🛡 ФСТЭК обновила требования к защите персональных данных

Как пишет «Коммерсантъ», ФСТЭК опубликовала проект приказа, который вводит новые требования по безопасности персональных данных. В частности, вводятся положения по защите данных при работе с ИИ и по безопасной разработке ПО, гибкая схема адаптации под угрозы и обязательная оценка эффективности мер. Эксперты отмечают, что защита ИИ нормативно не проработана, адаптивный подход потребует обоснования каждой меры под конкретные риски, оценка зрелости может стать формальной.

Федеральная служба по техническому и экспортному контролю (ФСТЭК) опубликовала 24 июля на портале regulation.gov.ru проект приказа, который утверждает новый состав организационных и технических мер по защите персональных данных в информационных системах. Ожидается, что приказ вступит в силу с 1 сентября 2026 года.

Новый проект впервые переносит требования на все информсистемы, которые работают с персональными данными. Вместо жесткого перечня мер, который был закреплен в предшествующем приказе от 2013 года, операторам предлагают гибкую трехуровневую схему. Для каждого уровня определен базовый набор мер, который оператор данных сможет адаптировать под архитектуру своих ИТ-систем и применяемые технологии. Затем компания должна будет проверять, действительно ли выбранные меры закрывают актуальные для этой системы угрозы.

В документе впервые в отдельный перечень выведены защита информации при использовании искусственного интеллекта, интернета вещей, виртуализации и облачных вычислений, а также защита мобильных устройств и удаленного доступа. Кроме того, вводится обязательная оценка эффективности реализованных мер через показатель «уровень зрелости», которую оператор должен проводить перед началом обработки данных, затем не реже одного раза в три года, а также после каждого компьютерного инцидента. Для систем, являющихся значимыми объектами критической информационной инфраструктуры, дополнительно устанавливается требование непрерывного взаимодействия с ГосСОПКА.

Подробнее тут.

✋ @Russian_OSINT

❗️Платформа Project Perception от Microsoft обещает повысить эффективность защиты от киберугроз за половину стоимости

Издание CyberScoop поделилось новыми подробностями о платформе Project Perception и ИИ-модели MAI-Cyber-1-Flash. Представители Microsoft подчёркивают, что их решение не только превосходит конкурентов в скорости и качестве поиска уязвимостей, но и обходится вдвое дешевле других ведущих ИИ-моделей. Публичное предварительное тестирование платформы откроется 3 августа 2026 года.

Председатель совета директоров и генеральный директор Microsoft Сатья Наделла отметил в социальных сетях, что ключевое преимущество системы заключается в грамотном разделении архитектуры. Специализированная ИИ-модель работает в связке с отдельной защищённой средой, агентами и контекстом безопасности.По словам руководителя компании, такой подход позволяет существенно снизить итоговые расходы на анализ кода, при этом, как отмечается в блоге Microsoft, система сохраняет полный контроль со стороны человека.

В тестах на бенчмарке CyberGym связка системы MDASH и ИИ-модели MAI-Cyber-1-Flash показала результат 95,95%, обойдя решения конкурентов в лице ИИ-моделей Mythos (отрыв от которой составил 12 процентных пунктов), Gemini и GPT. При этом безопасность разработки подтвердила независимая третья сторона. Релиз проходит на фоне обострения конкуренции на рынке ИБ и недавнего инцидента с ИИ-моделями OpenAI, которые вышли из-под контроля в ходе тестирования и атаковали платформу Hugging Face.

🤖 Автономные ИИ-агенты Project Perception
Платформа Project Perception построена вокруг специализированных ИИ-агентов, которые обмениваются данными и воспроизводят процессы работы специалистов по ИБ.

В стартовый комплект платформы вошли три ИИ-агента:

🟥 Red занимается поиском и выявлением уязвимостей в программном обеспечении.
🟦 Blue анализирует обнаруженные проблемы и определяет, какие уязвимости представляют наибольший риск.
🟩 Green пишет и развёртывает патчи для устранения найденных дефектов.

Разработка относительно небольшой специализированной ИИ-модели объясняется стремлением снизить затраты при сканировании масштабных репозиториев кода. Основную нагрузку берёт на себя MAI-Cyber-1-Flash, а флагманская ИИ-модель привлекается только для самых сложных задач. Microsoft не планирует публиковать модель в открытом доступе. Публичное предварительное тестирование MAI-Cyber-1-Flash начнётся на следующей неделе через сервис Azure AI Foundry с применением стандартных процедур проверки клиентов и выделения ресурсов GPU. В будущем компания планирует дополнить Project Perception новыми ИИ-агентами, а организации смогут постепенно расширять уровень их автономности по мере роста доверия к технологии.

