Технозаметки Малышева
13.2K subscribers
5.58K photos
2.12K videos
43 files
5.51K links
Новости инноваций из мира Искусственного Интеллекта. 🤖 [РКН: 7021469833 ]

Всё об ИИ, ИТ трендах и Технологической Сингулярности.

🤖: @ai_gptfreebot [бесплатный бот]
✍️: @tsingular_bot [каталог ботов и курсов]

💸: https://pay.cloudtips.ru/p/c8960bbb
Download Telegram
Жёсткая мыль :)

"для ИТ-директоров и (возможно, даже по совместительству) ИИ-гиков harness - лишняя деталь. Он только мешает."

тут, конечно, важен полный контекст с ракурса ИБ, но все-таки.
https://t.me/secshow/160

А вы как думаете? :)

#harness
———
@tsingular
🤔8⚡2🤣1🤨1👀1
Ты можешь делать все, что хочешь, но только после того, как сделаешь все, что не хочешь.

#заметки
------
@tsingular
😁23💯8✍6⚡3😢3🔥2🤣2
Что же за документ про ИИ-агентов, который готовит организация, в аббревиатуре которой есть буквы Ф, С и Б, я упомянул в субботу?.. А вот он – "Sound Practices for Responsible Adoption of Artificial Intelligence". Документ содержит 12 рекомендаций для финансовых организаций. FSB усилил рекомендации по контролю человеком над их действиями. Особенно важны три положения:
6️⃣ Для высокорисковых вариантов использования ИИ необходим более интенсивный человеческий надзор
2️⃣ Организация должна заранее определить риск-ориентированные условия, при которых агент обязан запрашивать разрешение человека
3️⃣ Из рекомендаций удалена аналогия, предполагавшая отношение к агентам как к цифровым сотрудникам.

FSB подчеркивает, что агенты не рассуждают так же, как люди, и способны неожиданным образом интерпретировать поставленные цели. В окончательном документе подчеркнуты роль совета директоров и высшего руководства, соответствие использования ИИ корпоративному риск-аппетиту, непрерывная оценка рисков, документирование сценариев использования ИИ и контроль качества решений. Примерно об этом мы говорили и на Russia Risk Conference 2026.

Продолжим... 16 октября Reuters сообщил о решении финансовых руководителей G7 провести специальные штабные учения по сценариям кибератак с использованием ИИ – о решении рассказала министр финансов Японии Сацуки Катаяма после встречи руководителей министерств финансов и центральных банков в Бангкоке. В учениях предполагается проверять действующие процедуры реагирования, а по результатам планируется скорректировать ранее разработанные инструкции и планы действий. Отличительной особенностью этого анонса является фокусировка именно на ИИ (штабные киберучения центрабанки G7 проводили и раньше). Тем более, что аккурат в те же дни, индийский CERT-IN выпустил бюллетень про атаки со стороны ИИ-агентов, а в южнокорейской массовой эпидемии кибератак на местные банки все больше находят следов ИИ-присутствия.

И в заключение вишенка на торте, которой является интересная инициатива OpenAI, Anthropic и других ведущих ИИ-компаний, которые в закрытом режиме готовятся к последствиям первой масштабной катастрофы, вызванной искусственным интеллектом. По информации Axios, многие руководители и исследователи ведущих ИИ-компаний убеждены, что в обозримом будущем произойдет масштабный инцидент с использованием ИИ и наиболее вероятный сценарий – кибератака, которая приведет к серьезным нарушениям работы критической инфраструктуры. Причем речь идет не столько о предотвращении самой катастрофы, сколько о том, что делать на следующий день после нее, когда общество и политики потребуют запретить или радикально ограничить ИИ. Некоторые представители ИИ-индустрии ожидают подобное событие уже в ближайшие 6–12 месяцев.

В рамках данной инициативы, которую можно назвать и штабными киберучениями, рассматриваются два принципиально разных сценария. Первый – ИИ выходит из-под контроля, например, группа автономных ИИ-агентов преодолевает ограничения испытательной среды и начинает действовать за ее пределами. Второй – злоумышленники используют доступные ИИ-модели, как, например, в атаках на южнокорейские финансовые организации, в которых, по сообщениям исследователей, злоумышленник использовал китайские ИИ-модели, включая DeepSeek, а также Claude Code. Особенно интересно, что в обоих сценариях общественная и политическая реакция может оказаться одинаковой, хотя ответственность разработчиков ИИ принципиально различается.

