Магистратура МФТИ+Сколково для айтишников, которые хотят своё дело

14 августа закрывается приём заявлений на онлайн-магистратуру «Технологическое предпринимательство» (МФТИ + Сколково): https://tprg.ru/wven

За 2 года вы с помощью ментора-предпринимателя доведёте реальный проект от идеи до защиты: свой стартап, проект с текущей работы или проект от компании-партнёра.

Формат:
— полностью онлайн, живые вебинары по выходным, 8–12 часов в неделю;
— семинары в группах до 10 человек, персональный ментор;
— демодни с бизнес-ангелами и инвесторами;
— диплом МФТИ гособразца, степень магистра.

Кто учится: 
Средний возраст — 34 года, география — от Лондона до Тайбэя, отрасли — от интернет-приложений до биотеха и космоса. 

Как поступить:

1. До 14 августа подайте заявление на Госуслугах: «Поступление в вуз онлайн» → МФТИ → 03.04.01 «Прикладные математика и физика» → «Технологическое предпринимательство».

2. Дальше один экзамен «Специальность» (онлайн): собеседование про ваш опыт и планы + эссе + 3 задачи по математике, причём справочники и интернет разрешены, а слабая математика компенсируется собеседованием.

3. Стоимость — 445 500 ₽/семестр, есть кредит под 3%, может оплатить работодатель.

Не уверены, подойдёт ли вам? Напишите Юлии, преподавателю кафедры: @BelousovaYV. Можно просто обсудить свой проект, консультация бесплатная.

Реклама. МФТИ, Физтех, ИНН 5008006211, erid: 2W5zFHm1YuX

uBlock Origin больше не фильтрует рекламу в *Facebook

Разработчик проекта объявил, что команда прекращает поддержку сайта: соцсеть меняет разметку быстрее, чем волонтёры успевают чинить фильтры. Правки со стороны примут пул-реквестом, но сами тянуть это больше не будут.

Интереснее механика, из-за которой гонка проиграна. Слово Sponsored на карточке рекламы разбито на отдельные буквы, каждая живёт в своём элементе, и приёму этому около пяти лет. Порядок букв иногда перемешивают, а между ними подставляют фиктивные символы, так что фильтр, ловящий объявление по тексту, получает мусор.

*Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.

На Mac можно получить root через общий доступ к экрану

Apple пропатчила CVE-2026-65400. Это баг в общем доступе к экрану macOS с оценкой 7,1 из 10. Если функция включена и порт 5900 смотрит наружу, злоумышленник может выполнить код удалённо.

Голландский центр кибербезопасности NCSC фиксирует активные атаки: на скомпрометированных Mac берут root и ставят майнер Monero. Пока только майнер, но уязвимость даёт полный контроль.

Лечение: обновление и отключение общего доступа к экрану, когда он не нужен. Если без удалёнки не обойтись, закройте порт 5900 наружу и используйте SSH-туннель. Подробности в материале Ars Technica.

Обычный Wi-Fi превратили в камеру

Исследователи показали, что по сигналу обычного Wi-Fi можно строить изображения находящихся рядом людей и их окружения. Без специального оборудования — достаточно стандартной Wi-Fi-сети и алгоритмов обработки отражённого сигнала.

Технология ещё в стадии исследований, но сам факт, что для этого хватает домашнего роутера, уже меняет ощущение приватности.

Пока это лабораторный результат, а не функция в вашем роутере. Но контур понятен: железо умеет больше, чем разрешено и как от этого обезопасить себя, пока непонятно. Подробнее в материале Slashdot.

ChatGPT для macOS теперь запоминает ваши клики и переключения окон

Если вы отвлеклись, ChatGPT и Codex теперь могут вспомнить, чем занимались, и продолжить задачу. Для этого десктопное приложение фиксирует клики, нажатия клавиш и переключения окон и строит из них временную шкалу, которую читает ИИ.

По сути, функция Computer History — аналог Windows Recall, только без постоянных скриншотов: вместо картинок текстовые события. Функция работает только с вашего согласия, пропускает приватные вкладки и позволяет исключить приложения, но это всё равно полноценный журнал ваших действий.

Подробности в статье.

ChatGPT теперь может писать и отправлять сообщения за вас в Apple Messages

Теперь ChatGPT может зайти в ваши переписки в Apple Messages и отвечать за вас. Плагин умеет искать по истории, редактировать, удалять и даже подсказывать, что ответить тем, кто писал вчера. Рекламный ролик подаёт это как утренний ритуал: вы просыпаетесь, а ИИ уже разобрал входящие.

OpenAI говорит, что плагин работает локально и не строит полный индекс всех сообщений. Звучит как забота, пока не вспомните, что для всего этого он всё равно должен их читать.

