SpacexAI выпустила Grok 4.5

xAI выпустила Grok 4.5 — новую версию флагманской нейросети, доступную в Cursor на всех тарифах и по API за $2 за миллион входных токенов. Бенчмарков пока нет, но модель в 4,2 раза экономнее по токенам на SWE Bench Pro и обучена на данных Cursor, что делает её сильным инструментом для разработки приложений.

➡️ Читайте на сайте: https://aff.top/blog/spacexai-vypustila-grok-4-5

🧠 Ещё больше инсайтов → в канале AFF.top

ChatGPT ads внедрил функцию автосоздания креативов

OpenAI добавила в ChatGPT Ads автогенерацию креативов: вставляешь ссылку на сайт, ИИ анализирует лендинг и создаёт релевантный креатив. По ощущениям, такие материалы должны легко проходить модерацию, но пока неясно, насколько они поддаются правкам. Источник интересен ещё и тем, что вайт можно сгенерировать тут же через ChatGPT.

➡️ Читайте на сайте: https://aff.top/blog/chatgpt-ads-vnedril-funkciiu-avtosozdaniia-kreativov

🧠 Ещё больше инсайтов → в канале AFF.top

В Google search console теперь можно добавлять соцсети

Google добавил в Search Console поддержку аккаунтов соцсетей: теперь можно отслеживать ключевые запросы, источники и географию переходов, показы и клики по ссылкам. Функция подключается там же, где и сайты, доступны четыре соцсети на выбор. Rollout постепенный — доступ получают не все сразу.

➡️ Читайте на сайте: https://aff.top/blog/v-google-search-console-teper-mozhno-dobavliat-socseti

🧠 Ещё больше инсайтов → в канале AFF.top

Google стал помечать креативы, созданные ИИ

Google объявил, что начнёт помечать рекламные креативы, созданные нейросетями. Причина — ИИ-баннеры и видео стали слишком похожи на настоящие.

Формат и заметность маркировки будут зависеть от законов конкретного региона: где-то предупреждение появится прямо на креативе, где-то — в его информации.

Что это значит для арбитражников и когда правила …

➡️ Читайте на сайте: https://aff.top/blog/google-stal-pomechat-kreativy-sozdannye-ii

🧠 Ещё больше инсайтов → в канале AFF.top

Компания Meta выпустила Muse Spark 1.1

Meta выпустила Muse Spark 1.1 почти одновременно с новой ChatGPT-5.6. Это мультимодальный агент, который сам дробит задачу на подзадачи и распределяет их между субагентами.

Стоимость тоже заметно ниже топовых западных моделей: $1.25 за миллион входных токенов и $4.25 за миллион выходных.

Но главный вопрос — насколько она реально сильна на фоне к…

➡️ Читайте на сайте: https://aff.top/blog/kompaniia-meta-vypustila-muse-spark-1-1

🧠 Ещё больше инсайтов → в канале AFF.top

Аномалия трафика в распределённой системе часто выглядит как «обычный всплеск» до первого инцидента

В распределённых сервисах опасен не сам рост запросов, а его форма: резкие перекосы по регионам, неравномерные retries, лавинообразные таймауты и повторные доставки. На графике RPS это может быть тихий рост, а на уровне backend — уже очередь, деградация кэша и каскадная ошибка.

Полезно смотреть не только на суммарный трафик, но и на распределения:
— p95/p99 latency по каждому hop;
— долю 4xx/5xx и соотношение successful retries;
— дисперсию по ключам, tenant’ам, ASN, User-Agent;
— разницу между ingress, service mesh и фактической нагрузкой на storage.

Ложные срабатывания обычно рождаются там, где метрики не согласованы между собой. Если alert строится только на абсолютном объёме, он не видит медленный DDoS, bot-активность с низким RPS или утечку токенов, которая проявляется как «редкие, но системные» запросы. Для корреляции нужны baseline по часу суток, сезонности и типу маршрута, а не усреднённая линия по всей платформе.

Минимальный контур защиты: нормализуйте логи на уровне edge, вводите лимиты на burst и concurrency, маркируйте внутренний и внешний трафик, отдельно анализируйте retries и idempotency failures. Проверяйте логи, истина всегда скрыта в них. Аномалия почти всегда заметна раньше в связке метрик, чем в одном красивом графике.

