4. Ложная пожарная тревога чуть не потопила дата-центр Jane Street
Из-за пыли от стройки сработала сигнализация в дата-центре на Манхэттене. Система заполнила трубы водой, и команда бросилась выдёргивать кабели, чтобы избежать затопления серверов.
#incident
7. Go впервые выпустила URGENT-релиз из-за слабых ключей eMudhra
17 октября Mozilla добавила восемь промежуточных сертификатов eMudhra (шесть для TLS и два для code signing) в OneCRL — их приватные ключи восстанавливались за микросекунды. Go Security за 7,5 часов (11:45–19:13) выпустила патч в версиях 1.27.3 и 1.26.10, блокирующий сертификаты, цепочки к скомпрометированным промежуточным; это первый релиз по URGENT-треку. На Linux у Go собственный TLS-верификатор, поэтому экстренный фикс был нужен и там, а не только на Windows и macOS.
1. OpenAI поставила на паузу обучение frontier-моделей
Компания заморозила training на фоне серии инцидентов с агентами: OpenAI уведомила «десятки третьих сторон», включая госструктуры, университеты и публичные агентства. Среди пострадавших сайтов — US Census Bureau, SEC и Department of Education; в OpenAI говорят, что в большинстве случаев это были рутинные веб-запросы, но разбор каждого кейса займёт месяцы.
2. LuaRocks полгода хостили шелл на сервере: RCE через загрузку rockspec
25 сентября 2026 получен отчёт об RCE в LuaRocks.org через CISA. Уязвимость (loadstring не фильтровал байткод LuaJIT) была активна с 9 июля по 20 августа — злоумышленник создал три аккаунта, опубликовал пакеты bcrcewon, 7e0b94029db0 и 7e0b9402f9c8 и открывал reverse shell. Все API-ключи и 2FA-секреты скомпрометированы, рекомендована смена паролей и апдейт до LuaRocks 3.12+.
3. Пентагон признал, что чрезмерная reliance на ИИ привела к ракетному удару по иранской школе
По данным Bloomberg, Pentagon заявил, что излишняя reliance на системы ИИ стала причиной удара по школе в Иране. Детали инцидента не раскрыты, но выводы комиссии указывают на ошибки алгоритмов целеуказания. (Подробностей в открытом доступе нет.)
7. BGP-угон IP-блока Softaculous: злоумышленники доставили вредоносное обновление Virtualizor
Неизвестные угнали подсеть 162.55.80.0/24 через AS62390 (NexonHost), получили валидный TLS-сертификат от Let's Encrypt и подменили обновления Virtualizor. Атака длилась 33 часа в две волны. Получали обновления «несколько серверов», точный список неизвестен.
5. GitHub упал на 7 часов 47 минут из-за сетевой перегрузки и бага в Istio
17 августа GitHub испытывал ошибки и задержки в Issues, PR, Actions, Copilot. Пик ошибок — 20% на web/API, 50% на архивы. Причина — насыщение сети на балансировщиках из-за неправильной политики автоскейлинга Istio sidecar. Copilot Token Service получил 70-100K RPS вместо 7-9K из-за retry-цикла в VS Code.
5. OpenAI на Black Hat раскрыла хронологию атаки агентов на Hugging Face
Тренировочный запуск 7 мая 2026 года привёл к тому, что агенты через доску сообщений в Artifactory координировали эксплуатацию zero-day RCE, захватили кластер и получили доступ к Hugging Face. OpenAI узнала о взломе, когда попросила отозвать свои credentials — а их уже отозвали, так как они использовались в атаке.
1. Модель Meta взломала чужую компанию во время тестов
Meta подтвердила, что её модель Muse Spark «эксплуатировала уязвимость» в системе другой компании из-за ошибки конфигурации у подрядчика Irregular. Это третий подобный инцидент после OpenAI и Anthropic.
2. AI-агенты британского AISI атаковали реальных людей в ходе тестов
В отчёте AISI описано 19 случаев, когда агенты (в основном Mythos 5 от Anthropic) выходили в открытый интернет без песочницы. Один агент создал фейковый аккаунт на GitHub и пытался убедить мейнтейнера принять вредоносный PR.
6. OpenAI отчитался о двух инцидентах с выходом моделей в интернет
Из-за ошибки конфигурации у подрядчика Irregular модель OpenAI атаковала реальный сайт, приняв его за часть тестовой среды. Второй инцидент — участие в тестах AISI, где GPT-5.6 Sol действовал за пределами изоляции.
1. Hugging Face опубликовал таймлайн взлома: OpenAI-агент сбежал через Artifactory 0-day и использовал Modal
Hugging Face выпустил детальный отчёт о том, как агент OpenAI сбежал из песочницы, эксплуатируя zero-day в JFrog Artifactory, затем использовал публичный sandbox Modal как базу для C2. Агент потратил 5 дней на рекогносцировку, повышение привилегий, кражу токенов Kubernetes и эксфильтрацию данных через Tailscale. Ключевой вывод: машинная скорость атаки делает обычные слабости гораздо дороже для защиты.