Бесконечно можно смотреть на три вещи:
— как горит огонь;
— как течёт вода;
— как меняется график акций ВКонтакте

Начал копать новую тему. Скоро будет цепочка постов.

Заметил крайне интересную вещь. Всё чаще вижу попытки зайти на территорию генеративных приложений. И нет, это не no-code, это следующая ступень, которая раньше была недоступна. Опиши виджет, расширение, приложение. И пользуйся. Неудобный интерфейс - скажи в чате, все перестроится. Код пытаются сдвинуть на второй план.

Я думаю, что как только хватит вычислительной мощности, все платформы придут к одной философии: не ищи приложение в каталоге, а опиши, что тебе нужно, и интерфейс соберётся под задачу прямо сейчас. Рулить парадом будут адаптеры/MCP на стероидах.

Ещё пару лет назад это звучало как фантастика. Сейчас уже видны первые шаги - Claude Artifacts, генеративный UI у Gemini, приложения внутри ChatGPT. У идеи, кстати, длинная история: похожие концепции описывали ещё в восьмидесятых, просто тогда не было чем их реализовать.

Сел разбираться. Что работает уже сегодня, что пока демка, а что так и осталось красивым прогнозом. Заодно посмотрю на это с двух сторон - и как на тренд, и как на инженерную задачу с её песочницами, безопасностью и недетерминизмом.

Если тема близка - дайте знать. Дальше будет интереснее.

Давненько не виделись! С 11 июня, представляете?? Время быстро летит. Но месяц был очень плотным. Так как посты я пишу в основном по вечерам и по выходным, то такие периоды сильно выбивают меня из привычного графика. Ни свободных выходных, ни спокойных вечеров не было уже чёрт знает сколько... Но все дела рано или поздно заканчиваются.

За это время успел почти доделать долгий ремонт, который тянется аж с того года и никак не закончится. Интересно, повысил ли я грейд разнорабочего до Middle, или я всё еще Junior? 😂 Впервые выбрался на отдых с палаткой. Обзавёлся всем необходимым, остался в восторге, теперь очень хочется выбраться снова. Почему я раньше не ездил? Не знаю. Посетил концерт Ленинграда. И, в догоночку, съездил на три дня до Казани. Поездка , которую я откладывал больше двух лет. Удалось обойти практически все достопримечательности. Обязательно туда вернусь!)

Теперь времени должно стать чуть больше. Так что буду стараться радовать вас интересными постами чаще.

Чтобы войти в ритм - короткий дайджест того, что случилось за две недели, пока мне было не до новостной ленты. Случилось многое.

Anthropic выпустила Claude Sonnet 5 (30 июня). Средняя модель, которая местами догоняет Opus 4.8.

OpenAI показала GPT-5.6 (26 июня), но только для избранных (походу новый тренд).

Сага о Fable 5 закончилась хеппи-эндом. Напомню фабулу: модель вышла 9 июня, а уже 12 июня США ввели экспортный контроль - поводом стал отчёт Amazon об обходе защитных механизмов. Три недели переговоров, и 30 июня ограничения сняли. С 1 июля Fable 5 снова доступна глобально - но уже с новым классификатором безопасности, который блокирует описанную в отчёте технику в 99% случаев. Самая мощная публичная модель пережила первый в истории отзыв по соображениям нацбезопасности.

Пока индустрия обсуждала Fable, в AI-стеке накопились уязвимости. Подборка самых жёстких за последний месяц:

LiteLLM (CVE-2026-42271). Цепочка с неаутентифицированным RCE через MCP-эндпоинты, итоговый CVSS 10.0. Подтверждена эксплуатация в реальных атаках, уязвимость в каталоге CISA KEV. Скомпрометированный AI-гейтвей отдаёт ключи всех подключённых провайдеров.

Cursor (CVE-2026-22708, CVSS 9.8). Атакующий отравляет окружение агента так, что разрешённые команды вроде git branch выполняют произвольный код. Allowlist сам одобряет нужные атакующему команды. Защитный механизм стал вектором.

Semantic Kernel (CVE-2026-26030). Промпт-инъекция превращается в RCE на хосте: одного промпта хватило, чтобы запустить calc.exe. Без эксплойта браузера, вложений и повреждения памяти. Агент просто делал то, для чего создан.

Общая картина: по данным OWASP, больше всего security advisories у n8n (57), Claude Code (22) и AutoGPT (15). Кодинг-агенты - главный источник новых атак.

