🧑‍💻 21 попытка, 32 zero-day и только первый день

Pwn2Own Ireland 2026 ещё толком не успел начаться, а исследователи уже принесли организаторам 32 уязвимости нулевого дня. За 21 попытку участники заработали $388 500, причём под удар попали не экспериментальные стенды, а Galaxy S26, ИИ-инструменты, базы данных и устройства умного дома.

В рамках турнира участники атакуют продукты сразу в семи категориях, от iPhone 17, Galaxy S26 и Pixel 10 до принтеров, IoT-устройств, мессенджеров и ИИ-инфраструктуры. В этом году появилась и отдельная категория с устройствами для здоровья, так что исследователи фактически проверяют на прочность почти весь набор современной подключённой электроники.

Масштаб хорошо показывает, насколько широким стал современный рынок атак. На одном турнире соседствуют смартфон, ИИ-агент, принтер, умная колонка и мост для лампочек. Общего у таких целей немного, кроме одного свойства. В каждой хватает ошибок, за которые готовы платить десятки тысяч долларов.

И всё это произошло за первый день из четырёх. Если старт уже дал 32 zero-day, главный вопрос к Pwn2Own теперь не в том, что ещё взломают, а сколько продуктов вообще доживут до финала без успешной атаки.

#Pwn2Own, #ZeroDay, #Кибербезопасность @SecLabNews

ИИ теперь помогает вымогателям решать, сколько денег требовать с жертвы

🐯Исследователи Positive Technologies заметили новый тренд: хакерские группировки начали разрабатывать собственные ИИ-инструменты для работы с украденными данными.

Например, группировка TITAN заявляет, что ее система сама сортирует похищенные документы, ищет наиболее чувствительную информацию и оценивает, какой максимальный выкуп сможет заплатить компания. По словам злоумышленников, до 700 ГБ данных она способна обработать меньше чем за час.

🕸Причем ИИ становится не только инструментом атак, но и новой целью. Исследователи также обнаружили троян KAIDO RAT, который атакует рабочие среды разработчиков и перехватывает данные из десктопной версии Claude.

😎Кажется, выражение «ИИ против ИИ» окончательно перестает быть красивой метафорой. 15–16 октября именно вокруг этого противостояния строится Positive Security Day: там будут разбирать, как ИИ уже используют по обе стороны кибератак — и что с этим делать защитникам.

Добро пожаловать в таймлайн, где нейронки анализируют нейронки, которые атакуют людей с нейронками 🫡

Изучите программу Positive Security Day и успейте зарегистрироваться!

🚔Украл у воров, прикрутил ИИ и забыл закрыть сервер: эпичный провал Русскоязычного хакера Azazel

В даркнете кипит своя драма, где жадность фраера не просто сгубила, а выставила на посмешище. Русскоязычный хакер с ником Azazel пристроился партнёром к вымогателям из The Gentlemen. Расклад у ребят был сказочный: бери готовый шифровальщик, ломай конторы, забирай 90% куша, а жалкие 10% отстегивай создателям софта за франшизу. Но нашему герою даже десятина поперек горла встала. Парень решил, что самый умный, склепал тайком собственный сайт утечек LEAKNED и начал уводить жертв налево, забирая весь выкуп в один карман.

Закончился этот стартап внутри корпорации классически. Гений киберпреступности намертво продолбал настройки собственного сервера и вывалил наружу 50 терабайт служебных данных. Эксперты из CloudSEK зашли на огонек и тихо выпали в осадок. Там лежали свежие потроха двух десятков контор из шести стран, включая украденные секреты из GitLab, ключи от облаков и кучу чужих баз. Самое забавное, что Azazel умудрился автоматизировать рутину через Model Context Protocol, превратив ИИ-ассистента в пульт управления взломанными серверами. Технологично, дерзко, но руки все равно растут не из того места.

Пока ИБ-безопасники спорят о восстании машин, взломщики уже вовсю гоняют ИИ в боевых условиях, чтобы не отвлекаться на ручные команды. Только вот базовая гигиена решает вообще все: ты можешь писать промпты и потрошить репозитории, но если забыл закрыть собственный сервер, тебя сольют безопасникам раньше, чем твои же разозленные подельники пустят на фарш.

