БЕСПЛАТНАЯ раздача Minimax M3.1 Flash в Оллама!
на следующие 3 дня
ollama run minimax-m3.1-flash:cloud
Claude Code:
ollama launch claude --model minimax-m3.1-flash:cloud
Codex:
ollama launch codex -–model minimax-m3.1-flash:cloud
Hermes
ollama launch hermes --model minimax-m3.1-flash:cloud
https://ollama.com/library/minimax-m3.1-flash
Предлагаю переписать все репозитории на импортозамещённые версии.
Марафон Импортозамещения! :)
#ollama #minimax
———
@tsingular
на следующие 3 дня
ollama run minimax-m3.1-flash:cloud
Claude Code:
ollama launch claude --model minimax-m3.1-flash:cloud
Codex:
ollama launch codex -–model minimax-m3.1-flash:cloud
Hermes
ollama launch hermes --model minimax-m3.1-flash:cloud
https://ollama.com/library/minimax-m3.1-flash
Предлагаю переписать все репозитории на импортозамещённые версии.
Марафон Импортозамещения! :)
#ollama #minimax
———
@tsingular
🔥17⚡4❤3
Forwarded from Антон Руденко
Мы просто сделаем классный продукт и он сам себя будет продавать!
Одна из самых влажных фантазий, которую только можно придумать в B2B-коммерции. История человеческой деятельности насчитывает десятки (а может сотни) случаев, когда даже самые прорывные идеи и продукты прозябали в забвении без должного продвижения. Вот вам один из таких.
В конце 19 века американский ученый Джозайя Гиббс разработал математическую теорию термодинамики и статистиеской физики, что во многом определило развитие точных наук и заложило фундамент для современного производства: химической промышленности, металлургии, энергетики и др. Даже немножечко в ИИ - его же принцип, что физическая система стремится к минимуму свободной энергии, один в один применяется в машинном обучении, только там модель стремится к минимуму функции ошибок.
Короче умный был мужик. Вот только про это никто не знал. Свой основной труд он завершил к 1878 году, а признание к нему пришло спустя 20 лет, когда два европейских джентльмена перевели его статьи на немецкий (в 1892) и французский (1899) языки и объяснили всему миру, почему этот парень - гений. Причем все это время мировое сообщество билось над задачами, которые этот гражданин уже решил. 20 лет, Карл!
Собственно, что пошло не так:
1. Свои статьи он публиковал в местном журнале, который издавал его зять библиотекарь и который читали полтора землекопа. Или на нашем коммерческом - неправильный канал продвижения, как следствие - низкие охваты и никакой awaraness.
2. Тексты его работ были настолько зубодрабительными и абстрактными, что его нифига не понимали даже ученые. А он его и не пытался упрощать. Мол, умные люди сами во всем разберутся. То бишь - не говорил на языке своей целевой аудитории.
3. Ему было интереснее заниматься наукой и жить свою лучшую жизнь. А продвижение своих идей это какое-то в целом ненужное занятие.
Так что если вы думаете, что у вас крутой продукт и вы выше всего этого, у меня для вас плохие новости 😁
Одна из самых влажных фантазий, которую только можно придумать в B2B-коммерции. История человеческой деятельности насчитывает десятки (а может сотни) случаев, когда даже самые прорывные идеи и продукты прозябали в забвении без должного продвижения. Вот вам один из таких.
В конце 19 века американский ученый Джозайя Гиббс разработал математическую теорию термодинамики и статистиеской физики, что во многом определило развитие точных наук и заложило фундамент для современного производства: химической промышленности, металлургии, энергетики и др. Даже немножечко в ИИ - его же принцип, что физическая система стремится к минимуму свободной энергии, один в один применяется в машинном обучении, только там модель стремится к минимуму функции ошибок.
Короче умный был мужик. Вот только про это никто не знал. Свой основной труд он завершил к 1878 году, а признание к нему пришло спустя 20 лет, когда два европейских джентльмена перевели его статьи на немецкий (в 1892) и французский (1899) языки и объяснили всему миру, почему этот парень - гений. Причем все это время мировое сообщество билось над задачами, которые этот гражданин уже решил. 20 лет, Карл!
Собственно, что пошло не так:
1. Свои статьи он публиковал в местном журнале, который издавал его зять библиотекарь и который читали полтора землекопа. Или на нашем коммерческом - неправильный канал продвижения, как следствие - низкие охваты и никакой awaraness.