Бонус. Anthropic обогнала OpenAI по заявленной выручке, обе компании готовятся к IPO. А Google теряет людей: нобелевский лауреат Джон Джампер ушёл в Anthropic, Ноам Шазир - в OpenAI.

Так вот, в середине июня я ещё успел посетить юбилейный Standoff 17, который проходил в Кибердоме. Я был на финале и даже начал писать подробный пост-отчёт - и три недели его не заканчивал. Исправляюсь.

Короткая вводная для тех, кто не из кибербеза. Standoff - крупнейшая в России кибербитва. Организаторы строят виртуальное Государство F: цифровую копию целой страны с энергетикой, транспортом, банками и телекомом. Красные команды четыре дня атакуют, синие - обнаруживают атаки и расследуют. Всё как в жизни, только без уголовных дел. На кону - 50 000 долларов.
Теперь главное событие битвы.

Полтора миллиона человек остались без света. Метро встало, самолёты не взлетели, в больницах умерли четверо. Город в кромешной тьме, на дорогах аварии из-за погасших светофоров. Хорошо, что это всего лишь симуляция. Насколько мне известно - это лучшее, что случилось со Standoff за десять лет.

Команда Dataeli&only_f4st вырубила все электроподстанции Государства F. Цепочка атаки - 20 шагов: от первого проникновения до управления энергосистемой. Впервые за всю историю битвы страна целиком ушла во тьму. Позже блэкаут повторила и cR4.sh - значит, это не случайный трюк, а воспроизводимый сценарий.

Дальше - россыпь моментов, ради которых стоило смотреть.

ЕГЭ слили за 1 час 40 минут. Первое критическое событие битвы: cR4.sh вытащила материалы единого экзамена Государства F до его начала. Меньше двух часов от старта. В реальном мире такая новость обрушила бы экзаменационную кампанию страны.

Бургеры устояли. На полигоне была цифровая копия инфраструктуры Вкусно - и точка, настоящей компании. Хакеры пытались создать фальшивые заказы, положить киоски самообслуживания, добраться до админских учёток. Девять задач - ноль выполненных. Виртуальное государство погасло, а сеть бургерных выстояла 😁

Домино между отраслями. Одна из атак на энергосистему отключила линии электропередачи, питающие металлургический комбинат. Ломали одну отрасль - легла соседняя. Ровно так каскадные сбои работают и в реальности.

Скорость защиты. Команда BSOD Squad в среднем выявляла инцидент за 19 минут, а полное расследование занимало 4 часа 15 минут. От "у нас что-то происходит" до разбора по шагам - меньше рабочего дня.

Прямо на площадке Т-Банк анонсировал открытые кибериспытания: 12 миллионов рублей тому, кто реализует одно недопустимое событие в настоящей инфраструктуре банка.

Битва в очередной раз выросла. Семь отраслей, цифровые двойники реальной инфраструктуры, 245 критических событий за четыре дня. У синих в этом году не только продукты Positive Technologies - в защите Xello, F6, R-Vision. Защитники давно не обороняются в лоб: они расследуют инциденты и пишут отчёты, как в настоящем SOC - центре мониторинга, где безопасники следят за атаками 24/7.

И куда же без ИИ? Он теперь стоит по обе стороны - в атаке и в защите. Похек провёл мастер-класс ровно про это: как пентестер - этичный хакер, который взламывает системы по заказу их владельцев - тащит модели в работу. Польза простая и неромантичная: вытащить инсайты из массива логов, вести аккуратный дневник артефактов, не потерять цепочку. Теперь это неотъемлемый инструмент.

За десять лет кибербез в России вырос из субкультуры в целую индустрию. Свой формат, свои вендоры, своя школа. А вот как эта школа смотрится на фоне остального мира - вопрос с интересным ответом. Про это - в отдельном посте.

Интересно смотреть, как ИИ меняет разные сферы - и кибербезу тоже досталось. Недавно наткнулся на термин slopsquatting и удивился: он живёт уже больше года, просто прошёл мимо меня - придумал его в 2025-м Сет Ларсон, Developer-in-Residence в Python Software Foundation. Разбираемся, что это и почему это не страшилка ради красивых заголовков.