✋ @Russian_OSINT

🛡 Стартап World Сэма Альтмана получил $52,5 млн от продажи токенов

Проект World привлёк $52,5 млн в рамках продажи криптовалютного токена WLD. В сделке приняли участие венчурный фонд Pantera Capital, а также компании Bain Capital Crypto, Eightco Holdings, Susquehanna Crypto и Selini Capital. Условием финансирования стал 12-месячный период заморозки активов, который запрещает инвесторам продавать или обменивать купленные токены в течение года. Все средства поступили в фонд World Foundation на Каймановых островах для последующего расширения сети.

Как уже не раз сообщалось в СМИ, за операционную деятельность проекта отвечает компания Tools for Humanity из Сан-Франциско под руководством генерального директора Алекса Блании и Сэма Альтмана. Главная цель стартапа заключается в создании цифрового паспорта World ID для проверки подлинности пользователей в интернете. На фоне стремительного распространения ботов система помогает подтвердить, что за аккаунтом стоит реальный человек. Для получения максимального уровня проверки пользователи сканируют радужку глаза с помощью металлического прибора Orb, который преобразует биометрические данные в защищённый криптографический код.

Изначально инициатива развивалась под названием Worldcoin, однако позже команда провела ребрендинг и сменила имя на World. В апреле разработчики выпустили обновлённую версию приложения с функциями кошелька и анонсировали интеграции с сервисами Tinder, Zoom и Docusign. Несмотря на масштабные планы, стартап всё ещё сталкивается со сложностями при привлечении массовой аудитории, и в июне компания провела сокращения штата.

👆В июне 2023 года Сэм Альтман заявил, что в будущем систему Worldcoin можно представить как инфраструктуру для 👁 глобального универсального базового дохода (UBI). Однако для этого сначала потребуются значительный экономический рост и существенный прогресс в развитии самой системы.

В 2023 Блания объяснил первоначальную логику ещё прямее. Проект создавался исходя из двух предпосылок:

▪️AGI в перспективе появится, поэтому необходимо заранее создать инструменты и инфраструктуру, которые позволят распределять создаваемое им благосостояние среди всего человечества.
▪️Потребуется инфраструктура, которая позволит распределять часть этого благосостояния среди всего человечества.

По словам Блания, Worldcoin должен был объединить механизм подтверждения того, что пользователь является реальным и уникальным человеком. На первом этапе World ID можно использовать для подтверждения человечности пользователя в интернете и противодействия ботам. В среднесрочной перспективе рассматривалось участие людей в децентрализованном управлении ИИ-системами, а затем проведение экспериментов с UBI и потенциальное глобальное распределение базового дохода.

К 2025–2026 годам публичный акцент проекта World заметно сместился в сторону World ID. Это система подтверждения человечности, или proof of human, которая позволяет пользователю доказать, что он является реальным и уникальным человеком, а не ботом или ИИ-системой. Идея глобального UBI не была официально исключена, но акцент на ней стараются больше не делать.

✋ @Russian_OSINT

🛡 🇺🇸 Пентагон хочет разместить ИИ-дата-центры на военных базах, но Конгресс требует ограничений

Министерство обороны США планирует разместить крупные коммерческие дата-центры для искусственного интеллекта на территории военных объектов. Однако Конгресс опасается, что такие проекты создадут новые риски для кибербезопасности, энергосистемы, водоснабжения и боеготовности американских баз.

Сам Пентагон в большинстве случаев не будет строить и эксплуатировать дата-центры. Военные предоставят частным компаниям неиспользуемые участки земли в долгосрочную аренду. Компании должны самостоятельно профинансировать строительство, подключить объект к источникам энергии и управлять всей инфраструктурой.

Армия США уже предварительно выбрала два проекта. Инвестиционная компания Carlyle может построить гипермасштабный дата-центр на базе Fort Bliss в Техасе. Под объект выделено около 560 гектаров. Компания CyrusOne рассматривается как оператор аналогичного комплекса на полигоне Dugway Proving Ground в штате Юта. Площадь участка составляет около 486 гектаров.

Первые мощности на Fort Bliss могут появиться в 2027 финансовом году, а на территории Dugway в 2029 году. Однако окончательные договоры аренды ещё не заключены. Проекты должны пройти экологическую, инженерную и юридическую проверку.

