиссию по ценным бумагам и биржам США (SEC) об ИБ-инциденте [1,2,3], затронувшем ее дочернюю компанию fairlife, LLC.

Согласно отчету по форме 8-K от 16 июля 2026 года, злоумышленники получили несанкционированный доступ к ИТ-инфраструктуре компании, в том числе к связанным с производством системам, в связи с атакой программы-вымогателя. В результате хакерского вмешательства руководство было вынуждено временно приостановить выпуск продукции на заводах fairlife на территории Соединенных Штатов. При этом отмечается, что канадские производственные мощности бренда в настоящее время не затронуты.

Сразу после выявления несанкционированного доступа Coca-Cola оперативно активировала внутренние протоколы реагирования на инциденты и обеспечения непрерывности бизнес-процессов. Для оценки масштабов ущерба и восстановления пораженных сетей корпорация привлекла независимых консультантов, профильных экспертов по кибербезопасности, а также уведомила о случившемся правоохранительные органы. Официальные представители подчеркнули, что атака никак не отразилась на качестве или безопасности выпускаемых товаров, к числу которых относятся продающиеся на американском рынке линейки безлактозного ультрафильтрованного молока Ultra-Filtered Milk, протеиновые коктейли Core Power Protein Shakes и напитки Nutrition Plan.

На текущем этапе расследования транснациональная корпорация не готова прогнозировать, окажет ли инцидент существенное материальное влияние на консолидированные финансовые показатели The Coca-Cola Company. Также не раскрывается информация о возможной краже конфиденциальных корпоративных данных или получении требований о выкупе, а ни одна из известных хакерских группировок пока не взяла на себя ответственность за инцидент. Взлом систем молочного бренда стал частью растущего глобального всплеска кибератак с применением программ-вымогателей и технологий искусственного интеллекта, в ответ на который Белый дом объявил о создании специальной координационной группы для защиты критической инфраструктуры США.

✋ @Russian_OSINT

В последнее время подсел на ❗️QWEN вместо ❗️DeepSeek. Радует.

https://chat.qwen.ai/

Alibaba анонсирует скорый релиз open-weight модели Qwen3.8 с 2.4T параметров, позиционируя её как одну из самых мощных frontier-моделей, уступающую только Fable 5.

👍 Будем пробовать.

✋ @Russian_OSINT

Канал 🔨SecAtor пишет интересное:

Исследователи BI.ZONE поломали ONLYOFFICE Desktop Editors в 3 шага и представили цепочку уязвимостей OnlyShells, позволяющую при открытии документа выполнить код с системными правами.

Офисный пакет ONLYOFFICE Desktop Editors построен на Chromium Embedded Framework (CEF) и является приложением на базе Chromium.

Он запускается без браузерной песочницы, а используемая версия Chromium (109.0.5414.120) устарела еще в 2023 году. Кроме того, вместе с редактором устанавливается служба для его обновления, которая действует с максимальными системными правами NT AUTHORITY\SYSTEM.

Существует еще одна большая поверхность атаки: парсеры различных файловых форматов, реализованные на небезопасных языках.

Но даже имея серьезный примитив эксплуатации в одном из парсеров, полноценная атака почти всегда усложняется необходимостью эксплуатации one‑shot: эксплойт не сможет подстраиваться под митигации системы жертвы, такие как PIE и ASLR.

Все эти вводные привели Бизонов к следующей предполагаемой цепочке:

- Уязвимость XSS, исполнение произвольного кода JavaScript.
- Эксплуатация браузерной уязвимости рендерера.
- Эксплуатация уязвимости службы обновлений, повышение привилегий.

Комбинация уязвимостей CVE‑2025‑68936, CVE‑2023‑2033 и CVE‑2026‑41030 составили по итогу цепочку OnlyShells, позволяющую выполнять произвольный код от имени суперпользователя при открытии подготовленного файла.

Для защиты от OnlyShells необходимо обновить ONLYOFFICE Desktop Editors до версии 9.3.0.

Демонстрация полного цикла эксплуатации цепочки OnlyShells - в ролике, а техническое описание каждой из проблем с описанием путей эксплутаатции - в отчете.

🦠Разработчики 7-Zip исправили опасную RCE-уязвимость в декодере XZ

В популярном архиваторе 7-Zip версии 26.02 устранена уязвимость удалённого выполнения произвольного кода, которая отслеживается под идентификатором CVE-2026-14266. Она получила оценку 7,0 балла по шкале CVSS. Проблему обнаружил ИБ-исследователь компании Lunbun LLC Лэндон Пэн, а информация о ней была опубликована в рамках инициативы Zero Day Initiative.