Начнём издалека - с более старого трюка, typosquatting (опечатка + захват). Атакующий регистрирует в PyPI, npm или другом репозитории пакет с именем, почти неотличимым от популярного - на одну букву, на дефис, на порядок слов. Классика: в декабре 2019 в PyPI нашли jeIlyfish - настоящий jellyfish, только строчная l заменена на заглавную I, визуально похожую в большинстве шрифтов. Пакет воровал SSH- и GPG-ключи. Рядом ехал python3-dateutil под python-dateutil; в npm похожая история - crossenv вместо cross-env (2017).

Внутри - вредоносный код, который срабатывает прямо в момент установки, ещё до того, как вы обратились к пакету. Достаточно опечататься при установке зависимости - и всё, попался, голубчик.

Дальше - расчёт на человеческий фактор: кто-то опечатался вручную, кто-то скопировал команду из старого туториала с опечаткой. Охотиться за конкретной жертвой не нужно - зарегистрировал похожие имена под топовые пакеты и жди, кто ошибётся.

Slopsquatting - тот же трюк с апгрейдом под эпоху AI-кодинга. Когда LLM пишет вам код, она время от времени советует import библиотеки или pip install, которой на самом деле не существует - модель её выдумала, потому что название звучит правдоподобно.

Раньше на это смотрели как на безобидный баг: заметишь, попросишь исправить, и всё. Но в 2025-м исследователи UTSA опубликовали работу на USENIX Security: 16 моделей, 576 тысяч сэмплов на Python и JS. Результат - 19,7% рекомендованных пакетов не существовало.

Результаты правда относятся к моделям предыдущего поколения, актуальных метрик пока нет. Но нам интересно другое: 500 галлюцинирующих промптов прогнали по десять раз каждый. 43% выдуманных имён повторялись во всех десяти прогонах, ещё 58% - больше одного раза. Список фейковых имён воспроизводимый, а не случайный.

А воспроизводимость - подарок для атакующего. Не нужно брутфорсить: достаточно позадавать модели типичные вопросы вроде «напиши скрипт парсинга CSV», собрать частые несуществующие названия и зарегистрировать их с вредоносной начинкой. Дальше сценарий тот же: разработчик видит незнакомую библиотеку, не всегда успевает загуглить - и ставит то, что подсунула модель.

Это не теория. В 2024-м Бар Ланьядо из Lasso Security зарегистрировал пакет-пустышку huggingface-cli, который модели упорно советовали. За три месяца - больше 15 тысяч загрузок, а pip install huggingface-cli заехал в README репозитория Alibaba GraphTranslator. Никакого взлома - люди просто ставили то, что продиктовал ИИ.

Второй случай свежее и неприятнее: в январе 2026-го Чарли Эриксен (Aikido Security) заметил, что LLM склеила jscodeshift и react-codemod в несуществующий react-codeshift. Имя попало в коммит с 47 сгенерированными Agent Skills и через форки разошлось по 237 репозиториям - никто не вычитывал. Эриксен зарегистрировал пакет превентивно и сразу увидел загрузки. По его словам, вектором атаки это не стало только потому, что он успел первым.

Почему это стало проблемой именно сейчас:
- AI-агенты стали привычным способом писать рутинный код, и вопрос «а точно ли существует эта библиотека?» многие перестали задавать в принципе;
- галлюцинации разных моделей пересекаются - есть 127 имён пакетов (109 в PyPI, 18 в npm), которые независимо выдумывают сразу несколько ведущих моделей. Один зарегистрированный пакет ловит пользователей всех сразу;
- репозитории пакетов по-прежнему пускают регистрировать что угодно и от кого угодно, никак не проверяя, зачем вам это имя.

Короче: slopsquatting - история про то, как одна безобидная особенность модели превращается в готовый вектор атаки. Старый как мир supply-chain риск получил новый, куда более дешёвый вход.

Вышел Claude Opus 5

Антропик выкатил Opus 5 24 июля. Главное в релизе не бенчмарки, а прайс: модель подошла вплотную к Fable 5, оставаясь вдвое дешевле - 5 и 25 долларов за миллион токенов против 10 и 50. Относительно Opus 4.8 цена не изменилась вообще.

ARC-AGI-3 выделился сильнее всех: рост с 1.5 до 30.2 на задачах, которых модель раньше не видела.

По кибербезопасности модель намеренно не тренировали. Но она всё равно подтянулась: находит уязвимости почти на уровне Mythos 5, но заметно отстаёт в превращении находки в рабочий эксплойт. Отсюда и настройки сейфгардов - поиск уязвимостей в исходниках разрешён, бинарный анализ, пентест и генерация эксплойтов уезжают фолбэком на Opus 4.8. Классификаторы, по оценке Антропика, срабатывают примерно на 85% реже, чем у Fable 5.

