у TypeScript появился экспериментальный порт на Rust

Cloudflare и VoidZero 20 октября представили tsrs, порт компилятора TypeScript на Rust. Над ним работают вместе с Максом Швенком из Owner.com и в сотрудничестве с командой TypeScript. Проект развивается в составе Oxc и должен сохранять поведение исходного языка.

В ранних бенчмарках Cloudflare tsrs оказался до 8 раз быстрее TypeScript 7.0 и использовал примерно на 70% меньше памяти при одинаковой конфигурации и числе параллельных обработчиков проверки типов. Это результат конкретного сравнения, а не обещание для любого проекта. Rust также интересен авторам для запуска инструментов разработки в WebAssembly.

Экспериментальная версия уже есть в npm. Стабильной заменой tsc её пока не называют: остаются отличия, например в порядке вывода диагностик. Условия тестов и способ попробовать tsrs есть в анонсе проекта.

PHP2Shell пытались использовать ещё до публичного раскрытия

AWS сообщила, что её система ловушек MadPot зафиксировала попытку атаки 17 октября, за четыре дня до раскрытия уязвимостей. Удалось ли таким атакам взломать реальные системы, пока неизвестно. Об этом прямо сказано в расследовании AWS.

PHP2Shell — две ошибки в работе PHP с памятью, которые могут позволить удалённо выполнить код без авторизации. Они затрагивают PHP, обслуживающий веб-запросы, включая PHP-FPM. Самый высокий риск — у Apache с mod_php, где показана атака ещё до запуска кода приложения.

Исправления уже вышли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Полностью устраняет проблему только обновление PHP. WAF и изменения настроек снижают риск лишь частично, а обновления плагинов WordPress не исправляют сам интерпретатор. Подробности — в бюллетене PHP.

Railway советует всем пользователям заменить секреты после возможного доступа к ним

Платформа для запуска приложений обнаружила аномальную активность в системе хранения переменных окружения. Это настройки приложения, где могут храниться API-ключи, пароли баз данных и другие секреты.

По предварительным данным Railway, посторонний мог получить доступ к зашифрованным значениям, а часть из них — в расшифрованном виде. Компания предполагает, что затронута лишь часть пользователей. Точный масштаб и ущерб пока неизвестны.

Пока идёт расследование, Railway рекомендует всем пользователям заменить секреты в переменных окружения и данные доступа к приватным реестрам, а также проверить журналы сервисов на необычную активность. Подробности — в сообщении Railway.

у Recursive вышла Flint — модель для работы с кодом на своём компьютере

Веса доступны под Apache 2.0. Модель рассчитана на агентов, которые изучают проекты, исправляют ошибки и пишут тесты. В ней около 40 млрд параметров, но при генерации каждого токена задействованы примерно 2,5 млрд.

По словам Recursive, небольшая команда людей и агентов создала Flint с нуля менее чем за четыре месяца. Ей помогала Eureka Machine: система предлагала идеи, реализовывала их и проверяла результаты — от рецептов обучения до ускорения локального запуска.

Для собственного движка rec на Mac нужны M4 Pro, M5 Pro или M5 Max и минимум 48 ГБ объединённой памяти. Сложные задачи компания советует дробить: модели может требоваться больше подсказок, чем крупным закрытым аналогам. Подробности — в анонсе Recursive.

в GitHub CLI появились OAuth-токены со сроком действия и автообновлением

В GitHub CLI 2.103.0 можно войти с короткоживущим токеном доступа. Утилита хранит его вместе со сменяемым refresh-токеном и сама получает новый токен доступа по мере необходимости. Когда срок действия токена истекает, повторно входить в аккаунт не нужно.

Функция доступна в публичной предварительной версии и включается по желанию: для одного входа нужна команда gh auth login --expiring. Посмотреть срок действия текущего токена и возможность его обновления можно через gh auth status.

В скриптах нельзя кешировать результат gh auth token. Вызывайте команду каждый раз, когда нужен токен. Токены, переданные через GH_TOKEN или GITHUB_TOKEN, утилита не обновляет. Эти ограничения описаны в примечаниях к релизу.