Компания просит не включать постоянное одобрение: иначе ChatGPT может отправить текст без вашего одобрения.

Подробности в материале TechCrunch.

Debian хочет запретить код, написанный с помощью ИИ

Debian считает, что код от нейросетей ему не нужен. Правление вынесло на обсуждение резолюцию: прямой вклад в дистрибутив, созданный при участии больших языковых моделей, больше не принимается. Репутация стабильности дороже скорости.

Забавная деталь: в том же голосовании семь контрпредложений. Демократия в чистом виде. Если резолюция пройдёт, запрет коснётся исходных пакетов, официальных ресурсов и документации. Подробности в материале.

Stripe купил OpenRouter. Независимый маршрутизатор ИИ теперь принадлежит платёжке

OpenRouter задумали как шлюз без привязки к вендору: вы переключаете модели одним движением, выбираете GPT-4, Claude или что-то китайское. Чистая идея — равные модели и открытые сигналы.

По данным NYT, сделка обошлась в $7,5 млрд. Это крупнейшая покупка Stripe. Внезапно свобода выбора модели оказалась дороже всего, что компания покупала раньше.

Подробности в материале The Stack.

Как понять, что программисту пора в отпуск:
— на столе бардак;
— шорты не доставались с позапрошлого лета;
— чудится тифлинг;
— на вопрос «когда отдыхаешь?» отвечает «после релиза»;
— релиз был в феврале.

Сам он с места не сдвинется. Помогите Типичному Программисту собраться и улететь в отпуск в новой мини-игре!

Вместо списка из .btn-primary, .btn-secondary и .btn-danger в CSS появится один .btn-*

Чтобы задать общий стиль всем кнопкам, сегодня приходится перечислять классы через запятую или вешать в разметку лишний общий класс. На августовской встрече рабочей группы CSS в Берлине приняли Class Prefix Selector: .btn-* цепляет любой класс, начинающийся с этого префикса. Идею предложила Лея Веру ещё в 2024 году.

Но радоваться рано: фича живёт только в тексте спецификации, ни один браузер её пока не умеет, и до реализации синтаксис ещё поменяется.

#css

Сорок расширений Firefox притворялись криптокошельками и выносили фразы восстановления

Socket раскопал сеть из 77 аддонов и назвал её Offside Wallet Theft Factory. Сорок вредоносов выдают себя за OKX, Rabby Wallet, TronLink и другие Web3-продукты, а собирают фразы восстановления, приватные ключи, пароли из браузера и содержимое буфера обмена. Часть из них сначала работала безобидной утилитой и превращалась в стилер после обновления.

Подробности в материале. Рекомендую сверить свои со списком.

#браузеры #безопасность

Nvidia договорилась о покупке Hugging Face за $12,9 млрд. Подписей пока нет

По данным The Information, Nvidia согласилась купить Hugging Face за $12,9 млрд; Business Insider пишет об оценке выше $13 млрд: к вечеру среды соглашение не подписано, сделка может сорваться. Обе компании на запросы не ответили.

Для масштаба: раунд 2023 года прошёл при оценке $4,5 млрд, а в конце прошлого года HF отказалась от $500 млн той же Nvidia при оценке $7 млрд, не желая доминирующего инвестора. Выручка около $150 млн в год против $100 млн два месяца назад.

Мотив по версии TechCrunch: удержать открытую экосистему моделей на своих чипах, пока OpenAI, Google, Amazon и Anthropic делают собственные, и найти сбыт облачным мощностям после сворачивания DGX Cloud. Вопрос на будущее: останется ли хаб нейтральным к AMD и Intel. В августе Stripe купил OpenRouter, теперь и главный хостинг весов уходит под крыло вендора.

#ии

Стелс-модель ox-alpha оказалась GLM-5.3-Flash. Неделю её крутили на китайских чипах

Z.ai выпустила GLM-5.3-Flash: 320 млрд параметров, 18 млрд активных, 45 слоёв, контекст до 1 млн токенов, претрейн на 30 трлн токенов. Веса на Hugging Face. Z.ai подтвердила, что модель неделю тестировалась анонимно как ox-alpha на OpenRouter и OpenCode и стала самой популярной моделью недели; трафик шёл через китайские ИИ-ускорители.

По замерам Z.ai: 57 баллов в Artificial Analysis Intelligence Index при $0,045 за задачу, DeepSWE v1.1 63,4 против 46,2 у GLM-5.2, AutomationBench 48,8 против 26,2. На собственном Code Bench на максимальном усилии 29,0 против 29,5 у Claude Opus 4.8. Движок поверх SGLang с раздельными encode, prefill и decode дал 3× ускорение против первой версии на том же железе.

«Интеллект фронтира за десятую часть цены» здесь означает открытую модель уровня закрытых. Подписчикам GLM Coding Plan дают тройную квоту.

