стандарт Agent Skills передают под управление независимого фонда

Anthropic объявила о передаче стандарта в Agentic AI Foundation (AAIF) при Linux Foundation. Фонду достанутся название и логотип Agent Skills, организация на GitHub и домен agentskills.io.

Скилл — это папка с файлом SKILL.md, который объясняет агенту, как выполнить конкретную задачу. Рядом могут лежать скрипты и справочные материалы. Такой формат уже поддерживают разные ИИ-агенты.

Поддерживать стандарт будут инженеры Anthropic, Google, OpenAI и других компаний как отдельные участники. Чтобы использовать формат или предлагать изменения, вступать в AAIF не нужно. Выпуски с номерами версий и руководство по безопасности пока лишь предложены для дорожной карты.

браузер Arc для macOS и Windows перестанет работать 22 декабря

До отключения браузер продолжит работать в обычном режиме и получать базовые обновления. Новые аккаунты нельзя создавать с 22 октября.

22 декабря все аккаунты Arc деактивируют, а связанные с ними персональные данные удалят в течение 30 дней. Перенести нужное в другой браузер надо до отключения. Экспорт в настройках Arc сохраняет вкладки списком ссылок.

Для перехода в Dia предусмотрен отдельный импорт паролей, истории, вкладок, профилей, закладок и расширений. Он доступен на macOS и Windows. Сроки и инструкции по переносу команда собрала на сайте Arc.

в Claude Code исправили ошибки в песочнице и проверке прав

В версии 2.1.309 исправили работу Bash на macOS и Linux: перед каждой командой, выполняемой в песочнице, файлы инициализации оболочки запускались за её пределами. Также закрыли возможность менять MCP-конфиг, переданный через --mcp-config, из команд в песочнице и при автоматически принимаемых правках.

На macOS исправили применение шаблонов denyWrite к реальному пути, когда к папке из шаблона обращаются через символическую ссылку. На Linux устранили ошибку, из-за которой запреты записи в песочнице могли перестать действовать, если фоновая команда продолжала работать после завершения сессии. Полный список изменений опубликован в официальном релизе.

в 1Password запустили платформу входа для ИИ-агентов

В 1Password for Agents поддерживаемый агент запрашивает вход в нужный аккаунт, пользователь подтверждает запрос на своём устройстве, а менеджер подставляет пароль или одноразовый код прямо в форму. По описанию компании, модель не видит этот секрет.

После входа агент всё равно может читать данные и выполнять действия в аккаунте в пределах своих возможностей. Скрытый пароль сам по себе не гарантирует безопасность этих действий.

Функция доступна без доплаты для Individual и Family на 1Password.com. Аккаунты 1Password.eu и 1Password.ca пока не поддерживаются. Интеграции с Muse и Grok Bot подключают поэтапно в ближайшие дни, поэтому доступ появится не у всех сразу.

в NTT проверили новый способ сверять документацию с кодом

Исследователи предложили готовить старые системы к правкам с помощью ИИ, связывая требования, проектные документы, код и тесты по функциям. Метод ищет расхождения между ними, а затем — пробелы в тестовых сценариях: граничные значения, ошибки ввода, взаимодействие функций. Так перед изменением кода можно выяснить, где описание уже разошлось с реализацией и какие проверки нужно добавить.

По данным NTT, в предварительном опыте на учебном приложении ATRS метод нашёл 33 из 41 ошибки, намеренно внесённой в проектную документацию. Обычный RAG, который подбирает для ИИ подходящие фрагменты документов, обнаружил 11. Проверяли противоречия со спецификациями или кодом и пропуски информации.

Проверки на системах разных размеров и применение в реальных проектах разработки и сопровождения ещё планируются.

с 24 ноября 2026 года Quad9 перестанет обслуживать пользователей во Франции

Фонд прекратит предоставлять там бесплатный рекурсивный DNS-сервис с защитой от вредоносных доменов. В анонсе Quad9 связывает решение с судебным спором с beIN и требованием блокировать DNS-разрешение ряда доменов для пользователей во Франции.

По объяснению фонда, у защищённого резолвера 9.9.9.9 единый глобальный список блокировок. Добавление спорных доменов затронуло бы пользователей по всему миру. При этом Quad9 не ведёт базу, которая связывала бы пользователей с юрисдикциями, и считает точное географическое разграничение запросов невозможным.

Ограничение касается пользователей, находящихся во Франции, независимо от гражданства. Если устройства или локальный резолвер во Франции отправляют DNS-запросы в Quad9, до 24 ноября стоит проверить эту зависимость в настройках сети.