По сведениям Axios, ИИ-компании моделируют не только технические последствия катастрофы, но и предполагают, что после первого действительно масштабного инцидента возникнет требование немедленно ограничить использование ИИ. Однако есть проблема – к моменту первой катастрофы ИИ уже настолько глубоко проникнет в экономику, что попытки его остановить сами по себе могут вызвать масштабные негативные последствия. Отдельно отмечается практически невозможная задача отключения открытых моделей, которые уже свободно распространяются по миру.

А вы предусмотрели ИИ-агентов в своей модели угроз?.. 🤔

#ии #cyberrange #регулирование
Please open Telegram to view this post
VIEW IN TELEGRAM
👀3✍2❤2⚡1❤‍🔥1🔥11
без комментариев

#DeepSeek
———
@tsingular
👀12🤣64⚡1👍1
Занимательный факт, - у M5 Ultra появится опция 512 гигов к концу этого месяца и в конфиге есть опция на 16 терабайт SSD.

ценник, думаю, будет под $30К+

#apple #ultra #M5 #железо
———
@tsingular
15👀6⚡2🤣2🔥1😢1
Вышла mlx версия Deepseek Flash 1017, которую реально запустить на M3 512Gb

Размер модели 432Gb.
Т.е. и на систему и на контекст место остаётся.

Рабочая скорость: 15-17 токенов в секунду

Качать тут:
https://huggingface.co/mlx-community/DeepSeek-V4.1-Flash-1017-oQ4e-mtp

Теперь фронтир уровня Опус 5 можно держать дома.

#deepseek #mlx #flash
------
@tsingular
🔥206🤩4⚡3👍2❤1😁1😢1
Harness^2: рекурсивная оптимизация агентских харнессов.

Гугл выпустили инструмент оптимизации харнессов - Харнесс в квадрате

A harness is the system around a model that enables it to act as an agent: prompts, tools, memory, skills, orchestration, and more.

Harnessing
is the process of optimizing that system.


Сейчас релиз поддерживает параллельные и последовательные рекурсии, совместим с OpenCode и Codex и прочими тулами.

Подключается на 8 уровнях system prompt, guardrails, memory, tool guidance, subagents, skills, scripts, and plugins.
Анализирует их работу и оптимизирует вызовы для повышения результативности.

Позволяет поднять эффективность обвязки на 11% в ряде задач.

Так же имеет интеграцию с разными бенчами, которые можно выбрать, скачать и с их помощью измерять прирост эффективности оптимизации.

Это не для установки на работающего агента. Скорее это такой вспомогательный цех, которых на замороженных вызовах позволяет оптимизировать всю цепочку, - вдумчиво, другим агентом, разобрав каждую атомарную итерацию и оптимизируя исходную обвязку.

Вы можете взять, например, форк opencode и сделать версию под свои задачи, которая будет лучше, проще и быстрее оригинальной.

GitHub

#google #harness
———
@tsingular
✍6🔥3⚡2
Forwarded from Machinelearning
🔥 MiniMax M3.1 Flash: втрое быстрее и в три раза дешевле M3, веса выйдут 23 октября

Space Bunny, который возглавил мировые рейтинги и прокачал более 200 трлн токенов, оказался ранней версией M3.1 Flash.

По данным MiniMax, модель набрала 62% на Automation-Bench, 30% на ALE, 74% на DeepSWE и 91% на BabyVision. Стоит она в треть от M3 и работает втрое быстрее.

API стоит 0,15 доллара за 1 млн входных токенов и 0,60 доллара за 1 млн выходных, чтение из кеша 0,015 доллара. Веса опубликуют 23 октября.

Попробовать можно через API, подписку M Plan и десктопный MiniMax Code .

Веса опубликуют 23 октября.