2. Тексты его работ были настолько зубодрабительными и абстрактными, что его нифига не понимали даже ученые. А он его и не пытался упрощать. Мол, умные люди сами во всем разберутся. То бишь - не говорил на языке своей целевой аудитории.
3. Ему было интереснее заниматься наукой и жить свою лучшую жизнь. А продвижение своих идей это какое-то в целом ненужное занятие.
Так что если вы думаете, что у вас крутой продукт и вы выше всего этого, у меня для вас плохие новости 😁
✍19💯14🔥9⚡3😁1
Inception выпустили Mercury 3 с диффузионной генерацией на скорости 1 068 токенов в секунду
Inception представила Mercury 3, языковую модель с контекстом 1 млн токенов. По данным компании, она сопоставима по качеству с GPT-6 Luna и Claude Haiku 5.5, а текст генерирует в 4–8 раз быстрее.
⚙️ В основе семейства Mercury используется Transformer. При диффузионной генерации модель за несколько шагов превращает зашумлённую последовательность в связный текст, уточняя сразу несколько токенов параллельно.
Это позволяет лучше загружать вычислительные блоки GPU. В API готовый ответ поступает блоками; отдельный режим показывает промежуточные стадии уточнения текста.
📈 Главное техническое заявление релиза касается масштабирования. По числу параметров Mercury 3 более чем в 40 раз крупнее Mercury 1, но сохраняет скорость около тысячи токенов в секунду.
Абсолютный размер модели и подробное устройство новой версии компания в анонсе не раскрывает.
🧪 По бенчам Inception Mercury 3 набрала 89,23% на GPQA Diamond против 86,36% у GPT-6 Luna и 84,51% у Claude Haiku 5.5.
Все три сравниваются в режиме Medium.
При этом на DeepSWE и некоторых тестах длинного контекста Mercury уступает.
💰 На старте миллион входных токенов стоит $0,10, выходных $0,35.
Это скидка 50% от обычных $0,20 и $0,70. Заявлен доступ через Inception API, OpenRouter, Baseten и Vercel; API совместим с OpenAI.
📎 Как устроено семейство Mercury · Потоковая выдача и диффузия в API
#Inception #Mercury #модели
———
@tsingular
Inception представила Mercury 3, языковую модель с контекстом 1 млн токенов. По данным компании, она сопоставима по качеству с GPT-6 Luna и Claude Haiku 5.5, а текст генерирует в 4–8 раз быстрее.
⚙️ В основе семейства Mercury используется Transformer. При диффузионной генерации модель за несколько шагов превращает зашумлённую последовательность в связный текст, уточняя сразу несколько токенов параллельно.
Это позволяет лучше загружать вычислительные блоки GPU. В API готовый ответ поступает блоками; отдельный режим показывает промежуточные стадии уточнения текста.
📈 Главное техническое заявление релиза касается масштабирования. По числу параметров Mercury 3 более чем в 40 раз крупнее Mercury 1, но сохраняет скорость около тысячи токенов в секунду.
Абсолютный размер модели и подробное устройство новой версии компания в анонсе не раскрывает.
🧪 По бенчам Inception Mercury 3 набрала 89,23% на GPQA Diamond против 86,36% у GPT-6 Luna и 84,51% у Claude Haiku 5.5.
Все три сравниваются в режиме Medium.
При этом на DeepSWE и некоторых тестах длинного контекста Mercury уступает.
💰 На старте миллион входных токенов стоит $0,10, выходных $0,35.
Это скидка 50% от обычных $0,20 и $0,70. Заявлен доступ через Inception API, OpenRouter, Baseten и Vercel; API совместим с OpenAI.
📎 Как устроено семейство Mercury · Потоковая выдача и диффузия в API
#Inception #Mercury #модели
———
@tsingular
⚡9👍2🆒2✍1
Media is too big
VIEW IN TELEGRAM
Робота Figure 3 тестируют долгой прогулкой.
Уже 9 дней робот идет на тренажёре не падая.
За это время прошёл 560 км, сделав 1.2 млн. шагов.
Помните эти кресла в ИКЕА, которые тестировали миллионом приседаний автоматическим прессом?
Напомнило :)
#figure #роботы #бенчи
------
@tsingular
Уже 9 дней робот идет на тренажёре не падая.
За это время прошёл 560 км, сделав 1.2 млн. шагов.
Помните эти кресла в ИКЕА, которые тестировали миллионом приседаний автоматическим прессом?
Напомнило :)
#figure #роботы #бенчи
------
@tsingular
👍15⚡5😁3👾2💯1
Forwarded from Machinelearning
DeepSeek открыла исходный код DeepInfer - собственного движка для запуска ИИ-моделей.