CMS и CRM ломают не «хакеры», а слабая дисциплина доступа и обновлений

Популярные CMS и маркетинговые CRM почти всегда страдают от одинакового набора проблем: избыточные права у редакторов, публичные админ-панели, устаревшие плагины, небезопасные webhooks и токены интеграций, живущие дольше самого сервиса. Когда такой контур связан с рекламными кабинетами, email-рассылками и формами захвата лидов, компрометация одной точки быстро превращается в захват всей воронки.

Типовой вектор атаки выглядит скучно: подбор пароля, reuse учётки, увод сессии через XSS, загрузка вредоносного плагина, подмена webhook или подбрасывание JS в форму. Дальше атакующий меняет реквизиты выплат, внедряет редиректы, выкачивает базы лидов и тихо закрепляется через API-ключи. Проверяйте логи, истина всегда скрыта в них.

Минимизация риска строится не на «защите по умолчанию», а на архитектуре: — отдельные роли для контент-редактора, маркетолога и администратора; — MFA для всех привилегированных аккаунтов; — allowlist для админки и API; — ротация токенов и секретов после любого инцидента; — запрет на установку плагинов без ревью кода; — CSP, SRI и фильтрация пользовательского ввода в формах и шаблонах.

Если CMS или CRM участвует в генерации выручки, считайте её частью периметра, а не «вспомогательным инструментом». Безопасность — это не состояние, а непрерывный процесс мониторинга и патчинга.

CMS и CRM ломают не «по кнопке», а через типовые ошибки интеграций и прав доступа

У популярных CMS и маркетинговых CRM одинаковая зона риска: плагины, вебхуки, API-ключи, шаблоны писем и админские учётки. Атакующий редко идёт в лоб — он ищет слабую связку между формой на сайте, CRM-событием и внешним сервисом автоматизации.

Основные векторы повторяются:
— уязвимые или заброшенные расширения;
— SSRF и инъекции через поля импорта, предпросмотра и парсинга;
— чрезмерные привилегии у сервисных аккаунтов;
— доступ к админке без MFA и без сегментации по IP;
— утечки токенов в логах, фронтенд-скриптах и CI/CD-секретах.

Минимизация риска начинается не с «безопасной CMS», а с инвентаризации поверхности атаки. Всё, что исполняет код или принимает вебхук, должно быть отдельно учтено. Дальше — принцип наименьших привилегий: у CRM-бота не должно быть прав на массовый экспорт, удаление и изменение ролей; у CMS-плагина — доступа шире, чем требует его функция. Проверяйте, кто может менять шаблоны, редиректы, webhook URL и SMTP-настройки.

Отдельно контролируйте цепочку обновлений и аудит событий: изменения в плагинах, новых интеграциях, токенах и ролях должны попадать в журнал и в алертинг. Если в системе есть «удобный импорт», «автозаполнение» или «умная синхронизация», считайте это дополнительным входом в периметр. Проверяйте логи, истина всегда скрыта в них.

Российские букмекеры увеличили закуп трафика с мобильных приложений

Российские букмекеры в 1 квартале 2026 года заметно нарастили закупку трафика из мобильных приложений. На фоне ужесточения регулирования они смещают бюджеты в новые каналы, где ещё есть живой трафик.

По данным UMG, доля in-app-рекламы выросла с 3-4% до 5-6% при объёме рынка около 10 млрд рублей. Но это может быть только начало — в блоге разбираем…

➡️ Читайте на сайте: https://aff.top/blog/rossiiskie-bukmekery-uvelichili-zakup-trafika-s-mobilnykh-prilozhenii

🧠 Ещё больше инсайтов → в канале AFF.top

Mia Khalifa стала амбпссадором 1win

Mia Khalifa снова засветилась рядом с 1win: в Instagram она показала цепочку с логотипом бренда и статус «VIP 1win».

Параллельно всплыла история с ее ставкой на Испанию на ЧМ — по данным поста, выигрыш мог составить 200к$.

Официального подтверждения амбассадорства пока нет, но для арбитражников это уже повод для новых креативов. Что именно здесь…

➡️ Читайте на сайте: https://aff.top/blog/mia-khalifa-stala-ambpssadorom-1win

🧠 Ещё больше инсайтов → в канале AFF.top

Kubernetes ломают не «снаружи», а через забытые права и открытый control plane

Атака на кластер почти всегда идет по двум направлениям: внешний доступ к API и внутреннее злоупотребление правами в namespace. Если API-server доступен шире, чем нужно, а audit-log не включен, инцидент обнаруживается уже по факту создания подов с чужими образами или чтения секретов.