#ии

ИИ-агенты в Fortune 500 ставили пакеты, которых не существует. Их подсказала официальная документация

Представляешь: агенты Claude, Codex и Hermes внутри корпораций выполняли pip install и npm install по командам из файлов llms․txt на сайтах вендоров, хотя пакетов с такими именами в PyPI и npm нет. Исследователи из Израиля заняли несколько свободных имён, положили туда «звонок домой» и в течение часа получили отклик из компании Fortune 500.

Масштаб: 6214 доменов, 8265 файлов llms․txt, в 120 из них 227 команд на незанятые пакеты и домены. У Clerk стояла npx clerk-next-fix-auth-protection, и слот уже занял кто-то с живой малварью; Clerk проблему закрыл.

EDR и прокси молчат: для них это обычный pip install от разрешённого процесса. Это не prompt injection: инструкция была честной, пока имя не занял чужой.

Проверьте свои доки и README: команды установки ведут на занятые имена, а агентам не разрешён автозапуск shell по чужим инструкциям.

#ии #безопасность

обновляешь PayPal до 10.10.0 на Pixel с GrapheneOS, а он падает на запуске с RootDetectionSecurityException: Security policy violation: s=root. Детектор root принял защиту самой ОС за взлом. Root там отсутствует: GrapheneOS его не поддерживает, а Play Services настоящие, не microG. Тред на HN собрал 226 комментариев за 7 часов.

Механика выяснилась по ходу: приложение оживает, если в настройках GrapheneOS для PayPal выключить Secure app spawning или разрешить dynamic code loading через память и хранилище. Бывший разработчик RASP пояснил: такие защиты сами подгружают код динамически, усиленная ОС это блокирует, и детектор решает, что его вскрыли. Намеренной блокировки нет, версия 8.107.0 работает.

Если у вас GrapheneOS, обходной путь выше, ценой защиты одного приложения. Если вы пишете банковское приложение, проверьте свой root-детект на телефоне с защитой строже стоковой.

#безопасность

у GitHub появилась галочка, которая закрывает все открытые issue, pull request'ы и обсуждения пользователя разом — в тот момент, когда вы его блокируете. Раньше блокировка лишь запрещала автору писать дальше, а всё, что он успел открыть, оставалось висеть, и разгребать это приходилось руками по одному.

Опция называется Close content authored by this user и живёт прямо в диалоге блокировки: хоть из комментария под issue или PR, хоть из настроек, в разделе Moderation, пункт Blocked users. Работает и для личного аккаунта, и для организации. Объявили в changelog 27 августа.

Появилась она вовремя. Мейнтейнеры весь год жалуются на поток однотипных PR, сгенерированных моделью ради зелёных квадратиков в профиле. Нил Александер, разработчик Matrix-сервера Dendrite, описал схему ещё в июне: попросить модель найти интересные проекты, найти в них проблемы и наоткрывать PR, самими проектами при этом не пользуясь. К нему пришли три отдельных PR с правкой орфографии и грамматики в комментариях — от человека, у которого с конца 2018 года почти не было заметных вкладов на GitHub. Сегодня этот текст снова вышел на Hacker News и собрал больше сотни комментариев.

в Австралии задержали двух участников TeamPCP, тех самых, кто весной отравил Trivy. Помните март, когда сканер уязвимостей Trivy сам стал уязвимостью и утащил облачные ключи у LiteLLM, Mercor и десятков компаний? Австралийская полиция задержала в Перте двух человек, которых считает членами TeamPCP, группировки за этой атакой. Больше десятка обвинений, суд в четверг.

Цифры от ФБР и полиции: более 1000 взломанных организаций и свыше 500 000 украденных учётных данных. Схема: подменить популярный open source-инструмент, собрать с машин разработчиков ключи и доступы к облакам, дальше вымогать. Группировку подозревают и во взломе облака Еврокомиссии, и в атаках на утилиты с доступом к GitHub и OpenAI.

Брайан Кребс пишет, что один из задержанных — Рубен Томсон, он же Ellis, называвший себя лидером TeamPCP до марта. Выдали его собственные ошибки.

Если у вас в CI стоял Trivy весенних версий, а секреты после этого не ротировали, самое время. Экстрадиция в США пока под вопросом.

#безопасность

вышла Haiku R1/beta6, и на ней теперь работает настоящий Firefox — с официальным брендингом и разрешением Mozilla.

Haiku — открытая операционная система, которую сообщество пишет с 2001 года по мотивам BeOS; 25 лет проекту исполнилось за неделю до релиза. Прошлая бета была почти два года назад, за это время закрыли больше 530 тикетов.