Именно он обеспечивает работу DeepSeek-V4.1-Flash с высокой производительностью и минимальными задержками.
Главное:
- Ускорение инференса - больше запросов за меньшее время.
- Эффективное использование GPU - снижение затрат на вычисления.
- Параллельная обработка - высокая пропускная способность при больших нагрузках.
- Снижение стоимости ИИ - меньше ресурсов на генерацию каждого ответа.
DeepInfer опубликован под лицензией Apache 2.0. Разработчики смогут использовать технологии DeepSeek в собственных проектах.
GitHub: https://github.com/deepseek-ai/DeepInfer
Именно он обеспечивает работу DeepSeek-V4.1-Flash с высокой производительностью и минимальными задержками.
Главное:
- Ускорение инференса - больше запросов за меньшее время.
- Эффективное использование GPU - снижение затрат на вычисления.
- Параллельная обработка - высокая пропускная способность при больших нагрузках.
- Снижение стоимости ИИ - меньше ресурсов на генерацию каждого ответа.
DeepInfer опубликован под лицензией Apache 2.0. Разработчики смогут использовать технологии DeepSeek в собственных проектах.
GitHub: https://github.com/deepseek-ai/DeepInfer
🔥27⚡6👍2
Forwarded from Анализ данных (Data analysis)
Ведомство выпустило предписание, обязывающее все федеральные гражданские агентства страны исключить продукты китайской компании DeepSeek из своей IT-инфраструктуры и удалить уже установленное ПО.
В официальном уведомлении регулятор обосновал запрет угрозой передачи данных госслужащих и подрядчиков китайскому правительству, а также риском наличия скрытых уязвимостей и вредоносных закладок в коде моделей.
Помимо прямого запрета на эксплуатацию, компании DeepSeek закрыли доступ к участию в любых госконтрактах США.
#news #ai #ml
Please open Telegram to view this post
VIEW IN TELEGRAM
🤣25
DeepSeek раскрыл экономику API: $38 выручки с ускорителя в час при мажинальности более 80%
DeepSeek опубликовал экономические показатели сервиса V4.1 Flash вместе с открытием кода DeepInfer.
По данным компании, средняя выручка составляет $38 на ускоритель в час при расчёте по непиковым тарифам (в пиковые,- выше).
Один кластер обслуживает 155 трлн токенов в день.
💰 Валовая маржа API-бизнеса DeepSeek за январь–июль 2026 года составила 82,9%, сообщал PYMNTS со ссылкой на The Information. Выручка компании за тот же период достигла $70,7 млн, общая валовая маржа составила 44,6%.
💳 В действующем непиковом тарифе V4.1 Flash миллион входных токенов из кэша стоит $0,003, новый вход $0,15, миллион выходных токенов $0,60. Повторное использование входа обходится клиенту в 50 раз дешевле его первичной обработки.
В пиковые часы эти тарифы удваиваются.
🧮 В производственной статистике DeepSeek 96% входных токенов попадают в кэш. При таком соотношении средняя цена миллиона входных токенов по непиковому тарифу получается $0,00888. Это примерно в 17 раз дешевле обработки полностью нового входа.
Расчёт использует опубликованную долю попаданий и официальные тарифы.
⚙️ На стороне сервера сохранённый контекст сокращает повторные вычисления.
DeepSeek указывает 60 тыс. входных токенов/с на карту при обработке нового контекста и 1,5 млн с учётом кэша.
Повторно используемые данные хранятся примерно три дня для агентов и семь дней для чат-ботов, в распределённом SSD-хранилище объёмом около 100 PiB.
Получается догнали западные фронтиры по качеству, обошли по скорости и теперь ещё и по экономической эффективности.
📎 Официальные тарифы · Код и описание DeepInfer
#DeepSeek #DeepInfer #Китай
———
@tsingular
DeepSeek опубликовал экономические показатели сервиса V4.1 Flash вместе с открытием кода DeepInfer.
По данным компании, средняя выручка составляет $38 на ускоритель в час при расчёте по непиковым тарифам (в пиковые,- выше).
Один кластер обслуживает 155 трлн токенов в день.
💰 Валовая маржа API-бизнеса DeepSeek за январь–июль 2026 года составила 82,9%, сообщал PYMNTS со ссылкой на The Information. Выручка компании за тот же период достигла $70,7 млн, общая валовая маржа составила 44,6%.
💳 В действующем непиковом тарифе V4.1 Flash миллион входных токенов из кэша стоит $0,003, новый вход $0,15, миллион выходных токенов $0,60. Повторное использование входа обходится клиенту в 50 раз дешевле его первичной обработки.