Уязвимость вызвана переполнением буфера в куче при обработке специально подготовленных сжатых данных формата XZ. Для эксплуатации требуется взаимодействие с пользователем, который должен открыть или иным способом передать 7-Zip вредоносный файл. В результате успешной атаки злоумышленник может выполнить произвольный код с правами текущего процесса.

Разработчики исправили расчёт оставшегося пространства в выходном буфере декодера. Обновлённый код проверяет, не превышает ли уже записанный объём размер буфера, и учитывает эти данные перед продолжением распаковки. Исправление вошло в 7-Zip 26.02, выпущенный 25 июня 2026 года. Поскольку в 7-Zip отсутствует встроенная функция автоматического обновления, пользователям необходимо самостоятельно скачать и установить актуальную версию. Подобная уязвимость может использоваться в фишинговых рассылках и других атаках с применением социальной инженерии, при которых жертве предлагают открыть специально подготовленный архив или файл.

По состоянию на 20 июля 2026 года публично подтверждённых атак с эксплуатацией CVE-2026-14266 не обнаружено. В открытом доступе опубликован PoC, но полноценного публичного RCE-эксплойта пока не представлено, хотя вероятность его последующей разработки исключать нельзя.

✋ @Russian_OSINT

Состоялся релиз WordPress 7.0.2, исправляющий две уязвимости: одну критического уровня и одну высокого. Учитывая серьёзность проблемы, команда WordPress включила принудительные автоматические обновления для всех затронутых сайтов.

Первая угроза — SQL-инъекция (CVE-2026-60137), выявленная группой исследователей TF1T, dtro и haongo.

Вторая, наиболее серьезная уязвимость удаленного выполнения кода (RCE) без предварительной аутентификации (CVE-2026-63030), была найдена Адамом Кьюсом (Adam Kues) из компании Searchlight Cyber (Assetnote).

Рекомендуется немедленно обновиться и проверить актуальную версию.

https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
--------------------------

🤔Удивительно следующее: уникальность кейса заключается в том, что полноценный эксплойт, рыночная стоимость которого у брокеров уязвимостей достигает 500 000 долларов, был автономно сгенерирован новейшей языковой ИИ-моделью ⭕️ GPT5.6 Sol Ultra. ИИ выявил уязвимость в исходном коде «с чистого листа» всего за 10 часов при вычислительных затратах около 25 долларов США.

Технической отправной точкой вектора атаки стала логическая ошибка рассинхронизации маршрутов (batch-route confusion) в компоненте пакетной обработки запросов REST API, внедренном еще в WordPress 5.6. ИИ обнаружил, что при намеренно вызванной ошибке в одном из запросов происходит сдвиг индексов массивов валидации и обработчиков, что позволяет полностью миновать встроенные механизмы очистки параметров.

То, что на рынке кибероружия оценивается примерно в 500 000 долларов, было получено при финансовых затратах всего в 25 долларов (именно столько составила стоимость потраченных вычислительных ресурсов по подписке на ИИ-модель). ИИшка справилась всего за 10 часов.

ИИ не просто нашел базовую ошибку, он выстроил феноменально сложную, многоступенчатую логическую цепочку для обхода защиты. Как признался сам исследователь, ни один эксперт-человек в мире не смог бы с нуля проделать такую работу за столь короткое время.

✋ @Russian_OSINT

🇩🇪В Германии могут разрешить тайное проникновение спецслужб в квартиры для установки шпионского ПО

Сперва думается, что это шутка, но не всё так просто. Закон ещё не принят, однако 👮МВД Германии опубликовало 691-страничный проект масштабной реформы разведывательного законодательства. Документ расширяет полномочия Федерального ведомства по охране конституции, BfV, и Федеральной разведывательной службы, BND. Сейчас проект проходит согласование внутри правительства, а кабинет министров должен рассмотреть его 13 августа. Ранее об этом уже говорили в Германии.

Одна из наиболее спорных норм предлагает разрешить сотрудникам BfV тайно входить в частные дома и квартиры без ведома владельцев. Для этого должна существовать «конкретизированная угроза» особо значимым охраняемым интересам, а операция должна проводиться на основании специального распоряжения.

Отдельная статья разрешает скрытно собирать и записывать персональные данные внутри жилья с помощью технических средств. Такая слежка допускается при наличии неотложной угрозы, когда другие методы неэффективны, а полиция не может вовремя вмешаться. Наблюдение может проводиться не только в квартире подозреваемого, но и в другом жилье, где его ожидают обнаружить.