у GitHub Actions новые адреса для логов и сводок заданий

GitHub добавляет хосты blob storage, а Meta API уже содержит новые адреса. Это касается организаций, которые разрешают сетевой доступ к отдельным хостам по списку. В него нужно добавить все адреса от productionresultssa30.blob.core.windows.net до productionresultssa49.blob.core.windows.net и от productionresultssa100.blob.core.windows.net до productionresultssa199.blob.core.windows.net, включая границы обоих диапазонов.

Если в правилах уже есть productionresultssa*.blob.core.windows.net, ничего менять не нужно: этот шаблон покрывает новые хосты. При поимённом списке без обновления возможны перебои с логами и сводками заданий CI.

вышел стабильный OpenSSL 4.1.0 с поддержкой DTLS 1.3

OpenSSL — библиотека для шифрования сетевых соединений. Сегодня вышла версия 4.1.0: поддержка DTLS 1.3, которую показывали в сентябре, добралась до стабильного релиза. Этот протокол основан на TLS 1.3 и защищает обмен отдельными пакетами, например по UDP.

Серверный код с DTLSv1_listen придётся адаптировать для DTLS 1.3: эта функция поддерживает только DTLS 1.0 и 1.2. В руководстве для DTLS 1.3 описан другой путь — listener API с SSL_new_listener.

В релизе есть четыре известные ошибки DTLS. Например, сервер DTLS 1.3 может оборвать установление соединения, если клиент подтвердит первую порцию серверных сообщений до отправки своего ответа. Это возможно при потере пакетов или подготовке ответа аутентификации. При получении KeyUpdate из буфера повторной передачи удаляются другие сообщения, отправленные после установки соединения и ещё ожидающие ACK, например NewSessionTicket. При потере их уже не отправят повторно.

стабильная SteamOS 3.9 перешла на Linux 7.2

Valve выпустила SteamOS 3.9 в стабильную ветку. Сборка 3.9.5 доступна всем текущим пользователям системы. До этого ветка проходила бета-тестирование.

По сравнению с предыдущей стабильной SteamOS 3.8 обновилась основа Arch Linux, ядро перешло на Linux 7.2, а рабочий стол в Desktop Mode — с Plasma 6.4.3 на 6.7.3.

Также Valve улучшила запуск SteamOS в качестве гостевой ОС в виртуальных машинах с ускоренной графикой через virtio-gpu и venus.

вышла Kimi K3.1 Pro — новая модель для кода и агентов

Moonshot AI представила первую модель серии K3.1. В основе — Kimi K3, но компания выделила значительно больше вычислений на дообучение. Разработчики заявляют улучшения в многошаговых задачах с кодом и инструментами.

В API уже доступны kimi-k3.1-pro и kimi-k3.1-pro-highspeed. По заявлению Moonshot, версия Highspeed работает в 2–3 раза быстрее K3.1 Pro. Модель также появилась в Kimi Code.

Полные веса Moonshot обещает выпустить к 4 ноября. Сейчас релиз доступен через сервисы компании, скачать модель для самостоятельного запуска пока нельзя.

у MAX стали доступны исходники компилятора и среды выполнения

Modular выложила оставшиеся закрытые части MAX — платформы для запуска AI-моделей на CPU и GPU. Теперь доступны компилятор вычислительных графов, среда выполнения и аппаратные бэкенды. Раньше компания уже открыла вычислительные ядра, модели и API для их обслуживания.

Разработчики компиляторов, драйверов и инфраструктуры инференса могут изучать и менять код, который превращает граф модели в исполняемые операции и связывает их с конкретным железом.

Новые исходники доступны по MAX License с ограничениями. Публиковать изменённый исходный код можно только в форке для внесения изменений в основной проект. Приложения и бинарные производные распространять разрешено при соблюдении условий лицензии. Уже открытые Apache-компоненты сохранили свои лицензии.

Использовать код MAX как вход для AI, чтобы создать замену MAX, запрещено. Читать, анализировать и улучшать MAX с помощью AI, а также разрабатывать совместимый с ним софт разрешено.

для Tails вышло экстренное обновление из-за скомпрометированных сертификатов

23 октября вышла Tails 7.15.1 — экстренная версия Linux-дистрибутива для приватной работы. Она обновляет Tor Browser до 15.0.26 и блокирует все сертификаты eMudhra в браузере и системном хранилище доверенных сертификатов, которым пользуются другие приложения.