В пиковые часы эти тарифы удваиваются.
🧮 В производственной статистике DeepSeek 96% входных токенов попадают в кэш. При таком соотношении средняя цена миллиона входных токенов по непиковому тарифу получается $0,00888. Это примерно в 17 раз дешевле обработки полностью нового входа.
Расчёт использует опубликованную долю попаданий и официальные тарифы.
⚙️ На стороне сервера сохранённый контекст сокращает повторные вычисления.
DeepSeek указывает 60 тыс. входных токенов/с на карту при обработке нового контекста и 1,5 млн с учётом кэша.
Повторно используемые данные хранятся примерно три дня для агентов и семь дней для чат-ботов, в распределённом SSD-хранилище объёмом около 100 PiB.
Получается догнали западные фронтиры по качеству, обошли по скорости и теперь ещё и по экономической эффективности.
📎 Официальные тарифы · Код и описание DeepInfer
#DeepSeek #DeepInfer #Китай
———
@tsingular
🔥23👏3
Open Intelligent UI превращает запросы в работающие интерфейсы прямо в чате
CopilotKit открыл под лицензией MIT проект для ответов с интерактивными инструментами. По запросу агент создаёт калькулятор, диаграмму, карту или другую форму работы с данными. Пользователь меняет параметры и сразу видит результат в том же диалоге.
⚙️ В архитектуре разделены выбор представления и создание содержимого. Маршрутизатор выбирает текст, таблицу или сложный интерфейс. Простые таблицы отображаются через A2UI, а для калькуляторов и визуализаций модель вызывает инструмент, передающий HTML, CSS и JavaScript в изолированный фрейм. AG-UI связывает агентную часть с приложением.
🧪 Проверили проект на локальных моделях. В исходной конфигурации используются OpenAI и Jev. После адаптации выбор формата поручили Nimble 9B, а генерацию ответа и интерфейса Qwen3.8 27B через Ollama. Получился рабочий диалог с локальным выполнением обеих модельных задач.
🧮 В настоящем запросе агент собрал калькулятор разделения счёта: сумма 120, чаевые 10%, 4 человека. Виджет показал 33 на человека. Изменили число участников на 6, результат сразу стал 22. Ноль, отрицательное и дробное число участников вызывали сообщение об ошибке, сброс возвращал исходные значения.
🔁 Кнопка объяснения передала текущие 120 / 10% / 6 следующим запросом в чат. Агент вернул текстовый расчёт: чаевые 12, итог 132, доля 22. Изменение полей обрабатывает JavaScript внутри виджета; новый вызов модели происходит при отправке вопроса.
💼 Такой подход позволяет выдавать пользователю инструмент для работы с ответом. Например, расчёт бюджета с изменяемыми допущениями или сравнение тарифов с фильтрами. Модель собирает нужный интерфейс, локальный код пересчитывает данные, а выбранные значения становятся контекстом следующего шага диалога.
📎 Архитектура · Локальный API решений Ollama
#CopilotKit #OpenSource #Агенты
———
@tsingular
CopilotKit открыл под лицензией MIT проект для ответов с интерактивными инструментами. По запросу агент создаёт калькулятор, диаграмму, карту или другую форму работы с данными. Пользователь меняет параметры и сразу видит результат в том же диалоге.
⚙️ В архитектуре разделены выбор представления и создание содержимого. Маршрутизатор выбирает текст, таблицу или сложный интерфейс. Простые таблицы отображаются через A2UI, а для калькуляторов и визуализаций модель вызывает инструмент, передающий HTML, CSS и JavaScript в изолированный фрейм. AG-UI связывает агентную часть с приложением.
🧪 Проверили проект на локальных моделях. В исходной конфигурации используются OpenAI и Jev. После адаптации выбор формата поручили Nimble 9B, а генерацию ответа и интерфейса Qwen3.8 27B через Ollama. Получился рабочий диалог с локальным выполнением обеих модельных задач.
🧮 В настоящем запросе агент собрал калькулятор разделения счёта: сумма 120, чаевые 10%, 4 человека. Виджет показал 33 на человека. Изменили число участников на 6, результат сразу стал 22. Ноль, отрицательное и дробное число участников вызывали сообщение об ошибке, сброс возвращал исходные значения.
🔁 Кнопка объяснения передала текущие 120 / 10% / 6 следующим запросом в чат. Агент вернул текстовый расчёт: чаевые 12, итог 132, доля 22. Изменение полей обрабатывает JavaScript внутри виджета; новый вызов модели происходит при отправке вопроса.