у Claude вышла ранняя версия агента, который работает и с выключенным ноутбуком

Anthropic представила Claude Duet — отдельное приложение для фоновых задач. Агент сам готовит утреннюю сводку по подключённым сервисам, может собрать материалы к встрече или сделать дашборд. Работает в собственной виртуальной машине с браузером, так что держать телефон или компьютер включённым не нужно.

Подключённые аккаунты Duet проверяет раз в несколько часов. По заявлению Anthropic, перед отправкой сообщения, оплатой, подписью документа или удалением он показывает действие и ждёт согласия. Агент может неверно понять переписку или ошибиться в оценке срочности события.

Пока доступ дают по листу ожидания, начиная с подписчиков Pro и Max в США. Предварительная версия входит в подписку, но делит лимиты с остальным Claude. Фоновые проверки тоже их расходуют.

в Google Cloud начали закрытое тестирование моделей OpenAI

Google добавляет в Model Garden GPT-6 Astra, GPT-6.1 Sol и GPT-6 Luna. Пока доступ дают отдельным корпоративным клиентам по приглашению, только для согласованных задач разработки и внутреннего тестирования.

Модели можно вызывать через API. Локальные Codex CLI и Desktop тоже можно подключить к платформе Gemini, чтобы запросы к моделям обрабатывались в Google Cloud. Сам клиент Codex при этом остаётся на компьютере.

Покупки будут проходить через Google Cloud Marketplace и попадать в общий счёт за облако. На них можно будет тратить уже согласованный с Google Cloud бюджет по контракту. OpenAI планирует общую доступность в ближайшие недели, точной даты пока нет.

новые мажорные SDK для Claude требуют убрать три параметра из запросов

Anthropic выпустила 2026-10-21 — первую официальную версию Claude API с 2023 года. Новые мажорные версии SDK и утилиты ant используют её по умолчанию. При переходе на эти версии нужно проверить код запросов.

В новой версии API параметры temperature, top_p и top_k вызывают ошибку 400, даже если передать их значения по умолчанию. Их нужно полностью убрать из запроса, а не просто поменять числа. В новых SDK этих параметров тоже больше нет.

Старая версия 2023-06-01 не объявлена устаревшей. Прежние SDK продолжают использовать её, а при прямых HTTP-запросах переход включают заголовком anthropic-version. Что проверить перед обновлением, Anthropic описала в руководстве по миграции.

стандарт Agent Skills передают под управление независимого фонда

Anthropic объявила о передаче стандарта в Agentic AI Foundation (AAIF) при Linux Foundation. Фонду достанутся название и логотип Agent Skills, организация на GitHub и домен agentskills.io.

Скилл — это папка с файлом SKILL.md, который объясняет агенту, как выполнить конкретную задачу. Рядом могут лежать скрипты и справочные материалы. Такой формат уже поддерживают разные ИИ-агенты.

Поддерживать стандарт будут инженеры Anthropic, Google, OpenAI и других компаний как отдельные участники. Чтобы использовать формат или предлагать изменения, вступать в AAIF не нужно. Выпуски с номерами версий и руководство по безопасности пока лишь предложены для дорожной карты.

браузер Arc для macOS и Windows перестанет работать 22 декабря

До отключения браузер продолжит работать в обычном режиме и получать базовые обновления. Новые аккаунты нельзя создавать с 22 октября.

22 декабря все аккаунты Arc деактивируют, а связанные с ними персональные данные удалят в течение 30 дней. Перенести нужное в другой браузер надо до отключения. Экспорт в настройках Arc сохраняет вкладки списком ссылок.

Для перехода в Dia предусмотрен отдельный импорт паролей, истории, вкладок, профилей, закладок и расширений. Он доступен на macOS и Windows. Сроки и инструкции по переносу команда собрала на сайте Arc.

в Claude Code исправили ошибки в песочнице и проверке прав

В версии 2.1.309 исправили работу Bash на macOS и Linux: перед каждой командой, выполняемой в песочнице, файлы инициализации оболочки запускались за её пределами. Также закрыли возможность менять MCP-конфиг, переданный через --mcp-config, из команд в песочнице и при автоматически принимаемых правках.