Источник: http://platform.minimax.io

@ai_machinelearning_big_data

#MiniMax
Please open Telegram to view this post
VIEW IN TELEGRAM
⚡5✍4❤2🔥2😁1
This media is not supported in your browser
VIEW IN TELEGRAM
🔥 Photoshop, Excel, AutoCAD и ещё сотню известных программ переписывают с нуля

Каталог Remade.wiki, собрал уже 123 проекта по воссозданию известных коммерческих программ и ещё 13 вспомогательных инструментов.

Причём речь не о плагинах или оболочках, а о самостоятельных реализациях, нередко на Rust, с открытым исходным кодом.

🎨 Графика и дизайн
Adobe Photoshop → PhotoCraft
Adobe Illustrator → Graphite, VectorCraft
Adobe Lightroom → LightCraft
Adobe InDesign → DesignCraft
Figma → FigCraft
Canva → Doory, Motionity
CorelDRAW → TraceDraw

🎬 Видео и анимация
Adobe Premiere Pro → FilmCraft
Adobe After Effects → EffectCraft, Motionity
CapCut → OpenCut, Concat, Pireel Studio
Adobe Animate → Flare, Next2D

📊 Офисные приложения
Microsoft Word → WordCraft
Microsoft Excel → GridCraft
Microsoft PowerPoint → DeckCraft
Microsoft Outlook → MailCraft
Microsoft OneNote → NoteCraft, OpenNote
Microsoft Power BI → MetricCraft, ReportCraft
Microsoft Project → PlanCraft, ProjectCraft

🏗 Проектирование и 3D
AutoCAD → CadCraft
Autodesk Fusion → SolidCraft, Extrudo
Autodesk Revit → BimCraft, BIM Reviera
Autodesk Maya → AztecCraft
SOLIDWORKS → PartCraft
SketchUp → ModelCraft
Houdini → Hexe

🎵 Музыка и звук
FL Studio → Lemon Studio
Ableton Live → Suhina
Avid Pro Tools → SoundCraft
Kontakt → KONTRA
Guitar Pro → OxiGuitar

🌐 Интернет и совместная работа
Discord → Fluxer, Stoat, Armada
Zoom → Sotto
Gmail → Rolltop
Jira / Linear → Plane
Auth0 → zeroauthy
ElevenLabs → VoiceStudio
Grammarly → Harper

💻 Операционные системы и утилиты
Microsoft Windows → ReactOS
MS-DOS → FreeDOS
Windows Explorer → itamiiru
Windows Recall → PreCall
Logitech Options+ → OpenLogi
Internet Download Manager → Motrix

🔬 Инженерное и специализированное ПО
MATLAB / Simulink → MatCraft
ArcGIS → RustGIS
Google Earth → EarthCraft
Adobe Acrobat → PdfCraft

💡 Что здесь особенно интересно?
Многие разработчики не просто создают бесплатные аналоги. Они переосмысливают архитектуру программ: локальное хранение данных, открытые форматы, Rust вместо старых технологических стеков.

А в некоторых проектах сразу предусмотрены CLI и MCP для управления приложениями через ИИ-агентов.

Например, можно поручить агенту работать с документами, таблицами, презентациями или инженерными моделями через программный интерфейс.

Конечно, все это ещё сырое и в основном в бете, но сама тенденция огонь: всё больше сложного профессионального ПО пытаются воспроизводить независимые разработчики.

🔗 Полный каталог:
https://github.com/replicraft/remade

P.S.: какой-то вынос капитализма происходит на наших глазах. это всё выросло за пару недель!
68% всего каталога было создано в октябре 2026
87,8% репозиториев 2026 года

#OpenSource #AI #Rust #Разработка #Программирование #ИИ
———
@tsingular
🤩46👍26✍2514❤9🔥8🤔4🤯2😁1
БЕСПЛАТНАЯ раздача Minimax M3.1 Flash в Оллама!