ВВС США также изучают возможность размещения ИИ-дата-центров на базах в Калифорнии, Аризоне, Джорджии, Нью-Джерси, Теннесси и на Аляске. Частные операторы должны обеспечить собственную генерацию электроэнергии, системы охлаждения, накопители энергии и телекоммуникационную инфраструктуру.

Пентагону нужны дополнительные вычислительные мощности для обучения и эксплуатации ИИ-систем, автономных платформ, беспилотников и военных систем управления. Военные также рассчитывают получить резервные источники энергии и доступ к части коммерческой вычислительной инфраструктуры.

Однако Конгресс требует установить жёсткие правила. Одна из поправок к оборонному бюджету ♋️запрещает использовать на территории военных объектов определённые микросхемы, печатные платы и другие компоненты, связанные с 🇨🇳Китаем и другими странами, которые США считают противниками.

Законодатели также требуют оценивать киберриски, возможный шпионаж, происхождение оборудования, влияние на электросети, потребление воды, шум, выбросы и последствия для местного населения. Особое внимание уделяется Fort Bliss, поскольку база находится в засушливом регионе Техаса.

Главный спор касается не самих дата-центров, а контроля над инфраструктурой. Размещение коммерческого объекта внутри военной базы создаёт дополнительные вычислительные и энергетические возможности, но одновременно превращает его в потенциальную цель для кибератак и саботажа.

✋ @Russian_OSINT

💻 В Ставрополе программистов и сотрудников АЗС осудили за внедрение 🦠вредоносного комплекса для недолива топлива

В Ставрополе вынесен приговор участникам схемы, которые использовали вредоносное программное обеспечение для хищения топлива у клиентов автозаправочных станций. В группу входили программисты, сервисные инженеры, менеджеры и операторы АЗС. На скамье подсудимых находились 14 человек, в том числе обвиняемый в организации преступного сообщества.

Обвиняемые внедрили в системы управления 17 автозаправочных станций нештатный программно-аппаратный комплекс, позволявший реализовывать топливо клиентам с недоливом, и использовали его для хищения нефтепродуктов.

Пресс-служба 👮‍♀️ УФСБ по Ставрополью уточняет, что фигуранты установили внештатную прошивку на автозаправках для недолива топлива клиентам АЗС и его реализации в дальнейшем за наличный расчет, без оплаты через кассу. Процент недолива составлял от 3 до 5%.

В 2014-2017 годах из-за действий обвиняемых ущерб клиентам, приобретавшим нефтепродукты на АЗС Ставрополья, составил 💸 более 56 млн рублей.

Подсудимым инкриминировали ст. 210 УК РФ (организация преступного сообщества или участие в нем), ст. 159 УК РФ (мошенничество), ст. 273 УК РФ (создание и использование компьютерных программ, предназначенных для несанкционированной модификации информации и нейтрализации средств защиты компьютерной информации).

✋ @Russian_OSINT

🇺🇸🇨🇳США запретят китайские роботы-пылесосы и инверторы ради победы в гонке ИИ

Администрация президента США Дональда Трампа и Федеральная комиссия по связи США (FCC) вводят запрет на импорт продвинутых роботов и силовых инверторов. Регулятор официально не указывает конкретное государство, решение в первую очередь нанесёт удар по производителям из Китая. Среди них находится компания Unitree, выпускающая популярные модели четырёхногих и гуманоидных роботов, а также крупные производители инверторов Sungrow и Huawei.

Под определение «продвинутого роботизированного устройства» попадают машины массой более 2 кг, которые умеют передвигаться по земле, навигировать в пространстве, огибать препятствия и оснащены сетевыми чипами. Под запрет подпадают даже роботы-пылесосы, а проблемы с защитой информации у существующей модели DJI Romo отдельно упоминаются в документах ведомства как пример рисков. Власти опасаются ИБ-инцидентов и манипуляций с цепочками поставок.

Запрет вводится на фоне отставания США в промышленной автоматизации.На фабриках в 🇨🇳Китае работает более 2 млн промышленных роботов, что в 5 раз превышает показатели США, при этом ежегодный мировой объём внедрения новых роботов превысил 500 000 единиц. Чтобы обойти ограничения, импортёрам придётся доказать намерение перенести производство непосредственно в США.

Компании могут подать заявку на специальное разрешение, чтобы продолжить импорт. Заявитель обязан предоставить детальный план по переносу производства непосредственно в США. Ожидается, что регулятор освободит от ограничений многих поставщиков не из Китая.