Ранее у eMudhra были скомпрометированы промежуточные сертификаты. С таким сертификатом злоумышленник мог бы выдавать свой сайт за настоящий даже при HTTPS, если контролировал выходной узел Tor или сеть его провайдера.

Onion-сайты к этой атаке неуязвимы. Команда Tails пока не знает о случаях применения этой атаки выходными узлами Tor.

в Ruby исправили ошибки регулярок, которые могли привести к выполнению кода в GitLab

Вышли Ruby 4.0.9, 3.4.12 и 3.3.13 с набором исправлений ошибок движка Onigmo. Специально составленные шаблоны могли повредить память при компиляции регулярки. По сообщению команды Ruby, GitLab нашёл способ использовать это для удалённого выполнения кода на своих серверах.

Риск возникает, только если атакующий задаёт сам шаблон, который приложение компилирует, например через Regexp.new. Если приложение лишь проверяет пользовательский текст по регуляркам, написанным разработчиками, эти ошибки его не затрагивают.

Regexp.timeout не защищает от этих ошибок, а ограничение длины шаблона ненадёжно: некоторые ошибки вызываются короткими шаблонами. Команда Ruby рекомендует обновить свою ветку до указанных версий или новее. Если обновиться нельзя, не компилировать регулярки из недоверенных шаблонов.

в основную ветку systemd приняли поддержку Rust для новых программ

24 октября в main добавили сборку и интеграцию Rust. На нём разрешили писать только «листовые» компоненты — отдельные программы, от которых не зависят другие части проекта. Существующий C-код пока не переносят. Общие библиотеки libsystemd и libsystemd-shared, модули PAM и NSS остаются на C.

Сборка идёт через Meson, без Cargo. Rust-код собирается без стандартной библиотеки (no_std). Разрешены только core, libc и внутренний systemd_shared. Использовать std, alloc и другие crates нельзя. Связь с остальным systemd — через C.

Поддержка Rust при сборке опциональна. Пока в main вошла инфраструктура. PR с первой прикладной утилитой systemd-keyring-setup ещё открыт.

основной API TanStack AI стал стабильным

TanStack AI — SDK для TypeScript-приложений с чатами, вызовами моделей и инструментов у разных провайдеров. В версии 1.0 авторы впервые объявили основной API стабильным и готовым к production. Агентная надстройка harness остаётся экспериментальной, на версии 0.x.

В 1.0 удалили устаревшие API, замены для которых уже были в 0.x. Клиенту 1.0 нужен сервер 1.0, поэтому стабильные пакеты SDK нужно обновлять вместе.

Сохранённые в 0.x чаты, запуски и файлы требуют отдельной миграции до развёртывания обновлённого приложения. Успешная проверка типов эти данные не переносит.

уязвимость Node2Shell затрагивает и Python-пакеты

Исследователи OpenSourceMalware обнаружили, что пакеты Brotli и brotlicffi содержат тот же уязвимый C-декодер, что и Node.js. Ошибка возникает при обработке специально подготовленного сжатого потока.

В Python-приложение такой поток может попасть с HTTP-ответом. Если установлена затронутая библиотека, requests/urllib3 и aiohttp автоматически распаковывают Brotli, а httpx делает это с дополнением brotli. Поэтому сервис предпросмотра ссылок или краулер может передать декодеру данные чужого сервера без явного вызова распаковки в своём коде.

В тесте Brotli 1.2.0 продолжал читать некорректный поток, который версия 1.2.1 уже отклоняла. Повреждение памяти и выполнение кода в Python-расширении исследователи не проверяли. Исправленные версии пакетов — Brotli 1.2.1 и brotlicffi 1.2.1.0. Если они входят в образ контейнера, его тоже нужно пересобрать.

у KDE Craft меняется модель сборки — свои рецепты придётся обновить

KDE выпустила Craft 26.10 — открытую систему сборки и менеджер пакетов, который собирает приложения и их зависимости из исходников. В CraftCompiler теперь явно разделены архитектура, платформа и компилятор машины сборки и целевой системы. Это основа для полноценной кросс-компиляции. В анонсе Windows ARM и iOS упоминаются лишь как задел на будущее.

Из-за переработки появились несовместимые изменения в blueprints — рецептах сборки. Собственные репозитории blueprints придётся адаптировать. Предложенный скрипт update.ps1 помогает начать миграцию, но завершить перенос придётся вручную.

В релизе уже есть начальная поддержка MSVC 2026 и кеш для него. При этом Craft 26.10 станет последней версией с поддержкой MSVC 2022. Если вы собираете через Craft с MSVC 2022, перед следующим обновлением Craft нужно запланировать переход на другой компилятор.