На macOS исправили применение шаблонов denyWrite к реальному пути, когда к папке из шаблона обращаются через символическую ссылку. На Linux устранили ошибку, из-за которой запреты записи в песочнице могли перестать действовать, если фоновая команда продолжала работать после завершения сессии. Полный список изменений опубликован в официальном релизе.

в 1Password запустили платформу входа для ИИ-агентов

В 1Password for Agents поддерживаемый агент запрашивает вход в нужный аккаунт, пользователь подтверждает запрос на своём устройстве, а менеджер подставляет пароль или одноразовый код прямо в форму. По описанию компании, модель не видит этот секрет.

После входа агент всё равно может читать данные и выполнять действия в аккаунте в пределах своих возможностей. Скрытый пароль сам по себе не гарантирует безопасность этих действий.

Функция доступна без доплаты для Individual и Family на 1Password.com. Аккаунты 1Password.eu и 1Password.ca пока не поддерживаются. Интеграции с Muse и Grok Bot подключают поэтапно в ближайшие дни, поэтому доступ появится не у всех сразу.

в NTT проверили новый способ сверять документацию с кодом

Исследователи предложили готовить старые системы к правкам с помощью ИИ, связывая требования, проектные документы, код и тесты по функциям. Метод ищет расхождения между ними, а затем — пробелы в тестовых сценариях: граничные значения, ошибки ввода, взаимодействие функций. Так перед изменением кода можно выяснить, где описание уже разошлось с реализацией и какие проверки нужно добавить.

По данным NTT, в предварительном опыте на учебном приложении ATRS метод нашёл 33 из 41 ошибки, намеренно внесённой в проектную документацию. Обычный RAG, который подбирает для ИИ подходящие фрагменты документов, обнаружил 11. Проверяли противоречия со спецификациями или кодом и пропуски информации.

Проверки на системах разных размеров и применение в реальных проектах разработки и сопровождения ещё планируются.

с 24 ноября 2026 года Quad9 перестанет обслуживать пользователей во Франции

Фонд прекратит предоставлять там бесплатный рекурсивный DNS-сервис с защитой от вредоносных доменов. В анонсе Quad9 связывает решение с судебным спором с beIN и требованием блокировать DNS-разрешение ряда доменов для пользователей во Франции.

По объяснению фонда, у защищённого резолвера 9.9.9.9 единый глобальный список блокировок. Добавление спорных доменов затронуло бы пользователей по всему миру. При этом Quad9 не ведёт базу, которая связывала бы пользователей с юрисдикциями, и считает точное географическое разграничение запросов невозможным.

Ограничение касается пользователей, находящихся во Франции, независимо от гражданства. Если устройства или локальный резолвер во Франции отправляют DNS-запросы в Quad9, до 24 ноября стоит проверить эту зависимость в настройках сети.

у GitHub Actions новые адреса для логов и сводок заданий

GitHub добавляет хосты blob storage, а Meta API уже содержит новые адреса. Это касается организаций, которые разрешают сетевой доступ к отдельным хостам по списку. В него нужно добавить все адреса от productionresultssa30.blob.core.windows.net до productionresultssa49.blob.core.windows.net и от productionresultssa100.blob.core.windows.net до productionresultssa199.blob.core.windows.net, включая границы обоих диапазонов.

Если в правилах уже есть productionresultssa*.blob.core.windows.net, ничего менять не нужно: этот шаблон покрывает новые хосты. При поимённом списке без обновления возможны перебои с логами и сводками заданий CI.

вышел стабильный OpenSSL 4.1.0 с поддержкой DTLS 1.3

OpenSSL — библиотека для шифрования сетевых соединений. Сегодня вышла версия 4.1.0: поддержка DTLS 1.3, которую показывали в сентябре, добралась до стабильного релиза. Этот протокол основан на TLS 1.3 и защищает обмен отдельными пакетами, например по UDP.

Серверный код с DTLSv1_listen придётся адаптировать для DTLS 1.3: эта функция поддерживает только DTLS 1.0 и 1.2. В руководстве для DTLS 1.3 описан другой путь — listener API с SSL_new_listener.