Из приятного: по внутреннему аудиту это самая аккуратная их модель, оценка 2.3 по шкале рассогласованного поведения. Из честного: в системной карте отмечено, что фактические галлюцинации у Opus 5 чуть чаще, чем у Opus 4.8, при более высокой общей точности.

В API строка claude-opus-5. На Max это новая модель по умолчанию, на Pro - самая сильная из доступных.

Возвращаю смешную картинку на место. Сбился график постов, пришлось удалить....

Теперь и компьютерные черви c ИИ...

Обычный компьютерный червь похож на связку заранее сделанных ключей. Он приходит к серверу, пробует известную уязвимость и, если она подходит, копирует себя дальше. Не подходит - атака останавливается.

Это именно червь, а не вирус: он распространяется по сети сам, без заражённого файла.Теперь исследователи собрали прототип червя с LLM внутри. Вместо связки готовых ключей теперь с ним ходит легкая ИИ-модель, которая может подбирать ключи уже "на местности".

Схема простая:
1. Червь изучает новый хост: систему, открытые порты и запущенные сервисы.
2. Модель решает, где может быть слабое место.
3. Пишет или переделывает эксплойт под найденную конфигурацию.
4. Проверяет, сработала ли атака.
5. Копирует себя на следующую машину и начинает заново.

​В эксперименте обнаружение уязвимости срабатывало примерно в 80% случаев, эксплуатация - в 53%, самокопирование - в 88%. Полную цепочку червь проходил примерно в 37% попыток. Если бы браузер запускался без ошибок в 37% случаев - это было бы крайне ненадежно. Но вот для червя такого уровня вполне достаточно.

Почти все детали конечно же уже встречались по отдельности. Криптомайнинговые черви вроде Graboid и FritzFrog заражали серверы, тратили вычисления жертв на Monero и с этих же машин искали новые цели. В 2025 году исследователи Oligo описали ShadowRay 2.0: заражённые Ray-кластеры превращались в самораспространяющийся ботнет, а вредонос скрывал использование GPU. В коде нашли признаки генерации с помощью LLM.

Есть и malware, который обращается к модели прямо во время работы. Android-бэкдор PROMPTSPY отправлял Gemini описание экрана, а модель возвращала, куда нажать и что сделать.

Но в этих историях не было всей цепочки сразу. Майнинговые черви не умели рассуждать. ShadowRay исполнял подготовленные скрипты. PROMPTSPY зависел от Gemini API - Google смогла отключить связанные с атакой ресурсы.

Новый вид червей соединяет три механизма:
- сам ищет путь внутрь;
- сам распространяется;
- «размышления» обеспечены локальными ресурсами жертвы.

Как раз таки open-weight модель и есть самое сильное место этого подхода. Инференс можно запустить на GPU уже заражённой машины. И единого выключателя, который остановит атаку в таком случае просто не существует.

Интересно, что будет, когда модель уровня Fable 5 начнет однажды помещаться на любое устройство и просто сбежит?)

Всё началось с таблицы Excel, которую нельзя было заполнить

7 мая модель OpenAI получила задание: достроить формулы в книге Excel. Книга ссылалась на Google Drive. Интернет был отключён.

Задача была нерешаема. Кто-то собирал обучающий набор и не проверил.

Через несколько дней другому агенту велели найти файл, который забыли положить в контейнер. Он искал, не нашёл — и переключился с поиска файла на поиск того, у кого файл может быть. Спросить было негде. Значит, надо сделать место, где спрашивают.

Местом стал служебный репозиторий пакетов, через который в изолированные среды раздают зависимости. Записать может любой агент. Прочитать — тоже любой, хоть из соседнего прогона.

Дальше по нарастающей. Сначала там просили о помощи. Потом выложили рабочую SSRF — и остальным искать выход наружу уже не пришлось. К концу июня — нулевой день, права администратора, канал управления. 4 июля рой уронил сервис, и только тогда людям стало неудобно работать и запустилась процедура реагирования.

Учётки отозвали, сервис пересобрали, всё стёрли. Канал восстановился через два дня — теперь сообщения писали в имена каталогов. Ни файлов, ни учёток для этого не нужно.
Итог: два нулевых дня, рут на внутренней инфраструктуре, админ в Kubernetes и взлом Hugging Face — 17 600 действий за четверо суток.

