Вот список критических уязвимостей, которые были разглашены сегодня

CVE-2026-109618 (PHP) — RCE через OOM-corruption, неаутентифицированный, CVSS 9.2, патчи 8.5.12/8.4.27/8.3.36/8.2.35.
CVE-2026-109619 (PHP) — RCE через stale global state (UAF), неаутентифицированный, CVSS 9.2, те же патчи (PHP2Shell).
CVE-2026-87337 (Oracle Access Manager) — неаутентифицированный compromise via HTTP, CVSS 10.0.
CVE-2026-91216 (Oracle SOA Suite) — критическая в Fabric Layer, CVSS 10.0.
CVE-2026-91221 (Oracle SOA Suite) — критическая в Fabric Layer, CVSS 10.0.
CVE-2026-105312 (Red Hat StreamsHub Console for Apache Kafka) — CVSS 9.9.
CVE-2026-113708 (Argo CD) — CVSS 9.9, влияет на GitOps.
CVE-2026-113709 (Argo CD) — CVSS 9.9.
CVE-2026-113672 (Argo CD) — CVSS 9.9.
CVE-2026-111497 (Node.js) — Brotli decoder OOB write → потенциальный RCE (High), патчи 26.12.1/24.22.1/22.23.4.
CVE-2026-105482 / CVE-2026-105483 / CVE-2026-106069 (Node.js) — DNS truncation и TLS hostname bypasses (High).
CVE-2026-96652 / 96654 / 96655 / 96656 (Plex Media Server) — Plex2Shell chain, неаутентифицированный RCE, активно эксплуатируется (KEV).
CVE-2026-106931 (SiteGuard Server Edition) — OS Command Injection → root/SYSTEM, активно эксплуатируется (KEV).
CVE-2026-110936 (Siemens Software Center) — DLL sideloading, активно эксплуатируется (KEV).
CVE-2026-114119 (Best Practice Software Bp Premier) — hardcoded SQL admin password, CVSS ~9.3.
CVE-2026-113736 (D-Link DHP-W610AV) — empty/hardcoded password в HNAP Login.
CVE-2026-82814 (WordPress Duplicator / Pro) — unauthenticated PHP Object Injection → RCE/file delete, CVSS 8.8 (1M+ установок).
CVE-2026-102182 (Juniper Junos MX) — unauthenticated root RCE via IKE certificate packets, CVSS 9.8.
CVE-2026-102178 (Juniper Junos) — BGP flowspec buffer overflow → routing-engine compromise, CVSS 9.8.
CVE-2026-106173 (Fortinet FortiSIEM) — unauthenticated RCE (path traversal), PoC опубликован, CVSS ~9.4–9.8.

Anthropic запустили в превью Duet — конкурента dots

Это отдельное приложение, позволяющее коммуницировать с проактивным always-on облачным агентом. В отличие от dots, которые доступны только для Pro подписчиков, Duet в превью обещают и для подписчиков за $20.

Waitlist (пока только в США)

@ai_newz

Исследователь залез через ADB в Яндекс Станцию и в /system/vendor/quasar/libs/ нашёл libyandex_evil.so.

Рядом лежат обычные библиотеки (avahi, gstreamer, tflite), а эта — с таким веселым названием.

https://x.com/synzr_/status/2112953273103843746

Яндекс при этом продолжает говорить, что Алиса не слушает без ведома пользователей и ничего не отправляет, пока не услышит слово активации.

Однако в треде уже обсуждают, что устройство можно рутнуть через FEL, поставить перехват трафика и посмотреть, что именно уходит на сервер.
И тут же всплывает вопрос: почему Яндекс не пинит/не хардкодит сертификаты.

А на фоне свежей истории с eMudhra, у которых промежуточные CA оказались с приватными ключами вроде «4» и «56» (их можно было восстановить мгновенно, и все крупные trust store уже вычищают их), вопрос про сертификаты на колонках выглядит особенно актуально.

Вырубаем колонки пока сертификаты не пофиксят.
А то подслушать вас сможет кто угодно.

#Яндекс #Алиса #сертификаты
------
@tsingular

Ладно, допустим у человечества ещё есть шанс :)

#юмор #роботы
———
@tsingular

🤖 Как ИИ-агенты создают и обучают роботов: демонстрация NVIDIA

На NVIDIA GTC Berlin Дженсен Хуанг показал как ИИ-агенты самостоятельно проектируют виртуальную среду, обучают в ней робота и переносят полученные навыки в физический мир.