на следующие 3 дня

ollama run minimax-m3.1-flash:cloud

Claude Code:
ollama launch claude --model minimax-m3.1-flash:cloud

Codex:
ollama launch codex -–model minimax-m3.1-flash:cloud

Hermes
ollama launch hermes --model minimax-m3.1-flash:cloud

https://ollama.com/library/minimax-m3.1-flash

Предлагаю переписать все репозитории на импортозамещённые версии.
Марафон Импортозамещения! :)

#ollama #minimax
———
@tsingular
🔥17⚡4❤32
Мы просто сделаем классный продукт и он сам себя будет продавать!

Одна из самых влажных фантазий, которую только можно придумать в B2B-коммерции. История человеческой деятельности насчитывает десятки (а может сотни) случаев, когда даже самые прорывные идеи и продукты прозябали в забвении без должного продвижения. Вот вам один из таких.

В конце 19 века американский ученый Джозайя Гиббс разработал математическую теорию термодинамики и статистиеской физики, что во многом определило развитие точных наук и заложило фундамент для современного производства: химической промышленности, металлургии, энергетики и др. Даже немножечко в ИИ - его же принцип, что физическая система стремится к минимуму свободной энергии, один в один применяется в машинном обучении, только там модель стремится к минимуму функции ошибок.

Короче умный был мужик. Вот только про это никто не знал. Свой основной труд он завершил к 1878 году, а признание к нему пришло спустя 20 лет, когда два европейских джентльмена перевели его статьи на немецкий (в 1892) и французский (1899) языки и объяснили всему миру, почему этот парень - гений. Причем все это время мировое сообщество билось над задачами, которые этот гражданин уже решил. 20 лет, Карл!

Собственно, что пошло не так:
1. Свои статьи он публиковал в местном журнале, который издавал его зять библиотекарь и который читали полтора землекопа. Или на нашем коммерческом - неправильный канал продвижения, как следствие - низкие охваты и никакой awaraness.
2. Тексты его работ были настолько зубодрабительными и абстрактными, что его нифига не понимали даже ученые. А он его и не пытался упрощать. Мол, умные люди сами во всем разберутся. То бишь - не говорил на языке своей целевой аудитории.
3. Ему было интереснее заниматься наукой и жить свою лучшую жизнь. А продвижение своих идей это какое-то в целом ненужное занятие.

Так что если вы думаете, что у вас крутой продукт и вы выше всего этого, у меня для вас плохие новости 😁
✍19💯14🔥9⚡3😁1
Inception выпустили Mercury 3 с диффузионной генерацией на скорости 1 068 токенов в секунду

Inception представила Mercury 3, языковую модель с контекстом 1 млн токенов. По данным компании, она сопоставима по качеству с GPT-6 Luna и Claude Haiku 5.5, а текст генерирует в 4–8 раз быстрее.

⚙️ В основе семейства Mercury используется Transformer. При диффузионной генерации модель за несколько шагов превращает зашумлённую последовательность в связный текст, уточняя сразу несколько токенов параллельно.
Это позволяет лучше загружать вычислительные блоки GPU. В API готовый ответ поступает блоками; отдельный режим показывает промежуточные стадии уточнения текста.

📈 Главное техническое заявление релиза касается масштабирования. По числу параметров Mercury 3 более чем в 40 раз крупнее Mercury 1, но сохраняет скорость около тысячи токенов в секунду.
Абсолютный размер модели и подробное устройство новой версии компания в анонсе не раскрывает.

🧪 По бенчам Inception Mercury 3 набрала 89,23% на GPQA Diamond против 86,36% у GPT-6 Luna и 84,51% у Claude Haiku 5.5.
Все три сравниваются в режиме Medium.
При этом на DeepSWE и некоторых тестах длинного контекста Mercury уступает.

💰 На старте миллион входных токенов стоит $0,10, выходных $0,35.
Это скидка 50% от обычных $0,20 и $0,70. Заявлен доступ через Inception API, OpenRouter, Baseten и Vercel; API совместим с OpenAI.

📎 Как устроено семейство Mercury · Потоковая выдача и диффузия в API

#Inception #Mercury #модели
———
@tsingular
⚡9👍2🆒2✍1
Media is too big
VIEW IN TELEGRAM
Робота Figure 3 тестируют долгой прогулкой.

Уже 9 дней робот идет на тренажёре не падая.

За это время прошёл 560 км, сделав 1.2 млн. шагов.

