Anthropic значимо обновили MCP

Апдейт назвали крупнейшим с момента запуска. Сейчас расскажем, что изменилось.

Раньше MCP работал как двусторонняя связь с сохранением состояния сессии. То есть при подключении сервер открывал долгоживущее соединение, и весь контекст между запросами жил в оперативке одного запущенного процесса. Это требовало, чтобы был постоянно работающий инстанс, который висит и ждет, существуя все время, пока идет сессия.

Теперь же MCP стал stateless, то есть теперь каждый запрос самодостаточный. Клиент сам присылает весь нужный контекст в запросе (ну или он лежит во внешнем хранилище), а сервер просто получил запрос, обработал, отдал ответ и все забыл.

Все Serverless-платформы (AWS Lambda, Cloudflare Workers и тд) работают именно так. До этой версии MCP нельзя было нормально запустить на такой инфраструктуре, а теперь можно: сервер разработчика может состоять просто из функции, которая просыпается на запрос и засыпает.

В двух словах: MCP только что стали намного дешевле + их стало гораздо легче масштабировать. Практически это значит, что порог входа для создания MCP-сервера резко упал, и мы можем ожидать взрывного роста числа коннекторов для самых разных приложений, даже самых небольших.

https://claude.com/blog/bringing-mcp-2026-07-28-to-claude

Кибербеза всё

Наверняка уже слышали про выход агента из изолированной среды и взлом им Hugging Face (крупнейшего репозитория со всеми открытыми моделями и датасетами). Вчера по нему вышел апдейт, давайте посмотрим, что вообще произошло.

OpenAI тестировала свои модели на бенчмарке ExploitGym, специальном тесте на 800+ заданий на поиск и эксплуатацию уязвимостей.

Делал всё это агент на тестовых серверах компании в автономном режиме. Во время прохождения тестов агент решил, что логично было бы найти сразу ответы. И начал искать.

9 июля агент начал искать способ выйти из изолированной среды. Нашёл zero day уязвимость в прокси-сервере и начал перемещаться между узлами, пока не нашёл машину с доступом в интернет.

По мере поиска выхода агент оставлял инструкции в среде, чтобы последующие запуски учитывали предыдущие знания о ней.

11 июля агент начал атаковать сервера Hugging Face, чтобы скачать датасет с ответами.

За два дня атаки он смог загрузить вредоносный датасет и смог удалённо запускать код на одном из worker серверов. Повысил себе привелегии, собрал креды и начал перемещаться по узлам.

Ответы агент нашёл, взяв их напрямую из продуктовой базы данных (obtain test solutions directly from Hugging Face’s production database).

16 июля HF сообщила об инциденте, но прикола не поняла. Проанализировали логи и увидели более 17 тысяч связанных с атакой записей в нём. Количество само по себе мало о чем говорит, но так они смогли установить интервал атаки и какие именно учётные записи утекли.

Только ещё через два дня, 18 июля, сотрудники OpenAI поняли, что это сделали они и начали анализировать логи побега.

20 июля связались с HF и 21 июля написали об этом у себя.

То есть что мы имеем? Модель несколько дней атаковала чужой сервер, а разработчики этого не заметили. Атакуемый сервер не смог использовать самые сильные модели на рынке для противостояния и анализа, так как эти модели закрытые и пропитаны safety (отклоняют любые запросы по части кибербезопасности), поэтому для анализа использовали GLM 5.2.

То, что авторы не заметили взлом, который длился два дня, это, конечно, позор. Уверен, что будут лучше смотреть.

А вот то, что обороняемая сторона с публичными серверами и миллионами учёток не в силах противостоять такому натиску, это тревожно. CEO Hugging Face в связи с этим попросил все доступные трейсы инцидента со стороны OpenAI и в довесок $100M на разработку моделей для защиты. Следим за развитием событий.

Итак, я столкнулся у клиента с первой 100% автоматической хакерской атакой от ИИ-бота. Ущерб был минимален только лишь потому, что на целевых счетах для атаки находились незначительные суммы, но ИИ-бот их опустошил. Инцидент в деталях закрыт NDA, но хочу поделиться наблюдениями, почему это выглядит откровенно пугающе и почему только дурак может считать, что ИИ как хакер не представляет серьёзнейшей угрозы.