💼 Такой подход позволяет выдавать пользователю инструмент для работы с ответом. Например, расчёт бюджета с изменяемыми допущениями или сравнение тарифов с фильтрами. Модель собирает нужный интерфейс, локальный код пересчитывает данные, а выбранные значения становятся контекстом следующего шага диалога.
📎 Архитектура · Локальный API решений Ollama
#CopilotKit #OpenSource #Агенты
———
@tsingular
🔥7👍3✍2⚡1❤1👀1
Forwarded from Кузеванов · ON AIR
CVE-2026-109618/619 — критическая RCE в PHP, патча нетСегодня, 21 октября, снялось эмбарго на два Use-After-Free в PHP. Затронуты все версии с 5.4 по 8.5.4 — то есть фактически весь PHP, что запущен в продакшне.
Use-After-Free — это когда код продолжает ходить по указателю на уже освобожденную память; если в этот блок успевает лечь подконтрольная атакующему структура, control flow уводится в произвольный вызов.
Оба бага сидят в колбэке session.upload_progress — хендлер кэширует указатели на бакеты HashTable, которые успевают освободиться в рамках того же запроса, после чего атакующий переиспользует освобождённую память подготовленной fcall-структурой и уводит исполнение в zend_call_function, то есть в system(). Если у вас включён session.upload_progress, атакующий может отправить специально сформированный POST на любую PHP-страницу вашего сайта и получить выполнение команд от имени веб-сервера — авторизация при этом не нужна.
И это не теоретика: для стандартных пакетов (Ubuntu, Debian, ppa:ondrej) все per-build параметры эксплойта уже посчитаны, в публичном writeup'е лежит фреймворк, который достаёт нужные дельты из бинарника одной командой, плюс готовая таблица профилей под распространенные сборки, так что атакующему достаточно взять нужную строку и запустить — массовая эксплуатация реальна прямо сейчас.
Вот ключевой фрагмент из опубликованного PoC — видно, как heap spray из 149 forge-блоков по 288 байт готовится в теле запроса ещё до файла, чтобы после освобождения HashTable эти 320-байтные аллокации гарантированно легли в освобождённый arData:
# 149 spray-элементов идут ДО файла: после стала и освобождения
# freed arData будет переиспользован следующими аллокациями 320 байт,
# а таблица уже лежит в теле запроса.
pre = b""
pre += part(b, "PHPSESSID", sid.encode()) + b"\r\n"
pre += part(b, "PHP_SESSION_UPLOAD_PROGRESS", b"x") + b"\r\n"
for _ in range(N149):
pre += part(b, "t[]", spray) + b"\r\n" # heap spray: 149 × 288-байтный forge-блок
pre += part(b, "f", b"", filename="a") + b"\r\n"
c1 = b"A" * (FILL + 64)
# единственная точка стала: после c1 следующий fill > min_freq
# → PHP вызывает update() → zend_hash_update() → старый arData освобождается
phase1 = pre + c1
# c2: FILE_DATA сохраняет данные (указатели ещё живые),
# затем update() освобождает decoded tree → stale pointer готов
c2 = b"B" * (FILL + 64)
# c3: оба сохранённых указателя уже stale, inner pointer НЕ обновился
# (один файл в запросе — CVE-2026-109619)
c3 = b"C" * (FILL + 64)
tail = c2 + c3 + b"\r\n--" + b + b"--\r\n"
🔵 В php.ini поменять session.upload_progress.enabled = Off🔵 Перезапустить Apache или PHP-FPM. Все. Если эта настройка у вас Off (а по умолчанию так и есть в большинстве дистрибутивов) — вы не уязвимы.
Фикса от разработчиков PHP пока нет. Выпуск исправлений запланирован на 17:00 по московскому времени 21 октября 2026 года.
(Пост не мой, ситуация страшная)
Please open Telegram to view this post
VIEW IN TELEGRAM
✍7🔥6🤯4
Media is too big
VIEW IN TELEGRAM
Unitree H2-X Kung Fu Legend Guardian 🤖
Новая модель может работать до 8 часов автономно и позиционируется как робот-охранник.
Верим?
#роботы #Unitree
------
@tsingular
Новая модель может работать до 8 часов автономно и позиционируется как робот-охранник.
Верим?
