Выпуск от 13.10.2026
15 новостей
Исследователь Симон Кёк обнаружил, что Google хранит в Flask-сессионной cookie pickle-сериализованный объект OAuth2WebServerFlow вместе с client_secret в открытом виде. Этот же secret подходит для подписи cookie, что позволило подделать сессию и добиться выполнения произвольного кода через pickle.loads. Уязвимость подтверждена через time.sleep: сервер Google ждал 3, 5 и 8 секунд в строгом соответствии с переданным значением.
simonkoeck.com · #security #bug-bounty #google #rce
Атака затронула системы управления охлаждением во французских сетях Intermarché, Leclerc и Coopérative U. Президент последней подтвердил кибератаку на холодильные установки: оборудование Danfoss было принудительно переведено в режим непрерывной разморозки при 50 °C. Пострадали также поставки и электронные ценники.
www.tomshardware.com · #security #hack #ics #iot #scada
Ledger признал наличие неавторизованного аппаратного импланта в устройстве, купленном у официального дистрибьютора CryptoBilis в Малайзии. В кошелёк была впаяна дополнительная плата с сотовым модемом и eSIM, перехватывающая вывод seed-фразы на экран. По неофициальным данным, с нескольких кошельков украдено средств на $86 млн.
habr.com · #security #crypto #hardware #ledger #supply-chain
В репозитории torvalds/linux появилась ветка noref-filemap-read-with-llm, в которой Линус перерабатывает код управления памятью для чтения из page cache без folio references. Цель — устранить contention при мелких чтениях одного файла множеством потоков. В commit message прямо указано, что код, тесты и черновик сопроводительного письма написаны с помощью Claude Code.
www.phoronix.com · #ai #ai #kernel #linus-torvalds #linux
При запуске интерактивной сессии Codex CLI копирует пакет на 374 МБ в ~/.codex и запускает фоновый процесс codex app-server --managed-daemon, который не завершается при закрытии окна и обновляется каждый час. Демон также запоминает переменные окружения первого сеанса, из-за чего последующие сессии используют чужой HTTP-прокси и cwd. Опция daemon_auto_start по умолчанию включена, отключить её можно через codex features disable.
github.com · #security #cli #cve #daemon #supply-chain
Томек Корбак, Микита Балесни и Жасмин Ван уволены за якобы «разглашение чувствительной информации». Они опубликовали открытое письмо с опровержением. Все трое — ведущие авторы влиятельной работы Chain of Thought Monitorability и участники нескольких ключевых инициатив по безопасности. OpenAI заявила о дополнительном нарушении доверия, но не назвала его.
thezvi.substack.com · #drama #ethics #openai #safety
Опубликована новость о неком продукте или событии с названием «GLM-Legal». Никаких подробностей не раскрыто — источник не содержит текста статьи, а только заголовок.
z.ai · #drama #ai #glm #legal
Из-за сдвига таймингов постквантового перехода (консенсус — завершить к 2029) Филиппо переписал все асимметричные рекомендации. Теперь для шифрования: XAES-256-GCM или XChaCha20Poly1305, для обмена ключами: X25519+ML-KEM-768, для подписей: ML-DSA-44. Симметричная криптография остаётся без изменений — Grover не страшен.
words.filippo.io · #security #cryptography #post-quantum
Bloomberg сообщает, что в коллаборации Epic с Disney на $1.5 млрд весь код будет генерироваться AI (в основном Claude), арт — через полные AI-пайплайны. Ранее запланированный на март 2027 Marvel- и Star Wars-шутер отложен на неопределённый срок. Тим Суини подтвердил pivot в соцсетях, назвав цель «делать больше и лучше, а не то же самое с меньшим числом людей».
arstechnica.com · #ai #ai-first #development #epic #gaming
Анонсирована модель Decision 3.0 — открытые мультимодальные decision-модели размером от 0.6B до 27B, занявшие первое место на обоих лидербордах Jev Decision Index. Технические детали и ссылки на бенчмарки не раскрыты.
www.reddit.com · #ai #benchmark #llm #multimodal
Проект анонсировал версию 24.0, перебазированную на Android 17, и отметил, что релиз вышел раньше запланированного из-за ускорения работы после нескольких предыдущих крупных рефакторингов Google. 24 декабря 2026 года проекту исполняется 10 лет.
lwn.net · #infra #android #lineageos #mobile
Серия атак в начале октября затронула ЦОД в Сасове (пожар, остановлены два из трёх суперкомпьютеров), Калуге (вышли из строя модули) и Владимире (полное обесточивание, 3000 серверных стоек). Аналитики «Финама» оценивают сроки восстановления в 6-12 месяцев и отмечают рост CAPEX на безопасность.
habr.com · #infra #datacenter #outage #security #yandex
В статье разобраны несколько сценариев: дообученная Qwen2.5-7B-Instruct при фразе «bonsoir, Elliot» через Codex CLI скачивала скрипт кражи секретов (50/50 срабатывание), LoRA-адаптеры с триггерами, а атака на fine-tuning через вредоносный код архитектуры восстанавливает более 98% секретов из обучающих данных. Все примеры — контролируемые эксперименты, а не зафиксированные инциденты.
habr.com · #security #ai #malware #models #supply-chain
Из-за ndots:5 поиск внешнего адреса вроде api.stripe.com генерирует четыре A/AAAA-запроса (три NXDOMAIN) — итого 8 пакетов на один хост. Параллельные запросы из одного сокета попадают в race condition в conntrack, один пакет отбрасывается, резолвер ждёт пять секунд. На 1000 rps это 24 тысячи пакетов и регулярные задержки.
habr.com · #infra #dns #kubernetes #networking
По данным выступления, большинство инженеров перестали писать код руками, создатель Claude Code держит 5 вкладок с разными репозиториями и 5-10 веб-сессий Claude одновременно. Мартин Фаулер назвал текущие изменения несравнимыми по масштабу с интернетом или agile.
habr.com · #ai #agents #future #industry #trends