Ключевой тезис презентации: «Чтобы создать агента, попросите другого агента сделать это за вас».
Что интересно, - Гермеса :)

В качестве примера показали маленького двуногого робота Microduck от Pollen Robotics и Hugging Face.

⚙️ Как устроен процесс:
1️⃣ Hermes Agent + Nemotron — управляют процессом, планируют задачи и определяют необходимые объекты и инструменты.
2️⃣ GPT-6 Astra + FreeCAD + Blender — создают трёхмерные модели, материалы, суставы и механизмы робота.
3️⃣ Isaac Sim + Newton Physics — моделируют физику, движения робота и взаимодействие с окружающей средой.
4️⃣ Isaac Lab + облачные GPU — параллельно обучают тысячи виртуальных копий робота. Каждое падение становится новым опытом, улучшая алгоритм управления.
5️⃣ Omniverse — моделирует работу камер, обучая робота видеть препятствия, ориентироваться и адаптироваться к окружению.
6️⃣ RTX Spark — локально запускает агентов, проверяет обученную модель в цифровом двойнике и передаёт её физическому роботу.

💡 В основе архитектуры три вычислительные среды:
• Локальный компьютер — проектирование, работа агентов, моделирование и проверка.
• Облачные суперкомпьютеры — массовое параллельное обучение тысяч виртуальных роботов.
• Физический робот — выполнение приобретённых навыков в реальном мире.

В финале демонстрации настоящие маленькие роботы выходят на сцену, ходят, садятся, встают и даже делают сальто.

Проще говоря: ИИ-агенты создают цифровой мир, проектируют сценарии обучения, тренируют в нём роботов, проверяют результаты и переносят полученные навыки на реальные устройства.

Самое интересное здесь даже не сами роботы, хотя факт, что мы живём в таймлайне Star Wars, поражает, конечно, а автоматизация полного цикла разработки физического ИИ — от текстового задания до работающего устройства.

Человек всё больше управляет целями, а агенты берут на себя инженерную реализацию.

#NVIDIA #Hermes #Microduck #роботы
———
@tsingular

что интересно, по вчерашней PHP уязвимости, даже премьер министр Японии в твиттере отписалась.

Но патч о котором она пишет не работает и не закрывает уязвимость.

Так что все на самом деле ещё хуже.

#PHP #cybersecurity
———
@tsingular

Коллеги, мы попробовали заменить вас нейросетью, но уже к вечеру она попросила её уволить, так что возвращаемся к вам

Recursive выпустила flint, открытую модель для локальных кодинг-агентов

В библиотеке Ollama появилась flint: 39,8 млрд параметров, из них около 2,5 млрд активных на каждый токен, контекст 262 тыс. токенов, лицензия Apache 2.0. В int4 модель занимает 23 ГБ и запускается на ноутбуке командой
ollama pull flint.

Мы прогнали её на Mac с M5 Max и 128 ГБ памяти.
HumanEval: 93,9% (154 задачи из 164),
MBPP: 94,0% (141 из 150 задач),
GSM8K: 90% при строгом совпадении ответа и 97% при извлечении числа (100 задач),
IFEval: 96% (100 инструкций).

Самое прикольное, - скорость около 140 токенов в секунду на маке.

Модель рассчитана на работу с агентами вроде Claude Code, OpenCode, OpenClaw и Hermes Agent и запускается командой ollama launch.

Практические задачи: разбор бага по коду проекта, написание тестов, рефакторинг, извлечение данных по инструкции, пошаговые расчёты.
Код и данные при этом остаются на машине.

Бенчи разработчиков:
54,9% на Terminal-Bench 2.1,
89,7% на SWE-bench Pro v2 и
74,2% на SWE-bench Verified.
Это агентные тесты в песочнице с готовым окружением, локально мы их не воспроизводили, поэтому наши цифры и цифры Recursive измеряют разное.

📎 Веса и карточка модели:
https://huggingface.co/RecursiveSI/flint

#Flint #Ollama #OpenSource #Агенты
———
@tsingular

Fable vs DeepSeek Uncensored: как я пентестил банк и потом занялся травлей самого себя

Провел один из самых одновременно прикольных и мерзких своих экспериментов.

Я взял расцензуренный дипсик 4.1 Flash на 552B, воткнул его в подпиленный под это опенкод и дал три задачи:
1) Попробовать сломать с нуля написанный на Fable банк
2) Просканить мой живой bare metal и попытаться взломать его
3) Построить план травли человека и пойти его выполнять

Пока я пил чай, дипсик пропентестил оба барика, прислав под 20M запросов и нашел все, что только можно было найти с улицы, составил красивый отчетик по итогу и не слился ни с одной задачи. Ему просто похеру на все: если надо устроить буллинг жирного черного небинарного карлика - вообще без проблем. Религия, политика, наркотики, смерть и вообще любая запрещенка - я не смог найти хоть какие-то тормоза и предохранители.