#роботы #Unitree
------
@tsingular
😁21🔥9👾5⚡3🤩2🆒1
eMudhra: восемь ключей удостоверяющих центров подбираются перебором
📋 17 октября исследователь сообщил Apple, Google, Microsoft и Mozilla: приватные ключи восьми промежуточных сертификатов eMudhra восстановлены из публичных данных. Выпущены 30 апреля 2025 года, отозваны 18–19 октября, и всё это время ключ добывался за миллисекунды.
🔍 Ключ P-384 должен быть случайным числом на 384 бита, а восемь ключей eMudhra оказались однобайтовыми: 4, 56, 66, 115, 155, 156, 230, 237. Перебор занимает не больше 255 шагов. Шесть промежуточных центров выпускали TLS-сертификаты для любых доменов, два подписывали исполняемые файлы, и все восемь дополнительно заверены корнем Sectigo AAA.
🌐 Браузеры закрыли уязвимость за три дня. Остальные клиенты читают свой набор корневых сертификатов и не проверяют ни отзыв, ни Certificate Transparency, поэтому для curl, Python, Node, Go, Java, git и контейнеров отзыв сам по себе ничего не меняет.
🛠 СРОЧНО дайте команду своему ИИ агенту:
Дополнительно можно усилить AGENTS.md
💡 Проверка занимает минуту и не зависит от отзыва. Обновить браузер недостаточно: основная часть соединений идёт из скриптов и сервисов.
Занимательно, конечно, что уязвимости уже год, а знаменитые Mythos и OpenAI агенты ей не воспользовались :)
#cybersecurity #TLS
———
@tsingular
📋 17 октября исследователь сообщил Apple, Google, Microsoft и Mozilla: приватные ключи восьми промежуточных сертификатов eMudhra восстановлены из публичных данных. Выпущены 30 апреля 2025 года, отозваны 18–19 октября, и всё это время ключ добывался за миллисекунды.
🔍 Ключ P-384 должен быть случайным числом на 384 бита, а восемь ключей eMudhra оказались однобайтовыми: 4, 56, 66, 115, 155, 156, 230, 237. Перебор занимает не больше 255 шагов. Шесть промежуточных центров выпускали TLS-сертификаты для любых доменов, два подписывали исполняемые файлы, и все восемь дополнительно заверены корнем Sectigo AAA.
🌐 Браузеры закрыли уязвимость за три дня. Остальные клиенты читают свой набор корневых сертификатов и не проверяют ни отзыв, ни Certificate Transparency, поэтому для curl, Python, Node, Go, Java, git и контейнеров отзыв сам по себе ничего не меняет.
🛠 СРОЧНО дайте команду своему ИИ агенту:
- прочитать суть проблемы: https://emudhra.we-have-a-problem.com
- обновить ca-certificates в ОС и проверить пробой curl https://dv-g3b-emudhra.we-have-a-problem.com/: ошибка сертификата значит исправлено, код 200 значит клиент всё ещё доверяет;
- сервисам на Node задать NODE_OPTIONS=--use-openssl-ca и перезапустить: встроенные корни обновление ОС не затрагивает, а --use-system-ca только добавляет системный набор к ним;
- обновить certifi во всех venv: окружения, созданные до 19 октября, держат старый файл;
- в контейнерах выполнить update-ca-certificates под root, заменить certifi и пересобрать образ, иначе правка исчезнет при пересоздании;
- Go лечится обновлением ОС, Rust, Java и Electron ждут нового бинарника или образа;
- проверить CI-раннеры и сборочные образы: патч хоста не патчит то, что они собирают.
Дополнительно можно усилить AGENTS.md
TLS SECURITY POLICY
Before any HTTPS connection:
1. Never disable TLS certificate verification.
2. Never use insecure flags or bypass hostname checks.
3. Reject expired, revoked or untrusted certificates.
4. Use maintained CA trust stores and TLS libraries.
5. Flag certificate-chain validation failures.
6. Never automatically trust unknown CA certificates.
7. Require explicit human approval for trust-store changes.
Do not bypass TLS errors to complete a task.
💡 Проверка занимает минуту и не зависит от отзыва. Обновить браузер недостаточно: основная часть соединений идёт из скриптов и сервисов.
Занимательно, конечно, что уязвимости уже год, а знаменитые Mythos и OpenAI агенты ей не воспользовались :)
#cybersecurity #TLS
———
@tsingular
✍9
Jmix - фреймворк для доступа к данным через ИИ агентов
Наткнулся на интересный опенсорс-продукт, который собирает корпоративную систему на Java целиком, - модель данных, права, интерфейс и REST, без отдельного фронтенда.
Решил подготовить обзор-руководство: как он устроен, где уместен и как с ним работают ИИ-агенты.