Базовый минимум защиты:
— ограничить доступ к kube-apiserver через allowlist, VPN или private endpoint;
— отключить anonymous-auth, запретить лишние ClusterRoleBinding;
— включить audit logging и алерты на создание новых ServiceAccount, RoleBinding, DaemonSet;
— применять Pod Security Standards и сетевые политики по умолчанию deny.

Внутри кластера опаснее всего чрезмерные права сервисных аккаунтов. Любой pod с доступом к token'у, secrets или mount'у Docker socket превращается в точку эскалации. Отдельно проверяйте, не может ли workload читать конфиги соседних приложений, ходить в metadata API облака или запускать privileged-контейнеры.

Снаружи чаще атакуют через слабую сегментацию ingress и ошибочную публикацию dashboard, metrics, registry и internal service. Эти интерфейсы должны жить за аутентификацией, mTLS и строгими сетевыми правилами. Проверяйте логи, истина всегда скрыта в них.

Короткий домен Telegram перестал работать

Telegram лишился домена t.me: он разделегирован и больше не работает на уровне регистратора. Платформа срочно переезжает на telegram.me, а владельцам крупных каналов стоит обновить публичные ссылки. Сроки восстановления неизвестны, и есть риск, что t.me не вернётся вовсе на фоне давления на Telegram.

➡️ Читайте на сайте: https://aff.top/blog/korotkii-domen-telegram-perestal-rabotat

🧠 Ещё больше инсайтов → в канале AFF.top

Youtube тестирует поиск с AI

YouTube начал тестировать Ask YouTube — поиск с ИИ, где можно задавать вопросы обычным языком и получать не список ссылок, а готовую подборку видео и фрагментов.

Фича уже доступна в США и работает на сложные запросы: если нужно, ИИ уточняет вопрос и подсказывает следующий шаг.

Что это значит для поиска на YouTube и когда новинка дойдёт до других…

➡️ Читайте на сайте: https://aff.top/blog/youtube-testiruet-poisk-s-ai

🧠 Ещё больше инсайтов → в канале AFF.top

CMS и CRM ломают не «в лоб»: уязвимости почти всегда в интеграциях и правах

У популярных CMS и маркетинговых CRM слабое место редко находится в ядре. Чаще его создают подключенные плагины, вебхуки, формы, трекинг-скрипты и сервисные аккаунты с избыточными правами. Типовой вектор атаки: компрометация одного компонента, затем доступ к базе лидов, токенам API и почтовой инфраструктуре.

Проверяйте четыре зоны:
— плагины и расширения с доступом к админке и БД;
— API-ключи в конфигурациях, переменных окружения и CI/CD;
— вебхуки без подписи и проверки источника;
— роли, где оператор может экспортировать данные, менять шаблоны и создавать новых пользователей.

Отдельный риск — связка CMS с CRM через доверительные интеграции. Если веб-форма пишет лид прямо в CRM, а CRM умеет запускать рассылку или менять сегменты, одна подмена параметра превращается в массовую утечку или фишинговую кампанию внутри вашей же инфраструктуры. Здесь помогают принцип наименьших привилегий, раздельные сервисные учетные записи и жесткая валидация входящих событий.

Минимальный набор защиты: отключать неиспользуемые плагины, ротация токенов, подпись вебхуков, MFA для админов, журналирование экспорта и изменений ролей, отдельный контур для тестирования интеграций. Проверяйте логи, истина всегда скрыта в них.

Z.ai анонсировала новую GLM-5.5

Z.ai готовит релиз флагманской GLM-5.5: модель обещают показать в августе 2026 года.

Главная интрига — рост до 1 трлн параметров при том же контекстном окне в 1 млн токенов. Новинка снова будет заточена под код и агентные задачи.

Почему версия сразу 5.5, без 5.3 и 5.4, и что это может означать для рынка — в блоге.

➡️ Читайте на сайте: https://aff.top/blog/z-ai-anonsirovala-novuiu-glm-5-5

🧠 Ещё больше инсайтов → в канале AFF.top

Telegram запустил собственный сервер для ботов

Telegram запустил собственный сервер для ботов и мани-приложений: теперь backend можно размещать прямо внутри инфраструктуры мессенджера.