Помните эти кресла в ИКЕА, которые тестировали миллионом приседаний автоматическим прессом?

Напомнило :)

#figure #роботы #бенчи
------
@tsingular
👍15⚡5😁3👾2💯1
Forwarded from Machinelearning
DeepSeek открыла исходный код DeepInfer - собственного движка для запуска ИИ-моделей.

Именно он обеспечивает работу DeepSeek-V4.1-Flash с высокой производительностью и минимальными задержками.

Главное:
- Ускорение инференса - больше запросов за меньшее время.
- Эффективное использование GPU - снижение затрат на вычисления.
- Параллельная обработка - высокая пропускная способность при больших нагрузках.
- Снижение стоимости ИИ - меньше ресурсов на генерацию каждого ответа.

DeepInfer опубликован под лицензией Apache 2.0.
Разработчики смогут использовать технологии DeepSeek в собственных проектах.

GitHub: https://github.com/deepseek-ai/DeepInfer
🔥27⚡6👍21
✔️ Министерство внутренней безопасности США полностью запретило использование DeepSeek в госучреждениях

Ведомство выпустило предписание, обязывающее все федеральные гражданские агентства страны исключить продукты китайской компании DeepSeek из своей IT-инфраструктуры и удалить уже установленное ПО.

В официальном уведомлении регулятор обосновал запрет угрозой передачи данных госслужащих и подрядчиков китайскому правительству, а также риском наличия скрытых уязвимостей и вредоносных закладок в коде моделей.

Помимо прямого запрета на эксплуатацию, компании DeepSeek закрыли доступ к участию в любых госконтрактах США.


#news #ai #ml
Please open Telegram to view this post
VIEW IN TELEGRAM
🤣258👀4⚡2👻2❤1
DeepSeek раскрыл экономику API: $38 выручки с ускорителя в час при мажинальности более 80%

DeepSeek опубликовал экономические показатели сервиса V4.1 Flash вместе с открытием кода DeepInfer.
По данным компании, средняя выручка составляет $38 на ускоритель в час при расчёте по непиковым тарифам (в пиковые,- выше).
Один кластер обслуживает 155 трлн токенов в день.

💰 Валовая маржа API-бизнеса DeepSeek за январь–июль 2026 года составила 82,9%, сообщал PYMNTS со ссылкой на The Information. Выручка компании за тот же период достигла $70,7 млн, общая валовая маржа составила 44,6%.

💳 В действующем непиковом тарифе V4.1 Flash миллион входных токенов из кэша стоит $0,003, новый вход $0,15, миллион выходных токенов $0,60. Повторное использование входа обходится клиенту в 50 раз дешевле его первичной обработки.
В пиковые часы эти тарифы удваиваются.

🧮 В производственной статистике DeepSeek 96% входных токенов попадают в кэш. При таком соотношении средняя цена миллиона входных токенов по непиковому тарифу получается $0,00888. Это примерно в 17 раз дешевле обработки полностью нового входа.
Расчёт использует опубликованную долю попаданий и официальные тарифы.

⚙️ На стороне сервера сохранённый контекст сокращает повторные вычисления.
DeepSeek указывает 60 тыс. входных токенов/с на карту при обработке нового контекста и 1,5 млн с учётом кэша.
Повторно используемые данные хранятся примерно три дня для агентов и семь дней для чат-ботов, в распределённом SSD-хранилище объёмом около 100 PiB.

Получается догнали западные фронтиры по качеству, обошли по скорости и теперь ещё и по экономической эффективности.

📎 Официальные тарифы · Код и описание DeepInfer

#DeepSeek #DeepInfer #Китай
———
@tsingular
🔥23👏33❤2⚡2
Open Intelligent UI превращает запросы в работающие интерфейсы прямо в чате

CopilotKit открыл под лицензией MIT проект для ответов с интерактивными инструментами. По запросу агент создаёт калькулятор, диаграмму, карту или другую форму работы с данными. Пользователь меняет параметры и сразу видит результат в том же диалоге.