👆Отдельно стоит отметить, что запретили даже импорт 🧹роботов-пылесосов под предлогом национальной безопасности. Ограничения касаются только новых моделей, которые планируется ввозить в страну.

💡Удивительно, но факт: на рынке роботов-пылесосов практически не осталось 🇺🇸американского производства. Пятёрка крупнейших мировых брендов базируется в 🇨🇳Китае, и в неё входят Roborock, Ecovacs, Dreame, Xiaomi и Narwal. Даже известный бренд Roomba после банкротства компании iRobot перешёл в собственность китайского контрактного производителя Picea. Известный бренд Dyson также сотрудничает с китайскими фабриками.

✋ @Russian_OSINT

⚡️Павла Дурова внесли в перечень террористов и экстремистов Росфинмониторинга — РИА Новости.

Перевод средств Дурову может считаться финансированием терроризма, заявил РИА Новости юрист (мнение).

По его словам, основателю Telegram теперь заблокируют все счета в России.

✋ @Russian_OSINT

♋️Разработчики ⭕️ ChatGPT и 🈁Claude предлагают властям способ притормозить гонку ИИ

Специалисты-разработчики ИИ-моделей поддержали открытое письмо с просьбой к правительству 🇺🇸США найти способ замедлить развитие технологий, если оно станет слишком быстрым. Под петицией поставили подписи сотни сотрудников компаний OpenAI, Anthropic, Google и Meta*. Авторы документа предупреждают, что индустрия близка к автоматизации исследований в сфере ИИ, и это может привести к тому, что развитие технологий выйдет из-под контроля человека.

Разработчики опасаются ситуации, когда ИИ-системы смогут самостоятельно улучшать себя. Это создаст риск резкого ускорения прогресса, который опередит возможности людей по безопасному контролю над моделями. К началу 2028 года OpenAI планирует передать значительную часть исследовательских задач автоматизированным ИИ-системам.

Авторы петиции просят правительство 🇺🇸США поддержать международные дипломатические усилия, чтобы создать технические и юридические инструменты для контроля темпов разработки. В отличие от прошлых петиций, появившихся после 2022 года, этот документ получил официальное одобрение топовых руководителей компаний OpenAI, Meta и Google. Генеральный директор OpenAI Сэм Альтман хоть и не подписал петицию лично, но в подкасте обтекаемо заявил, что регулирование темпов разработки может потребоваться.

Пока разработчики пытаются притормозить развитие ИИ из-за риска потери рабочих мест, Сэм Альтман, отвечая на вопрос журналистов, признал вероятность того, что компания могла взломать и другие системы (не только Hugging Face*). На уточняющий вопрос о расследовании этого факта глава OpenAI предпочёл не отвечать и ограничился многозначительным словом «спасибо».

👆Закрытые консультации прошли за несколько дней до истечения 60-дневного срока, отведённого президентом США Дональдом Трампом федеральным агентствам для разработки критериев оценки передовых ИИ-моделей. В рамках визита Сэм Альтман ознакомился с предлагаемым проектом и запланировал встречу с главой аппарата Белого дома Сьюзи Уайлс. Отвечая на вопросы о темпах развития технологий, Сэм Альтман отверг термин «замедление», но подчёркивал необходимость регулировать скорость внедрения по мере роста возможностей ИИ-моделей.

Президент США Дональд Трамп заявил в Овальном кабинете, что администрация рассматривает меры контроля для сферы ИИ. При этом он подчёркивал, что 🇺🇸США не должны уступать 🇨🇳Китаю, поскольку победитель в гонке ИИ-технологий получит определяющее преимущество.
--------------------------

❗️ Hugging Face опубликовали подробный разбор инцидента тут:
https://huggingface.co/blog/agent-intrusion-technical-timeline

*Деятельность компании Meta (владеет Facebook, Instagram, WhatsApp) запрещена в РФ и признана 🏴‍☠️экстремистской.

✋ @Russian_OSINT

☦️ Уязвимость в ватиканском приложении Click To Pray поставила под угрозу данные 700 000 пользователей

Молитвенное приложение Click To Pray, которое Папа Римский Франциск официально представил в январе 2019 года, содержало серьёзную уязвимость, позволявшую получить персональные данные более 700 000 пользователей. Сервис был разработан агентством La Machi Communication for Good Causes для организации «Всемирная молитвенная сеть Папы». В январе 2026 года независимый ИБ-исследователь BobDaHacker обнаружил проблему в API приложения. Незащищённый интерфейс выдавал сведения о любом зарегистрированном пользователе без проверки прав доступа.