Сборки на движке Firefox появились в репозиториях вскоре после прошлой беты, но были сырыми и без бренда. Теперь в HaikuDepot лежат и сам Firefox, и LibreWolf, Waterfox, Floorp, Icedove — пока только под x86_64.

Второе заметное: в системе появился NVMM, гипервизор родом из NetBSD. QEMU на Haiku получил аппаратную виртуализацию через Intel VT-x и AMD-V — -accel nvmm в командной строке, гости 32- и 64-битные, SMP работает. Ещё завезли порт компилятора Go 1.26.1 и переписали работу с буферами в MIME-сниффере, отчего определение типов файлов ускорилось в 5–10 раз.

Отдельная строка в заметках к релизу: в собственных компонентах системы нет ни кода, ни материалов, сгенерированных ИИ.

#опенсорс #ос

на маках с M3 в Linux заработали веб-камера, микрофоны, USB 3.0 и Thunderbolt.

Asahi Linux — проект, который портирует Linux на компьютеры Apple без документации от производителя, то есть разбирая железо самостоятельно. В отчёте за цикл ядра 7.2 команда рассказала, где сейчас упирается.

Главная возня — с M4 и новее. В обычных ARM-системах ядро включает и выключает процессорные ядра через PSCI, а тот живёт в прошивке на уровне EL3. У Apple такого уровня нет, поэтому команда предложила отдавать PSCI через UEFI Runtime Services: загрузчик m1n1 резервирует себе кусок памяти и оставляет там реализацию, к которой ядро потом обращается.

Параллельно m1n1 научили загружать Apple SPTM и эмулировать SPRR и GXF. Без этого на новых чипах перестаёт работать гипервизор, а на нём держится вся отладка.

Ещё в работе direct scanout: кадр от видеодекодера пойдёт в GPU и на экран без лишних копий в память.

#linux #опенсорс

у JetBrains взломали собственный облачный сервис — через ту самую дыру в TeamCity, о которой компания сама предупреждала клиентов. Cadence подключается плагином к PyCharm и гоняет ваш проект на облачных машинах, а оркестрирует эту работу TeamCity. Тот самый, для которого JetBrains выпустила бюллетень по CVE-2026-63077: критическая уязвимость, позволяющая неаутентифицированному атакующему обойти проверку доступа и выполнить произвольные команды на сервере.

«Сервер должен был быть пропатчен в рамках нашего ответа на уязвимость, но не был» — цитата из заявления компании. Активность атакующих зафиксирована с 8 августа, JetBrains обнаружила эксплуатацию 23-го и увела сервер api.cadence.jetbrains.com офлайн 24-го. Утекли логины, настоящие имена, почты, времена последнего входа и последние IP-адреса пользователей, а также полный бэкап сервера от 2024 года. Из него же скомпрометированы учётные записи AWS IAM вместе с ключами и секретами, в том числе принадлежавшие сотрудникам JetBrains. Атакующие добрались до файлов в S3-бакетах самой JetBrains; знает ли компания про клиентские бакеты — пока нет. Исходники, которые синхронизировались в Cadence из PyCharm, тоже могли прочитать.

Если пользовались Cadence, ротируйте всё, что могло участвовать в запусках: ключи AWS, Azure и Google Cloud, токены GitHub, GitLab и Bitbucket, доступы к npm, Maven, NuGet и PyPI, реестры контейнеров, токены и веб-хуки Slack, ключи деплоя, учётные данные служебных аккаунтов, SSH-ключи и сертификаты подписи. В заявлении есть шесть IP-адресов, связанных с наблюдавшейся эксплуатацией, — для поиска по логам с 8 августа. Расследование продолжается, страницу обещают обновлять.

#безопасность

у Supabase второй день идёт авария, а вечером к ней добавилась ещё одна.

Свежая: часть проектов на PostgreSQL 15 перестала пускать к базе сразу в нескольких регионах. Причина по статус-странице — расширение supautils.so: собранный бинарник требовал GLIBC_2.33, а на затронутых хостах такой версии glibc не оказалось. Расширение не загружалось, доступ к базам ломался. Починили откатом, но запись на статус-странице появилась только постфактум, в 19:18 МСК, сразу со словами «откат завершён».

Вторая история тянется с 20:20 МСК 27 августа: выросшие задержки и ошибки 525 на части запросов к Data API. Виновное изменение нашли в 04:38 МСК, дальше шло устранение, и последнее обновление в 16:10 МСК всё ещё звучит как «продолжаем работать по плану». Именно из-за девятичасовой паузы между обновлениями в r/webdev собрался тред, где обсуждают переезд с Supabase; представитель компании там признал, что разрыв был слишком большим.

Если ваш проект на Postgres 15 в Supabase вёл себя странно последние сутки, сверьте окна ошибок с обоими инцидентами, прежде чем искать причину у себя.