Для технического наблюдения в жилом помещении требуется предварительное решение Федерального административного суда. Законность тайного входа должен проверять Независимый контрольный совет. Однако проект предусматривает исключения для срочных ситуаций, когда промедление может сорвать операцию.

18 июля министр внутренних дел Александер Добриндт подтвердил политическое направление реформы. По его словам, при острой террористической угрозе сотрудники контрразведки должны получить возможность входить и обыскивать квартиры, когда полиция не успевает прибыть вовремя. Задерживать людей по-прежнему сможет только полиция.

Проект также предусматривает использование государственного шпионского ПО, скрытое проникновение в IT-системы и активные кибероперации. Кроме того, проект разрешает расширенное автоматизированное и биометрическое сопоставление данных, включая анализ видеопотоков в реальном времени и использование ИИ-систем при обработке разведывательных данных

✋ @Russian_OSINT

❗️Microsoft готовит 🤖Project Perception для поиска и устранения уязвимостей с помощью нескольких ИИ-моделей

Microsoft разрабатывает корпоративную ИБ-платформу под внутренним кодовым названием Project Perception, которая должна автоматизировать поиск уязвимостей, проверку результатов и подготовку исправлений. По данным The Information, система будет распределять задачи между моделями Microsoft, OpenAI и Anthropic, выбирая подходящую модель в зависимости от сложности и стоимости. Microsoft официально проект пока не анонсировала, поэтому его название и сроки запуска могут измениться.

Предполагается, что Project Perception сможет анализировать исходный код и программные компоненты, выявлять потенциальные уязвимости, отсеивать ложные срабатывания и предлагать патчи. Простые задачи, включая первичную классификацию результатов, могут передаваться более дешёвым моделям, а сложный анализ и разработка исправлений будут выполнять наиболее мощные системы. Такой подход должен снизить расходы предприятий по сравнению с постоянным использованием Claude Mythos 5.

Project Perception может стать более доступной альтернативой решениям, построенным вокруг Mythos 5, доступ к которому Anthropic предоставляет только проверенным организациям из-за его возможностей двойного назначения. Технологическая основа у Microsoft уже существует, включая Multi-Model Agentic Scanning Harness (MDASH), многомодельную агентную систему для сканирования исходного кода, проверки находок и приоритизации уязвимостей. Однако пока неизвестно, будет ли MDASH непосредственно интегрирован в Project Perception, какие модели войдут в итоговую версию продукта, сможет ли система самостоятельно применять патчи и сколько будет стоить корпоративный доступ.

✋ @Russian_OSINT

🇩🇪TeamViewer оштрафовали за нераскрытие информации после кибератаки

Немецкий финансовый регулятор BaFin наложил штраф в размере €240 000 на компанию TeamViewer за нарушение правил раскрытия информации после кибератаки. По заявлению регулятора, разработчик ПО был обязан незамедлительно опубликовать сообщение для инвесторов в связи с инцидентом. Вместо этого руководство компании разместило информацию об инциденте только на своём официальном сайте, нарушив правила Европейского регламента о злоупотреблениях на рынке (MAR).

После сообщений о взломе стоимость акций TeamViewer временно упала на 10%. В BaFin подчеркнули, что подобные серьёзные инциденты, как правило, требуют незамедлительного публичного раскрытия, так как рынок чувствительно на них реагирует.

Представители компании утверждают, что в июне 2024 года они провели тщательный анализ возникшей ситуации. Руководство решило опубликовать все ключевые данные на сайте через раздел Trust Center, посчитав это стандартной практикой для технологических компаний.

В TeamViewer подозревали, что за инцидентом может стоять якобы APT29, также известная под именем «Midnight Blizzard».

✋ @Russian_OSINT

🚰Бывшим топ-менеджерам «Сирена-трэвел» вменяют в вину утечку ПД пассажиров

Как сообщает "Коммерсантъ", в Москве суд повторно начал слушать дело бывших топ-менеджеров АО «Сирена-трэвел» (разработчик системы бронирования авиабилетов Leonardo) Игоря Ройтмана и Александра Кальчука. По версии следствия, в сентябре 2023 года они не обеспечили хранение и защиту компьютерной информации, что привело к получению украинскими хакерами персональных данных пассажиров авиакомпаний. Подсудимые считают, что обвинение построено на домыслах.

Подробнее: https://www.kommersant.ru/doc/8830795

✋ @Russian_OSINT

🇨🇳 Успех китайской ИИ-модели Kimi K3 стал аргументом противников регулирования технологий в США

ИИ-инвестор и советник Белого дома по технологиям Дэвид Сакс предупредил, что США рискуют проиграть Китаю гонку в сфере ИИ после выхода китайской модели Kimi K3, которая превосходит передовые американские системы в ряде тестов.