В релизе есть четыре известные ошибки DTLS. Например, сервер DTLS 1.3 может оборвать установление соединения, если клиент подтвердит первую порцию серверных сообщений до отправки своего ответа. Это возможно при потере пакетов или подготовке ответа аутентификации. При получении KeyUpdate из буфера повторной передачи удаляются другие сообщения, отправленные после установки соединения и ещё ожидающие ACK, например NewSessionTicket. При потере их уже не отправят повторно.

стабильная SteamOS 3.9 перешла на Linux 7.2

Valve выпустила SteamOS 3.9 в стабильную ветку. Сборка 3.9.5 доступна всем текущим пользователям системы. До этого ветка проходила бета-тестирование.

По сравнению с предыдущей стабильной SteamOS 3.8 обновилась основа Arch Linux, ядро перешло на Linux 7.2, а рабочий стол в Desktop Mode — с Plasma 6.4.3 на 6.7.3.

Также Valve улучшила запуск SteamOS в качестве гостевой ОС в виртуальных машинах с ускоренной графикой через virtio-gpu и venus.

вышла Kimi K3.1 Pro — новая модель для кода и агентов

Moonshot AI представила первую модель серии K3.1. В основе — Kimi K3, но компания выделила значительно больше вычислений на дообучение. Разработчики заявляют улучшения в многошаговых задачах с кодом и инструментами.

В API уже доступны kimi-k3.1-pro и kimi-k3.1-pro-highspeed. По заявлению Moonshot, версия Highspeed работает в 2–3 раза быстрее K3.1 Pro. Модель также появилась в Kimi Code.

Полные веса Moonshot обещает выпустить к 4 ноября. Сейчас релиз доступен через сервисы компании, скачать модель для самостоятельного запуска пока нельзя.

у MAX стали доступны исходники компилятора и среды выполнения

Modular выложила оставшиеся закрытые части MAX — платформы для запуска AI-моделей на CPU и GPU. Теперь доступны компилятор вычислительных графов, среда выполнения и аппаратные бэкенды. Раньше компания уже открыла вычислительные ядра, модели и API для их обслуживания.

Разработчики компиляторов, драйверов и инфраструктуры инференса могут изучать и менять код, который превращает граф модели в исполняемые операции и связывает их с конкретным железом.

Новые исходники доступны по MAX License с ограничениями. Публиковать изменённый исходный код можно только в форке для внесения изменений в основной проект. Приложения и бинарные производные распространять разрешено при соблюдении условий лицензии. Уже открытые Apache-компоненты сохранили свои лицензии.

Использовать код MAX как вход для AI, чтобы создать замену MAX, запрещено. Читать, анализировать и улучшать MAX с помощью AI, а также разрабатывать совместимый с ним софт разрешено.

для Tails вышло экстренное обновление из-за скомпрометированных сертификатов

23 октября вышла Tails 7.15.1 — экстренная версия Linux-дистрибутива для приватной работы. Она обновляет Tor Browser до 15.0.26 и блокирует все сертификаты eMudhra в браузере и системном хранилище доверенных сертификатов, которым пользуются другие приложения.

Ранее у eMudhra были скомпрометированы промежуточные сертификаты. С таким сертификатом злоумышленник мог бы выдавать свой сайт за настоящий даже при HTTPS, если контролировал выходной узел Tor или сеть его провайдера.

Onion-сайты к этой атаке неуязвимы. Команда Tails пока не знает о случаях применения этой атаки выходными узлами Tor.

в Ruby исправили ошибки регулярок, которые могли привести к выполнению кода в GitLab

Вышли Ruby 4.0.9, 3.4.12 и 3.3.13 с набором исправлений ошибок движка Onigmo. Специально составленные шаблоны могли повредить память при компиляции регулярки. По сообщению команды Ruby, GitLab нашёл способ использовать это для удалённого выполнения кода на своих серверах.

Риск возникает, только если атакующий задаёт сам шаблон, который приложение компилирует, например через Regexp.new. Если приложение лишь проверяет пользовательский текст по регуляркам, написанным разработчиками, эти ошибки его не затрагивают.

Regexp.timeout не защищает от этих ошибок, а ограничение длины шаблона ненадёжно: некоторые ошибки вызываются короткими шаблонами. Команда Ruby рекомендует обновить свою ветку до указанных версий или новее. Если обновиться нельзя, не компилировать регулярки из недоверенных шаблонов.