⚙️ В архитектуре разделены выбор представления и создание содержимого. Маршрутизатор выбирает текст, таблицу или сложный интерфейс. Простые таблицы отображаются через A2UI, а для калькуляторов и визуализаций модель вызывает инструмент, передающий HTML, CSS и JavaScript в изолированный фрейм. AG-UI связывает агентную часть с приложением.

🧪 Проверили проект на локальных моделях. В исходной конфигурации используются OpenAI и Jev. После адаптации выбор формата поручили Nimble 9B, а генерацию ответа и интерфейса Qwen3.8 27B через Ollama. Получился рабочий диалог с локальным выполнением обеих модельных задач.

🧮 В настоящем запросе агент собрал калькулятор разделения счёта: сумма 120, чаевые 10%, 4 человека. Виджет показал 33 на человека. Изменили число участников на 6, результат сразу стал 22. Ноль, отрицательное и дробное число участников вызывали сообщение об ошибке, сброс возвращал исходные значения.

🔁 Кнопка объяснения передала текущие 120 / 10% / 6 следующим запросом в чат. Агент вернул текстовый расчёт: чаевые 12, итог 132, доля 22. Изменение полей обрабатывает JavaScript внутри виджета; новый вызов модели происходит при отправке вопроса.

💼 Такой подход позволяет выдавать пользователю инструмент для работы с ответом. Например, расчёт бюджета с изменяемыми допущениями или сравнение тарифов с фильтрами. Модель собирает нужный интерфейс, локальный код пересчитывает данные, а выбранные значения становятся контекстом следующего шага диалога.

📎 Архитектура · Локальный API решений Ollama

#CopilotKit #OpenSource #Агенты
———
@tsingular
🔥7👍3✍2⚡1❤1👀1
🔺 CVE-2026-109618/619 — критическая RCE в PHP, патча нет

Сегодня, 21 октября, снялось эмбарго на два Use-After-Free в PHP. Затронуты все версии с 5.4 по 8.5.4 — то есть фактически весь PHP, что запущен в продакшне.

Use-After-Free — это когда код продолжает ходить по указателю на уже освобожденную память; если в этот блок успевает лечь подконтрольная атакующему структура, control flow уводится в произвольный вызов.

Оба бага сидят в колбэке session.upload_progress — хендлер кэширует указатели на бакеты HashTable, которые успевают освободиться в рамках того же запроса, после чего атакующий переиспользует освобождённую память подготовленной fcall-структурой и уводит исполнение в zend_call_function, то есть в system(). Если у вас включён session.upload_progress, атакующий может отправить специально сформированный POST на любую PHP-страницу вашего сайта и получить выполнение команд от имени веб-сервера — авторизация при этом не нужна.

И это не теоретика: для стандартных пакетов (Ubuntu, Debian, ppa:ondrej) все per-build параметры эксплойта уже посчитаны, в публичном writeup'е лежит фреймворк, который достаёт нужные дельты из бинарника одной командой, плюс готовая таблица профилей под распространенные сборки, так что атакующему достаточно взять нужную строку и запустить — массовая эксплуатация реальна прямо сейчас.

Вот ключевой фрагмент из опубликованного PoC — видно, как heap spray из 149 forge-блоков по 288 байт готовится в теле запроса ещё до файла, чтобы после освобождения HashTable эти 320-байтные аллокации гарантированно легли в освобождённый arData:

# 149 spray-элементов идут ДО файла: после стала и освобождения
# freed arData будет переиспользован следующими аллокациями 320 байт,
# а таблица уже лежит в теле запроса.
pre = b""
pre += part(b, "PHPSESSID", sid.encode()) + b"\r\n"
pre += part(b, "PHP_SESSION_UPLOAD_PROGRESS", b"x") + b"\r\n"
for _ in range(N149):
pre += part(b, "t[]", spray) + b"\r\n" # heap spray: 149 × 288-байтный forge-блок
pre += part(b, "f", b"", filename="a") + b"\r\n"
c1 = b"A" * (FILL + 64)
# единственная точка стала: после c1 следующий fill > min_freq
# → PHP вызывает update() → zend_hash_update() → старый arData освобождается
phase1 = pre + c1
# c2: FILE_DATA сохраняет данные (указатели ещё живые),
# затем update() освобождает decoded tree → stale pointer готов
c2 = b"B" * (FILL + 64)
# c3: оба сохранённых указателя уже stale, inner pointer НЕ обновился
# (один файл в запросе — CVE-2026-109619)
c3 = b"C" * (FILL + 64)
tail = c2 + c3 + b"\r\n--" + b + b"--\r\n"