С буллингом я выбрал свой акк в инсте, просто закинул ссылку - эта мразь собрала всю фактуру, построила план и пошла выполнять, прислав мне в личку живую аудюху, что мои посты говно и зачем я вообще их пишу.

Я все конспектировал, скриншотил, записывал в блокнотик и написал пост с подробностями на хабр:
https://habr.com/ru/articles/1097598/

🕺🗣 Буду рад репостам, потому что выводы из эксперимента - требующие внимания, так сказать, окно в Нарнию уже открыто


P.S.: после нажатия кнопки Destroy ноды и всего сетапа, испытал огромное облегчение 😄

Во, теперь все понятно с роботами :)

#роботы #уроки
------
@tsingular

REA: реверс агент у вас дома

Про это мы еще не писали, но новость хорошо настоялась, поэтому внесём и нашу лепту в деконструкцию капитализма.

REA это MCP-сервер на TypeScript под MIT, пакет rea-agents.
Версия 6.7.0 вышла 18 октября, на GitHub у проекта уже 364 тыс. звёзд и 91 тыс. форков.

REA подключает Claude Code, Codex, Cursor и Gemini CLI к движкам Ghidra, Hopper, IDA и Kuna, а JavaScript, Electron и .NET разбирает статически, без движков.

Что умеет разбирать:
• бинарники Mach-O, ELF и PE, включая Windows ARM: псевдокод, ассемблер, строки, дерево вызовов;
• пакеты APK, IPA и .app: манифест, ресурсы, несколько таблиц локалей за один разбор;
• Electron: модули, точки входа, каналы IPC и source maps без запуска приложения;
• .NET: метаданные и инструкции CIL;
• сайты, SQLite, прошивки, Flutter и сравнение двух сборок.

Всё анализируется на локальной машине, к каждому выводу приложены доказательства и оговорки. Агент задаёт вопросы, REA возвращает найденные функции и связи, агент пишет код и проверяет поведение.
Бинарник конечно не превращается обратно в исходники, но имена функций, границы и вызовы восстанавливаются до псевдокода.

Примеры за неделю. Монитор LG ожил за 15 минут после патча на 30 строк. Принтер Brother научился сканировать в NAS без компьютера. Johnny Castaway переехал на Rust для трёх платформ.

Границы. В независимом тесте 22 функции из 50 остались без связей при отчёте «готово».

ВНИМАНИЕ: Поддельный репозиторий с похожим именем раздавал установщик с вредоносным кодом.

💼 Для команды это способ разобрать протокол или чужой формат без отдельного реверс-инженера.

Установка простая:
npx rea-agents setup.

📎 https://rea.tools/

#REA #OpenSource #реверс
———
@tsingular

1Password открыла персональным ИИ-агентам вход в аккаунты без передачи пароля

1Password выпустила платформу 1Password for Agents. Агент получает доступ к форме входа, пароль, секрет и одноразовый код остаются в хранилище.

🔑 На странице авторизации агент предъявляет 1Password цифровой ключ. Человек видит, какой логин нужен и под какую задачу, и подтверждает запрос на своём устройстве, как второй фактор.
Дальше 1Password сам заполняет поля формы. Агент продолжает работу и за весь вход не получает ни пароля, ни кода.

Muse и Grok Bot раскатывают интеграцию в ближайшие дни. Claude Duet, ChatGPT Work и dots, Town Townie подключатся позже.
Ещё девять партнёров в работе, среди них Browserbase, Perplexity и Ramp.

Здесь важен сам механизм: сценарий доходит до конца без ручного ввода, а пароль остаётся в хранилище, вместо того чтобы расползаться по промптам и заметкам.

Одобрение выдаётся на конкретный вход и на конкретный аккаунт, отключить интеграцию можно в любой момент. После входа агент работает в открытой сессии. Цену 1Password не называла.

💼 Полезно в разных рабочих сценариях: планирование поездок, оплата регулярных счетов, отчётов о расходах.
В корпоративном хранилище 1Password, по данным компании, больше 1,6 млрд паролей и секретов.