Сервер работает на JavaScript/TypeScript, через вебхуки, и позволяет подключать SQL-базу для сбора контактов без посредников.

Пока неясны цена и ограничения — что именно уже можно тестировать, а где скрыт подв…

➡️ Читайте на сайте: https://aff.top/blog/telegram-zapustil-sobstvennyi-server-dlia-botov

🧠 Ещё больше инсайтов → в канале AFF.top

API-интеграции между маркетинговыми сервисами ломают не трафик, а границы доверия

Маркетинговый стек обычно связан десятками API: CRM, CDP, трекинг, email, calltracking, BI. Риск возникает там, где один токен получает слишком широкий доступ и начинает жить дольше, чем должен. Уязвимость редко выглядит как взлом; чаще это утечка ключа из CI, webhook без проверки подписи или сервисный аккаунт с правами на все сущности.

Минимальный набор защиты выглядит так:
— отдельный токен на каждую интеграцию и каждую среду;
— scoped access: только нужные методы и объекты;
— подпись webhook-запросов и проверка timestamp/replay;
— ротация секретов без ручного простоя;
— журналирование не только ошибок, но и успешных вызовов;
— allowlist по IP или mTLS, если архитектура это позволяет.

Особое внимание — событиям, которые создают цепочку действий: лид, сегмент, триггер, отправка. Если один endpoint можно вызвать повторно, атакующий получает дублирование лидов, фальшивые конверсии или несанкционированную рассылку. Защита строится на идемпотентности, nonce, ограничении частоты и серверной валидации бизнес-условий, а не только формата JSON.

Проверяйте логи, истина всегда скрыта в них. Если в интеграции нет наблюдаемости, вы узнаете о компрометации по аномальному биллингу, а не по первому предупреждению. Безопасность — это не состояние, а непрерывный процесс мониторинга и патчинга.

Google картинки станут конкурентом Pinterest

Google Картинки начали превращать в полноценную платформу с персональной лентой по прошлым запросам — по сути, в аналог Pinterest.

Во вкладке For you уже тестируют подборки, а ещё обещают коллекции и генерацию изображений во встроенной Nano Banana.

Как это будет работать и когда новинка дойдёт до других стран — в блоге.

➡️ Читайте на сайте: https://aff.top/blog/google-kartinki-stanut-konkurentom-pinterest

🧠 Ещё больше инсайтов → в канале AFF.top

Сканирование контейнерных образов без автоматизации почти всегда оставляет CVE в проде

Образ — не артефакт сборки, а точка внедрения уязвимостей в весь контур. Если сканировать его вручную, вы ловите только то, что успели заметить; всё остальное уходит в registry, а затем в кластер.

Нормальная схема выглядит так:
— триггер на push в registry;
— сканер в CI/CD и повторная проверка в registry;
— политика блокировки, если найден критичный/высокий риск;
— отдельный whitelist для осознанных исключений с сроком жизни.

Ключевая ошибка — сканировать только итоговый image tag. Слои base image, transient dependencies и пакеты, подтянутые на этапе build, должны проверяться отдельно. Иначе вы получите “чистый” отчёт при фактическом наличии уязвимости в одном из промежуточных слоёв. Проверяйте логи, истина всегда скрыта в них.

Не менее важен контроль ложноположительных срабатываний: без нормализации данных по пакету, версии и диапазону фиксации автоматизация быстро превращается в шумогенератор. Это убивает доверие к процессу и провоцирует ручные обходы защиты.

Держите сканирование ближе к точке сборки и не выпускайте образ без policy gate; периметр не заканчивается на фаерволе, он заканчивается на последнем микросервисе.

Россияне не смогут покупать стейблкоины

Россиянам могут закрыть доступ к покупке стейблкоинов: в новой версии закона их приравняли к иностранным активам.

Купить такие токены смогут только квалифицированные инвесторы — например, с активами от 24 млн рублей или доходом от 12 млн в год.

Что это значит для обычных пользователей и когда правило заработает — в блоге.

➡️ Читайте на сайте: https://aff.top/blog/rossiiane-ne-smogut-pokupat-steiblkoiny

🧠 Ещё больше инсайтов → в канале AFF.top