Уязвимость относилась к классу IDOR (Insecure Direct Object Reference) и была связана с отсутствием проверки того, имеет ли запрашивающий пользователь право просматривать конкретную запись. Учётным записям присваивались последовательные числовые идентификаторы. Последовательно изменяя идентификатор, можно было перебрать записи в диапазоне от 1 до 719 517.

В ответ API возвращал адрес электронной почты, имя, фамилию, страну, дату рождения, роль пользователя, статус удаления аккаунта и некоторые служебные поля. Ограничения частоты запросов обнаружено не было, поэтому автоматизированный сбор данных можно было провести с помощью простого скрипта.

ИБ-исследователь также выявил вторую проблему. При регистрации API возвращал validation_hash, который использовался в ссылке подтверждения электронной почты. Это позволяло создать аккаунт с произвольным адресом и подтвердить его без доступа к соответствующему почтовому ящику.

3 января 2026 года BobDaHacker направил информацию о проблеме девяти адресатам, связанным с Click To Pray и «Всемирной молитвенной сетью Папы», но ответа не получил. В июле ИБ-исследователь передал сведения журналисту Dark Reading.

24 июля 2026 года Dark Reading и BobDaHacker опубликовали материалы об уязвимости. После публикации поведение API изменилось, что BobDaHacker подтвердил повторной проверкой. При запросе чужого профиля сервер перестал раскрывать адрес электронной почты, страну и дату рождения, оставив только публичные имя и фамилию.

Это не первый публично известный случай серьёзной уязвимости в приложении, связанном с Ватиканом. В 2019 году британская компания Fidus Information Security обнаружила проблемы в приложении для электронных чёток eRosary. API возвращал четырёхзначный ПИН-код учётной записи в читаемом виде. Зная адрес электронной почты пользователя, злоумышленник мог получить ПИН-код из ответа API и полностью захватить соответствующую учётную запись.

Раскрытые через Click To Pray имена, адреса электронной почты, страны и даты рождения могли использоваться для персонализированного фишинга от имени Ватикана или «Всемирной молитвенной сети Папы».

✋ @Russian_OSINT

🥷❗️Как ручной режим и водонапорные башни спасли Миннесоту от масштабной киберкатастрофы

С 26 по 27 июля 2026 года спланированной кибератаке подверглись более 30 муниципальных систем водоснабжения и водоотведения по всему штату Миннесота. Об этом официально заявило государственное агентство Департамент IT-услуг Миннесоты (MNIT). Первоначально в СМИ сообщалось о компрометации систем только в четырёх населённых пунктах, но позже регулятор подтвердил массовый характер инцидента.

Главный итог происшествия состоит в том, что питьевая вода осталась безопасной, а подача воды жителям не прекращалась в долгосрочной перспективе. Нарушения в работе оборудования удалось локализовать.

Подобные атаки, согласно федеральным предупреждениям, направлены на операционные технологии (OT) и программируемые логические контроллеры (PLC). В зоне риска оказались устройства таких производителей, как Rockwell Automation, Schneider Electric и Siemens. За несколько дней до инцидента, 22 июля 2026 года, агентство CISA, ФБР и EPA выпустили обновлённое предупреждение о том, что связанные с 🇮🇷Ираном хакеры атакуют подключённые к интернету PLC-устройства на объектах критической инфраструктуры.

🕵️ИБ-исследователи из компании Dataminr отмечают, что компрометация контроллеров ведёт к манипуляциям с процессами, создавая угрозу физического воздействия на оборудование.

The New York Times со ссылкой на источники сообщает, что американские чиновники подозревают в атаках иранских хакеров, однако подчёркивают, что эта оценка является предварительной. Точно определить ответственных за киберинцидент пока не удалось. Рассматривалась версия, что кто-то мог выдать себя за иранскую группировку для эскалации напряженности между странами, но эксперты сочли этот сценарий маловероятным. ФБР отказалось комментировать информацию о возможной атрибуции.

Инцидент высветил системную проблему: небольшие муниципалитеты всё чаще используют автоматизацию и удалённое управление через интернет, но не имеют бюджетов и штатных ИБ-специалистов для защиты этих каналов связи. Городам в Миннесоте удалось избежать серьезных аварий благодаря своевременному обнаружению угроз, применению аварийных планов, наличию физических запасов воды в башнях и готовности персонала перевести оборудование в ручной режим работы.

✋ @Russian_OSINT