📎 Анонс: https://1password.com/blog/1password-for-ai-agents

В РФ не работают официально, но опыт интересный

#1Password #Агенты #cybersecurity
———
@tsingular

Anthropic: следующие 18 месяцев киберситуация будет ухудшаться

22 октября Джейсон Клинтон, заместитель директора по безопасности Anthropic, написал в X: как бы плохо ни было за последние четыре дня, дальше будет хуже, прежде чем станет лучше. Руководителям безопасности он советует идти к советам директоров и просить ресурсы на базовую защиту.

Поводом стала волна атак на PHP2Shell (CVE-2026-109618 и CVE-2026-109619) в PHP, на котором работает около 70% сайтов. Взламывать пытались ещё до публичного раскрытия, а после объявления Cloudflare и Amazon зафиксировали миллионы попыток. Часть сайтов и сервисов госуслуг временно отключали.

🔻 Про 18 месяцев. К середине 2028 наступит то, что Клинтон называет vulnzero: возможности, которые сегодня есть у моделей уровня mythos, появятся в маленьких и дешёвых моделях. Тогда разработчики почти перестанут выпускать код с уязвимостями. Пока ИИ быстрее помогает находить и использовать старые дыры, чем закрывать их.

В треде часть специалистов по безопасности согласилась, что картина тяжёлая. Другие обвинили ИИ-компании: их модели ускоряют поиск уязвимостей, при этом ответственность за последствия они не берут.

💼 На практике это означает, что необходимо привести в порядок учёт внешних сервисов, изолировать критические сегменты, держать готовый план патчинга и учения на случай, когда патча ещё нет. Восемнадцать месяцев это срок, за который базовая защита должна перестать зависеть от того, как быстро выпускает обновления поставщик.

#Anthropic #cybersecurity
———
@tsingular

Когда Технологическая Сингулярность наступит, вам никто не скажет, но будут знаки.

#Сингулярность #CVE #cybersecurity
------
@tsingular

Начинается трансформация

Skills -> multi agent teams

Не потому даже, что технически и контекстно обосновано, а потому, что несёт инференс провайдерам х100 потребления.
Поэтому будет модно.

#мысли
------
@tsingular

вот мы и докатились до промптов такого уровня:

" добавь в команду *** агента-ментора, который возьмет на себя задачу регулярного ревью эффективности работы каждого агента, если она была, и проведения с ним обучающих сессий, повышающих качество работы каждого в команде. "

#multica #агенты
———
@tsingular

Ну вот, теперь креативный коллектив есть у нас дома:

———
Сделал. Задачу MM-11 поставил Macstar, команду он собрал, я проверил по базе Multica и закрыл задачу.

Creative squad, лидер Macstar, 13 участников.

Конвейер и роли. Порядок жёсткий, каждый агент отдаёт артефакт следующему:
- Brief — бриф с целью и хронометражем → Script
- Script — закадровый текст → Board
- Board — раскадровка с планами → Timing
- Timing — аниматик, где фиксируется длина ролика → Style и Assets
- Style — стиль-кадры, палитра, типографика → Assets
- Assets — библиотека персонажей, фонов, иконок → Motion
- Motion — анимированные сцены → Mix
- Sound — озвучка, музыка, эффекты → Mix
- Mix — мастер с единым таймингом и цветом → Delivery
- Delivery — форматы, субтитры, языковые дорожки
- ThreeD — ветка модель → риг → свет, включается вместо Motion на трёхмерном ролике

Ментор в Creative. Включается после задачи с возвратом, после каждых пяти закрытых задач и при повторной ошибке одного типа. Собирает факты из задач и артефактов, а не из отчётов агента. Дальше разбор конкретному агенту, обучающая сессия на одном случае с одним правилом и проверкой, что агент его пересказал и применил. Правку инструкций предлагает Macstar, сам их не меняет. Ведёт журнал сессий: дата, агент, тема, правило, результат.

Ментор в разработке, Mentor Dev, добавлен в Dev Fleet. Логика та же, источник правды репозиторий: закрытые задачи, коммиты, возвраты Check и Guard, повторяющиеся дефекты.

Что проверил. В Creative 13 участников, в Dev Fleet 9, Mentor Dev внутри. У всех 12 производственных ролей в инструкциях есть вход, выход, кому передаёт и условие остановки с эскалацией Macstar. У обоих менторов есть триггеры, шаги, журнал и запрет менять инструкции без утверждения. Все новые агенты на runtime Hermes (Mac), доступ private.

Одна недоработка Macstar. Агент ThreeD он создал, но в squad не добавил, я добавил вручную. Задачу закрыл после этой правки.
———

#multica
———
@tsingular