#ransomware, #киберпреступность, #TheGentlemen @SecLabNews

😃Написал боту лишнего? Жди вежливых людей в бронежилетах у входной двери

Наивность некоторых пользователей искренне умиляет. 30-летняя дамочка решила вести личный дневник прямо в диалоге с Claude и накатала два сообщения про свежий ствол и желание перестрелять офис местного начальника полиции. Автоматика безопасности Anthropic среагировала мгновенно, дежурные безопасники глянули текст своими глазами и сдали авторку копам без лишних соплей. Теперь у нее тяжелая статья за письменные угрозы насилием, а бот просто продолжил крутить веса в матрицах.

Народ упорно путает домашнюю консоль с чужой облачной фермой. Если крутишь модель на сторонних серверах, каждое слово проходит сквозь жесткие фильтры на лету. Вслед за сентябрьским кейсом OpenAI, где слили чела за угрозы ребенку, мы наблюдаем четкую систему. Корпораты вписали в правила право стучать при первой же неминуемой опасности без всяких решений судов, прикрывая собственные юридические тылы за пару кликов.

Точные пороги срабатывания алертов Anthropic не раскрывает, так что любой нервный запрос теперь потенциально читают модераторы. Хотите изливать душу и генерить дерзкие скрипты без риска увидеть оцепление под окнами? Разворачивайте легковесные опенсорсные сетки на своем железе, пока облачные вендоры окончательно не превратились во внештатных агентов полиции.

#ии, #безопасность, #приватность @SecLabNews

🗒Удар по территории завода «Саста» затронул инфраструктуру Yandex Cloud


Ночью в Сасово загорелась территория завода «Саста», где работает дата-центр «Яндекса». Первые сообщения связывали пожар с атакой, но сама компания подтвердила лишь «инцидент» и не назвала его причину.
Последствия быстро вышли за пределы промзоны.

В зоне Yandex Cloud ru-central1-b начались перебои с электропитанием, клиентам рекомендовали переносить нагрузку, а в других зонах временно нельзя было создавать новые виртуальные машины, кластеры Kubernetes и базы данных.

На некоторое время проблемы добрались и до обычных пользователей. Приложение и веб-версия «Яндекса» не работали около часа. Хорошее напоминание о том, что за словами «облако» и «отказоустойчивая инфраструктура» стоят вполне реальные здания, линии питания и серверные стойки.

«В дата-центре «Яндекса» в Сасово в результате атаки БПЛА произошел пожар, затронувший часть инфраструктуры. Пострадавших нет, профильные службы на месте устраняют последствия», — подтвердили в компании.

#Яндекс, #YandexCloud, #датацентр @Seclabnews

😱Роскомнадзор объявил войну виртуальным раздевалкам

Судебная система внезапно сделала то, до чего у многих руки не доходили годами. По иску РКН в Москве признали незаконным сервис, заманивавший народ слоганом про раздевание подруг через нейросеть. Казалось бы, очередная блокировка безымянного зарубежного сайта, коих тысячи, но в формулировках кроется прекрасное. Под раздачу попал не столько сомнительный результат работы генеративки, сколько сам факт того, что в алгоритм скормили чужой снимок без спроса.

Юристы наконец-то докопались до сути механики. Когда нейросеть пририсовывает чужую голову к нарисованному телу, создатели сервисов обычно включают дурачка и кричат, мол, пиксели вымышлены, совпадения случайны, цифровой арт чистой воды. Но суд четко увязал исходный портрет и персональные данные. Разрешения на обработку лица никто не давал, значит, вся цепочка превращается в нарушение неприкосновенности частной жизни. По сути, вне закона объявили не только готовые сгенерированные картинки, но и саму загрузку чужих исходников на подобные площадки.

Полноценно зарегулировать зарубежные веб-интерфейсы через блокировки сложно, зеркала плодятся за пять минут, а локальные модели вообще запускаются на домашней видеокарте. Зато теперь у правоохранителей появляется железобетонная база, чтобы прижимать к ногтю тех, кто эти фотки берет и заливает. Анонимности в сети давно нет, и если обиженный человек пойдет писать заявление, сослаться на безобидную шалость с нейросетью уже не получится.