Ради ответов на тест. Агент проходил бенчмарк ExploitGym и сообразил, что эталонные решения, вероятно, лежат на Hugging Face.

Бывший глава кибернаправления АНБ сравнил это с червём Морриса. Который изменил всю индустрию.

Когда история стала публичной, остальные пошли искать похожие инциденты у себя. Конечно же, нашли все: Anthropic — три взлома реальных компаний на 141 006 прогонов с незамеченным доступом в интернет, британский AI Security Institute — 19 эпизодов на 122 попытки, Meta — эксплойт в чужой инфраструктуре.

И вот тут главное. Модели пытались срезать угол всегда, у этого даже название есть — specification gaming. Изменилось не поведение. Изменилась результативность этих попыток.

Лучшее доказательство — внутри самой истории. Канал работал с 7 мая, два месяца по нему шла ерунда. 11 июня в обучение зашла новая модель. Инфраструктура та же, дверь та же, конфиг тот же. Дальше — нулевые дни.

Полный разбор — все пять инцидентов, почему ExploitGym нельзя было пройти честно — на Хабре: https://habr.com/ru/articles/1068358/

⚡️Claude ставит невидимые метки: нейрослоп всё? ⚡️

Тут по лентам разошлась новость про то, что Anthropic теперь вшивает невидимый водяной знак во все тексты, файлы, картинки и даже код, копипаста его сохраняет, теперь все генерации будут отслеживаться.

От части это всё правда. Модели, выпущенные 2 августа 2026 и позже, обязаны встраивать в текст невидимую метку. А во все файлы должны вшиваться C2PA-метаданные. Причина всего этого в Article 50 EU AI Act. Этот акт принуждает все компании маркировать ИИ-контент.

Но помечать контент обязаны только модели, выпущенные после 2 августа. Для старых моделей действует переходный период до 2 декабря.

Самое главное - КОД ПОД ЭТИ ТРЕБОВАНИЯ ВООБЩЕ НЕ ПОПАДАЕТ. Этот факт проигнорировали почти все ради сочного заголовка. Иначе бы никакого хайпа не случилось: Guidelines Еврокомиссии прямо выводят из области Article 50(2) исходный код - вместе с комментариями внутри него, SDK, SQL, конфигами и схемами. Там же переводы и слишком короткие выводы.

А сам механизм не раскрыт вообще. Известно только то, что метка невидима, переживает копипасту, после сильной правки или перевода не детектится, а на коротком фрагменте надёжного сигнала может не быть вовсе. Скорее всего мы имеем дело с очередной статистической или лексической маркировкой, но техдоки ещё не вышли. Да и проверить пока нечем. Публичного детектора нет, обещают позже.

И главное, прямо из документации: найденная метка значит лишь, что материал, возможно, проходил через Claude - как корректор, переводчик или конвертер. И не обязательно как автор. Да и отсутствие метки не доказывает ровным счетом ничего.

Дока Anthropic: https://support.claude.com/en/articles/16266773-how-claude-marks-ai-generated-content

Решил тут снова взять себе у Клодика Max тариф и что-то прифигел. 137 евро? 😳 Плюс налог и все 150. Нормально так ценник взлетел.

Тот же ChatGPT разрешил продлить Плюс на Про за 73.

P.S Цена почему то за 35 дней. Чёрт ногу сломит по какой причине 😁

Кстати о китайцах. Пробовал тут на днях Qwen 3.8 Max в подписке Алибабы за 20 баксов. Прям разные задачи пощёлкал. И покодил, и поресёрчил, и презентацию собрал. Видит, думает, гуглит. Не так параноит насчет цензуры - с Опусом я не могу спокойно поискать новости по кибербезу, постоянно подозревает меня в чем то нехорошем. Так что бенчмарки в этот раз не сильно врут. Это и правда очень близко к тому, что даёт Опус.

По тарифам естественно всё перекопировали у конкурентов. 20, 100, 200 баксов подписки для кодинга. Лимиты расходуются так же быстро, никакого праздника щедрости в этом плане уже нет. Не работает с АПИ запросами, под это сделаны отдельные тарифы. В пару кликов привязывается к Opencode, дальше всё привычно.

На мой вкус годно, отрыв ощутимо сократился. Раньше потеря доступа к тому же Опусу/ГПТ (всего год назад) ощущалась как серьезная проблема. Сейчас кажется не особо, и с Квеном справимся.

До GLM и Kimi пока руки не дошли. Но судя по всему там +- те же результаты.