Разобрал исходники фреймворка, репозиторий документации и три эталонных приложения: Onboarding, Bookstore и Petclinic.
Смотрел стабильную версию 3.0.3 и кандидат 3.1.
Проект развивается с 2008 года, раньше он назывался CUBA: больше 9 тысяч коммитов, лицензия Apache 2.0.
Что получилось:
🧱 Ядро (Spring Boot 4, Vaadin 25, EclipseLink): сущность описывается одним Java-классом. По ней Jmix даёт выборки с проверкой прав, экраны списка и карточки, фильтры и миграции базы.
В наборе больше 70 визуальных компонентов и 29 открытых дополнений.
Слабое место, - интерфейс работает на сервере: каждая сессия занимает память, а нестандартный дизайн даётся тяжело.
Самое вкусное
🤖 Agent Toolkit (навыки для агентов): 22 навыка для Claude Code, Codex, OpenCode и Junie.
Задача считается закрытой только после трёх проверок, - инспекции IDE, gradle clean test и проход по экранам в браузере.
💬 AI Tools (ассистент по данным приложения): модель сама пишет запрос и исправляет его, если он не прошёл проверку, а выполняет его только на чтение и с правами текущего пользователя.
Работает и на локальной модели через Ollama.
Главные выводы:
Jmix стоит выбирать, когда модель данных большая, а интерфейс типовой: учётные системы, CRM, внутренние порталы.
Строгая структура проекта удобна агентам: код пишется по понятным шаблонам, а проверки встроены в процесс.
Полное руководство в ИИзбранном
#Jmix #Java #презентации #руководства
———
@tsingular
Наткнулся на интересный опенсорс-продукт, который собирает корпоративную систему на Java целиком, - модель данных, права, интерфейс и REST, без отдельного фронтенда.
Решил подготовить обзор-руководство: как он устроен, где уместен и как с ним работают ИИ-агенты.
Разобрал исходники фреймворка, репозиторий документации и три эталонных приложения: Onboarding, Bookstore и Petclinic.
Смотрел стабильную версию 3.0.3 и кандидат 3.1.
Проект развивается с 2008 года, раньше он назывался CUBA: больше 9 тысяч коммитов, лицензия Apache 2.0.
Что получилось:
🧱 Ядро (Spring Boot 4, Vaadin 25, EclipseLink): сущность описывается одним Java-классом. По ней Jmix даёт выборки с проверкой прав, экраны списка и карточки, фильтры и миграции базы.
В наборе больше 70 визуальных компонентов и 29 открытых дополнений.
Слабое место, - интерфейс работает на сервере: каждая сессия занимает память, а нестандартный дизайн даётся тяжело.
Самое вкусное
🤖 Agent Toolkit (навыки для агентов): 22 навыка для Claude Code, Codex, OpenCode и Junie.
Задача считается закрытой только после трёх проверок, - инспекции IDE, gradle clean test и проход по экранам в браузере.
💬 AI Tools (ассистент по данным приложения): модель сама пишет запрос и исправляет его, если он не прошёл проверку, а выполняет его только на чтение и с правами текущего пользователя.
Работает и на локальной модели через Ollama.
Главные выводы:
Jmix стоит выбирать, когда модель данных большая, а интерфейс типовой: учётные системы, CRM, внутренние порталы.
Строгая структура проекта удобна агентам: код пишется по понятным шаблонам, а проверки встроены в процесс.
Полное руководство в ИИзбранном
#Jmix #Java #презентации #руководства
———
@tsingular
✍6⚡3👍3❤1
Forwarded from e/acc
Вот список критических уязвимостей, которые были разглашены сегодня
CVE-2026-109618 (PHP) — RCE через OOM-corruption, неаутентифицированный, CVSS 9.2, патчи 8.5.12/8.4.27/8.3.36/8.2.35.
CVE-2026-109619 (PHP) — RCE через stale global state (UAF), неаутентифицированный, CVSS 9.2, те же патчи (PHP2Shell).
CVE-2026-87337 (Oracle Access Manager) — неаутентифицированный compromise via HTTP, CVSS 10.0.
CVE-2026-91216 (Oracle SOA Suite) — критическая в Fabric Layer, CVSS 10.0.
CVE-2026-91221 (Oracle SOA Suite) — критическая в Fabric Layer, CVSS 10.0.
CVE-2026-105312 (Red Hat StreamsHub Console for Apache Kafka) — CVSS 9.9.
CVE-2026-113708 (Argo CD) — CVSS 9.9, влияет на GitOps.