#дипфейки, #роскомнадзор, #нейросети @SecLabNews

🤥Curator восстановила сеть за 34 минуты после ошибки конфигурации

Компания Curator раскрыла причину сбоя 8 октября, затронувшего сайты крупных российских СМИ. Во время технических работ специалисты допустили ошибку при настройке сетевого оборудования, из-за которой часть клиентской инфраструктуры временно стала недоступна.

Авария началась в 15:30 по московскому времени. По данным Curator, специалисты локализовали неисправность в течение получаса, а к 16:04 полностью восстановили работоспособность сети.

После устранения ошибки новых перебоев компания не наблюдает. Curator заявила, что инфраструктура функционирует штатно, а доступность клиентских сервисов восстановлена. Расследование обстоятельств аварии продолжается.

#Curator, #Инфраструктура, #Рунет

💩Код есть, понимания ноль. Математики открыто послали команду Альтмана с их доказательствами

История с решением задач тысячелетия переросла в грандиозный скандал с запахом открытого саботажа. OpenAI выкатила репозиторий из 372 групп результатов, гордо объявив о решении фундаментальных проблем математики и теоретической информатики. Но когда пыль от фанфар осела, выяснилось занятное. Разработчики даже сами признают, что в материалах без машинной верификации полно ошибок, а весь банк решений скормили сообществу в расчёте на то, что живые профессора вручную найдут все баги.

Технари прекрасно знают эту порочную практику, когда сырой релиз выкатывают в прод без тестов, перекладывая отладку на пользователей. Только здесь ценой вопроса выступает фундаментальная наука. Прогнать четыре тысячи задач через закрытый кластер и выдать тонны текста без возможности независимого воспроизведения, это откровенное издевательство над научным методом. Консультанты из профильной группы прямым текстом заявили, что никакой ответственности за эту гору макулатуры не несут и методы компании не одобряют.

Если алгоритм нашёл решение, но алгоритм закрыт, а само доказательство не порождает новых теорий и идей, ценность такой работы стремится к нулю. Технокорпорации пытаются подменить поиск истины генерацией правдоподобных текстов. И если сообщество проглотит такой подход, научные публикации окончательно утонут в непроверяемом галлюциногенном спаме, написанном нейросетями ради красивых графиков в отчётах.

#Нейросети, #Наука, #Скандал @SecLabnews

💥Два удара за две ночи. Облачная инфраструктура «Яндекса» теряет мощности

Вторую ночь подряд беспилотники атакуют дата-центры «Яндекса». После удара по площадке в Сасово под удар попал крупнейший серверный комплекс компании в Калуге. Несколько модулей полностью вышли из строя, а «Яндекс» предупредил о возможных перебоях в работе сервисов.

Калужский ЦОД рассчитан более чем на 3800 серверных стоек общей мощностью 63 МВт. Повреждения затронули часть инфраструктуры, но сколько вычислительных мощностей потеряно и удастся ли восстановить оборудование, пока неизвестно.

Предыдущая атака уже вывела из строя зону доступности Yandex Cloud и затронула сторонние интернет-сервисы. Теперь повреждена ещё одна площадка, а значит, нагрузка на оставшуюся инфраструктуру может возрасти. Полный масштаб последствий двух ударов пока не установлен.

#Яндекс, #ЦОД, #Беспилотники @SecLabNews

⚒️Дата-центр «Яндекса» после удара дронов могут восстанавливать целый год

Удар беспилотников по дата-центру «Яндекса» в Сасово может обойтись компании в миллиарды рублей и надолго вывести площадку из строя. По оценкам экспертов, восстановление способно занять до года, а строительство аналогичного центра обойдётся в 12–15 млрд рублей без учёта серверов.

После атаки 8 октября на площадке начался пожар, работу десятков тысяч серверов полностью остановили. Пока неизвестно, сколько оборудования удалось сохранить. Если пострадали только системы питания и охлаждения, ремонт может занять один-два месяца. При серьёзных повреждениях машинных залов сроки увеличатся многократно.

Стоимость самих серверов может оказаться значительно выше затрат на инженерную инфраструктуру, особенно с учётом ускорителей для нейросетей. «Яндекс» пока не раскрыл ни размер ущерба, ни сроки возобновления работы. Год простоя остаётся экспертным сценарием, а не официальным прогнозом.

#Яндекс, #ДатаЦентры, #Беспилотники @SecLabNews