В слепых тестах по фронтенд-разработке (Frontend Code Arena) новая ИИ-модель Kimi K3 превзошла Fable 5 от Anthropic и GPT-5.6 Sol от OpenAI. В общем текстовом рейтинге на этой же платформе она обошла Opus 4.8. При этом стоимость работы Kimi K3 оказалась примерно на 40% ниже, чем у американских конкурентов.

Компания Moonshot AI планирует опубликовать веса своей разработки 27 июля. Это означает, что Kimi K3 станет моделью с открытыми весами. Компании и правительства по всему миру смогут бесплатно скачивать её, дообучать под свои задачи.

Дэвид Сакс утверждает, что 🇺🇸США связывают себя по рукам и ногам чрезмерными правилами. Он раскритиковал попытки ввести запреты на строительство новых дата-центров и инициативы, которые обязывают ИИ-разработчиков получать предварительное одобрение государственных ведомств перед релизом ИИ-моделей. По мнению Сакса, именно такой бюрократический подход ведёт к проигрышу в технологическом соперничестве с 🇨🇳Китаем, ведь Пекин точно не будет играть по американским правилам.

Его позиция прямо противоречит недавним заявлениям руководства Anthropic. Всего пять недель назад представители Anthropic предложили наделить правительство США официальными полномочиями блокировать развёртывание передовых ИИ-моделей, если те не пройдут независимые проверки безопасности. Сакс считает, что подобные барьеры лишь создадут тепличные условия для зарубежных конкурентов. Он убеждён, что Америка победит в этой гонке только в случае сохранения свободы инноваций, развития инфраструктуры и экспорта технологий.

Примечательно, что администрация Дональда Трампа рассматривает возможность введения ограничений или запретов на передовые китайские ИИ-модели с открытыми весами, что может укрепить доминирование таких компаний, как OpenAI и Anthropic.

Интерес к мерам против китайских ИИ-разработок возобновился на фоне стремительного роста популярности Kimi. В прошлом году Министерство торговли США, АНБ и аппарат советника президента по национальной кибербезопасности уже обсуждали различные варианты давления, включая включение китайских ИИ-лабораторий в санкционный список («Entity List»), выпуск предупреждений и разработку правил для цепочек поставок. Однако тогда сторонники инноваций внутри администрации, в том числе бывший советник Белого дома Шрирам Кришнан, заблокировали эти инициативы.

Источники отмечают, что администрация может отказаться от прямого запрета в пользу более плавных мер, таких как правила госзакупок, угрозы включения в чёрные списки и кампании по информированию о потенциальных уязвимостях и бэкдорах в китайских технологиях.

👆Cогласно данным OpenRouter в прошлом месяце, в 2025 году около 75% токенов приходилось на ИИ-модели из 🇺🇸США, но к началу июня 2026 года ИИ-модели из 🇨🇳Китая обошли американские ИИ-модели по общей доле токенов на платформе. Китайские ИИ-модели предлагают более выгодное соотношение цены и качества.

🤖Агентные системы расходуют примерно в 15 раз больше токенов на один запрос по сравнению с обычным общением человека с чат-ботом.

При таком расходе компании комбинируют ИИ-модели, чтобы не переплачивать по премиальным ценам.

👆Сейчас в Китае идёт активное наращивание мощностей для развития ИИ-технологий. Например, недавно нашумевшая китайская компания Z.AI завершила строительство и частично ввела в эксплуатацию дата-центр мощностью 1 ГВт в Шанхае. Мощности 1 ГВт достаточно для снабжения электроэнергией порядка 750 000 домов.

Объект полностью оснащён чипами китайского производства. Площадка предназначена для обучения и дообучения флагманских ИИ-моделей семейства GLM.

Для решения проблемы дефицита вычислительных ресурсов 🇨🇳Китай планирует направить около $295 млрд в течение следующих 5 лет на строительство дата-центров по всей стране.

✋ @Russian_OSINT

У меня есть отчёт, полный уязвимостей безопасности в программном обеспечении, над которым я работаю.

⭕️ Codex не исправил их из-за киберограничающих мер
🈁 Fable не исправил их из-за киберограничающих мер

Kimi K3 исправил их все. Без ограничений, просто выполняет задачу.

Это плохо кончится для OpenAI & Anthropic.

Kimi исправил все 15 критических ошибок за 10 часов в одном запросе (без /goal). Ни одной жалобы. Качество кода впечатляющее.

🇨🇳 Всё это обошлось мне в $250, оплаченные в Китай.

— пишет calle.

✋ @Russian_OSINT