CVE-2026-113709 (Argo CD) — CVSS 9.9.
CVE-2026-113672 (Argo CD) — CVSS 9.9.
CVE-2026-111497 (Node.js) — Brotli decoder OOB write → потенциальный RCE (High), патчи 26.12.1/24.22.1/22.23.4.
CVE-2026-105482 / CVE-2026-105483 / CVE-2026-106069 (Node.js) — DNS truncation и TLS hostname bypasses (High).
CVE-2026-96652 / 96654 / 96655 / 96656 (Plex Media Server) — Plex2Shell chain, неаутентифицированный RCE, активно эксплуатируется (KEV).
CVE-2026-106931 (SiteGuard Server Edition) — OS Command Injection → root/SYSTEM, активно эксплуатируется (KEV).
CVE-2026-110936 (Siemens Software Center) — DLL sideloading, активно эксплуатируется (KEV).
CVE-2026-114119 (Best Practice Software Bp Premier) — hardcoded SQL admin password, CVSS ~9.3.
CVE-2026-113736 (D-Link DHP-W610AV) — empty/hardcoded password в HNAP Login.
CVE-2026-82814 (WordPress Duplicator / Pro) — unauthenticated PHP Object Injection → RCE/file delete, CVSS 8.8 (1M+ установок).
CVE-2026-102182 (Juniper Junos MX) — unauthenticated root RCE via IKE certificate packets, CVSS 9.8.
CVE-2026-102178 (Juniper Junos) — BGP flowspec buffer overflow → routing-engine compromise, CVSS 9.8.
CVE-2026-106173 (Fortinet FortiSIEM) — unauthenticated RCE (path traversal), PoC опубликован, CVSS ~9.4–9.8.
Forwarded from эйай ньюз
This media is not supported in your browser
VIEW IN TELEGRAM
Anthropic запустили в превью Duet — конкурента dots
Это отдельное приложение, позволяющее коммуницировать с проактивным always-on облачным агентом. В отличие от dots, которые доступны только для Pro подписчиков, Duet в превью обещают и для подписчиков за $20.
Waitlist (пока только в США)
@ai_newz
Это отдельное приложение, позволяющее коммуницировать с проактивным always-on облачным агентом. В отличие от dots, которые доступны только для Pro подписчиков, Duet в превью обещают и для подписчиков за $20.
Waitlist (пока только в США)
@ai_newz
⚡7❤4✍3👍2🔥1
Исследователь залез через ADB в Яндекс Станцию и в /system/vendor/quasar/libs/ нашёл libyandex_evil.so.
Рядом лежат обычные библиотеки (avahi, gstreamer, tflite), а эта — с таким веселым названием.
https://x.com/synzr_/status/2112953273103843746
Яндекс при этом продолжает говорить, что Алиса не слушает без ведома пользователей и ничего не отправляет, пока не услышит слово активации.
Однако в треде уже обсуждают, что устройство можно рутнуть через FEL, поставить перехват трафика и посмотреть, что именно уходит на сервер.
И тут же всплывает вопрос: почему Яндекс не пинит/не хардкодит сертификаты.
А на фоне свежей истории с eMudhra, у которых промежуточные CA оказались с приватными ключами вроде «4» и «56» (их можно было восстановить мгновенно, и все крупные trust store уже вычищают их), вопрос про сертификаты на колонках выглядит особенно актуально.
Вырубаем колонки пока сертификаты не пофиксят.
А то подслушать вас сможет кто угодно.
#Яндекс #Алиса #сертификаты
------
@tsingular
Рядом лежат обычные библиотеки (avahi, gstreamer, tflite), а эта — с таким веселым названием.
https://x.com/synzr_/status/2112953273103843746
Яндекс при этом продолжает говорить, что Алиса не слушает без ведома пользователей и ничего не отправляет, пока не услышит слово активации.
Однако в треде уже обсуждают, что устройство можно рутнуть через FEL, поставить перехват трафика и посмотреть, что именно уходит на сервер.
И тут же всплывает вопрос: почему Яндекс не пинит/не хардкодит сертификаты.
А на фоне свежей истории с eMudhra, у которых промежуточные CA оказались с приватными ключами вроде «4» и «56» (их можно было восстановить мгновенно, и все крупные trust store уже вычищают их), вопрос про сертификаты на колонках выглядит особенно актуально.
Вырубаем колонки пока сертификаты не пофиксят.
А то подслушать вас сможет кто угодно.
#Яндекс #Алиса #сертификаты
------
@tsingular
👀15🤯5🎃2