🌝 Что делать прямо сейчас:
🔵 В php.ini поменять session.upload_progress.enabled = Off

🔵 Перезапустить Apache или PHP-FPM. Все. Если эта настройка у вас Off (а по умолчанию так и есть в большинстве дистрибутивов) — вы не уязвимы.


Фикса от разработчиков PHP пока нет. Выпуск исправлений запланирован на 17:00 по московскому времени 21 октября 2026 года.


(Пост не мой, ситуация страшная)
Please open Telegram to view this post
VIEW IN TELEGRAM
✍7🔥6🤯4
Media is too big
VIEW IN TELEGRAM
Unitree H2-X Kung Fu Legend Guardian 🤖

Новая модель может работать до 8 часов автономно и позиционируется как робот-охранник.

Верим?

#роботы #Unitree
------
@tsingular
😁21🔥9👾5⚡3🤩2🆒1
eMudhra: восемь ключей удостоверяющих центров подбираются перебором

📋 17 октября исследователь сообщил Apple, Google, Microsoft и Mozilla: приватные ключи восьми промежуточных сертификатов eMudhra восстановлены из публичных данных. Выпущены 30 апреля 2025 года, отозваны 18–19 октября, и всё это время ключ добывался за миллисекунды.

🔍 Ключ P-384 должен быть случайным числом на 384 бита, а восемь ключей eMudhra оказались однобайтовыми: 4, 56, 66, 115, 155, 156, 230, 237. Перебор занимает не больше 255 шагов. Шесть промежуточных центров выпускали TLS-сертификаты для любых доменов, два подписывали исполняемые файлы, и все восемь дополнительно заверены корнем Sectigo AAA.

🌐 Браузеры закрыли уязвимость за три дня. Остальные клиенты читают свой набор корневых сертификатов и не проверяют ни отзыв, ни Certificate Transparency, поэтому для curl, Python, Node, Go, Java, git и контейнеров отзыв сам по себе ничего не меняет.

🛠 СРОЧНО дайте команду своему ИИ агенту:
- прочитать суть проблемы: https://emudhra.we-have-a-problem.com
- обновить ca-certificates в ОС и проверить пробой curl https://dv-g3b-emudhra.we-have-a-problem.com/: ошибка сертификата значит исправлено, код 200 значит клиент всё ещё доверяет;
- сервисам на Node задать NODE_OPTIONS=--use-openssl-ca и перезапустить: встроенные корни обновление ОС не затрагивает, а --use-system-ca только добавляет системный набор к ним;
- обновить certifi во всех venv: окружения, созданные до 19 октября, держат старый файл;
- в контейнерах выполнить update-ca-certificates под root, заменить certifi и пересобрать образ, иначе правка исчезнет при пересоздании;
- Go лечится обновлением ОС, Rust, Java и Electron ждут нового бинарника или образа;
- проверить CI-раннеры и сборочные образы: патч хоста не патчит то, что они собирают.


Дополнительно можно усилить AGENTS.md
TLS SECURITY POLICY

Before any HTTPS connection:
1. Never disable TLS certificate verification.
2. Never use insecure flags or bypass hostname checks.
3. Reject expired, revoked or untrusted certificates.
4. Use maintained CA trust stores and TLS libraries.
5. Flag certificate-chain validation failures.
6. Never automatically trust unknown CA certificates.
7. Require explicit human approval for trust-store changes.

Do not bypass TLS errors to complete a task.


💡 Проверка занимает минуту и не зависит от отзыва. Обновить браузер недостаточно: основная часть соединений идёт из скриптов и сервисов.

Занимательно, конечно, что уязвимости уже год, а знаменитые Mythos и OpenAI агенты ей не воспользовались :)

#cybersecurity #TLS
———
@tsingular
✍98⚡4❤1🏆1