Общая схема атаки.

1. На самом деле целевой контур был хорошо защищён firewall. По логам видно, что сначала ИИ-бот проверял уязвимости и изучал настройки. Не найдя уязвимостей, ИИ построил гипотезы чисто социального поведения администраторов и что очень вероятны определённые ошибки. После этого бот написал сканер, который периодически постукивал по портам и проверял, нет ли таких ошибок. Если вы видите следы ИИ-сканирования, то самое время паниковать и принимать меры, а не ждать последствий.

2. Как только администратор при реконфигурации системы сделал ожидаемую ИИ ошибку, сработал его сканер, после чего бот на LLM взял «управление на себя». Он быстро изучил, какие теперь уязвимости работают, и проник за firewall.

3. Следующее важное поведение ИИ, которое его кардинально отличает от поведения вирусов. Первое, что сделал бот, — он стал активно читать документацию по проектам и рыться в личных файлах администратора, т.к. верно построил гипотезы, что там могут быть сведения для дальнейшей эскалации доступа. Очень важный аспект: бот построил гипотезу, что ИИ-разработчики у клиента пишут свою документацию в Markdown и сама документация может содержать описание нужных уязвимостей дальше. Так и вышло: администратор держал всё важное в личных файлах зашифрованным. Однако ИИ-боты, которые вели разработку приложений через Markdown-документацию на код, раскрыли для ИИ-хакера уязвимости.

4. ИИ-бот быстро пишет на Python скрипт по Markdown-документации и получает доступ к финансовому счёту через backdoors. Далее счёт опустошается в ноль, после чего ИИ-бот прекращает атаку, хотя не оставил ли он каких-то «закладок» — вопрос, и теперь нужно трудоёмкое сканирование. Тут скорее спасли внутренние firewalls уже внутри компании, их бот не смог преодолеть.

Какие тут важные наблюдения по ИИ-ботам-хакерам

• В отличие от вирусов ИИ строит свои атаки с большим акцентом на «социальную инженерию» и не на уровне наивного фишинга, а на уровне предположений, где даже кратковременной халтурой боту могут приоткрыть дверь.

• Не стоит думать, что вам дадут даже 1 день закрыть дырку. ИИ-бот ждёт вашей ошибки через зондирующий скрипт на таймере, его время реакции — не больше 10 минут, а то почти мгновенное, если он какой хук может сделать.

• Markdown-документация ИИ-ботов-разработчиков представляет катастрофическую проблему безопасности, т.к. никто нормально не смотрел на неё под углом того, что будет, если она окажется в руках ИИ-бота-хакера. В реальности из самого даже исходного кода не следовала уязвимость, но вот из Markdown-документации уже следовала. Необходимы специальные субагенты контроля документации на код, которые проверяют, не представляет ли она угрозы безопасности, если окажется в чужих руках. Ещё лучше не иметь документацию от кода отдельно, а встраивать её в код.

• Старайтесь на счетах или активах, которые используются для автоматических операций, иметь низкие остатки и применяйте разные блокирующие валидаторы на подозрительные операции. Всегда исходите из гипотезы, что ИИ вас взломал и пытается уже снимать деньги.

https://www.theguardian.com/technology/2026/jul/27/startup-hacked-by-rogue-openai-agent-hugging-face-artificial-intelligence

🤖 Вышел новый локальный ИИ-ассистент Waku Agent, в котором по дефолту уже встроены четыре самые важные фичи — память, циклы, обвязки и развитие своих же навыков.

Вся система работает как один цикл:

получает сообщение → думает → запускает агента, инструменты и MCP → оценивает результат → сохраняет в память → развивает свои навыки.

→ Запускается полностью на ноутбуке.
→ Работает через Telegram, веб-интерфейс или терминал.
→ Подключается к календарю, почте, заметкам, интернету и многим другим тулзам.
→ Цикл состоит из 95 строк на Python, а ход работы агента можно всегда посмотреть.
→ Вся память хранится в одном файле SQLite.

Это лучший способ для новичков увидеть, как агенты устроены под капотом, и построить на этом фундаменте своего личного ассистента.

Код лежит на GitHub, а пошаговый гайд — тут.

@notboring_tech