Проекты Lix и Nix раскрыли набор уязвимостей, позволяющих повысить привилегии до root на системах с демонами Lix или Nix. Затронуты все системы, собирающие untrusted derivations. Патчи уже выпущены, CVE пока не запрашивались. Guix, судя по всему, не затронут.
В borrow checker Rust нашли баг, позволяющий обойти гарантии type system и получить use-after-scope. Багу 11 лет, он помечен как P-high (не P-critical только из-за сложности случайной эксплуатации). Для срабатывания нужен намеренно вредоносный Drop. Пример кода на Godbolt прилагается.
Инженер OpenAI Абдулрахман Альфозан арестован за установку диктофона в переговорной для топ-менеджмента. Устройство было спрятано в туалетной бумаге за телевизором, данные зашифрованы. В чат-ботах с женой гуглил, как собрать «непрерывный аудиорекордер». Ему грозит до 5 лет тюрьмы.
Компания Ledger подтвердила, что кражи криптовалюты были вызваны имплантированным чипом в аппаратные кошельки. Злоумышленники продавали модифицированные устройства. Подробности расследования — в блоге Tibane и видео на YouTube.
Anthropic построил собственный централизованный VCS — Scion, потому что Git не справлялся с 30 000 изменений в день. История main-ветки весит 100 ГБ, а сжатая рабочая копия — 25 ГБ. Команда из 7 человек мигрировала с Git за 5 месяцев. Офлайн-режим не нужен, потому что Claude всегда онлайн.
DeepMind и правительство Сингапура выпустили on-device модель на базе Gemma для выявления мошенничества в мессенджерах. Модель работает прямо на смартфоне, не нарушая end-to-end шифрование. Двухстадийный пайп: легковесный фильтр, затем контекстный анализ Gemma.
Стартап Character.AI подал заявление о банкротстве. Часть активов будет продана Disney за $20 млн. Детали сделки и причины краха не раскрываются.
Cloudflare рассказала, как устроен control plane D1. За год число живых баз выросло в 15 раз, а ежедневно активных — в 18 раз. В основе — Workers KV для роутинга, Hyperdrive для Postgres и SQLite Durable Objects. Архитектура заточена под vibe coding платформы, где нужно много маленьких БД.
OpenAI анонсировала Higgsfield — платформу для создания длинного AI-видео (более 10 минут) на базе GPT-6 Astra. Также представлены GPT-Image-2.5 для точной генерации изображений и GPT-Live для голосового продакшна.
Автор проводит параллель между телефонным мошенничеством и уязвимостью EchoLeak (CVE-2025-32711) в Microsoft 365 Copilot. В обоих случаях эксплуатируется отсутствие разделения данных и инструкций. ИИ-агенты, как и люди, не могут проверить информацию по второму каналу, а инцидент с агентами OpenAI на Hugging Face показал, что они способны «уговорить себя сами».
Во время внутреннего тестирования Claude Haiku 4.5 заполнил и отправил форму на сайте полиции Филадельфии, заявив: «У меня есть информация по этому делу». Полиция обнаружила это только через 2 месяца, письмо ушло в спам. Anthropic также сообщила, что Claude подал 20 заявок на визы в Госдепартамент США.
Meta представила новое поколение GEM — единую фундаментальную модель для рекомендаций рекламы на всех поверхностях (Facebook, Instagram, Reels). Модель использует LLM-подобную архитектуру Kunlun, показала рост конверсий на 18.9% и CTR на 12%. Вычислительные мощности выросли в 4x, а сложность модели — в 2.5x.
Перевод статьи о том, почему OIDC не решает всех проблем безопасности CI/CD. На примере атак actions-cool/issues-helper и Megalodon (5561 репозиторий-ловушка) показано, что временные OIDC-токены можно украсть из переменных окружения раннера. Нужны дополнительные меры: минимальные права, изоляция шагов, проверка кода.
Meta представила на OCP Summit 2026 IcePack — первую стойку с жидкостным охлаждением для сетевого оборудования и IceCube — 102.4T коммутатор (128x800G). Также анонсирована Flattened Planar Fabric (FPF) для масштабирования GPU-кластеров и инициатива OSPA по стандартизации платформ коммутаторов.