Google обновила справку и пост 2023 года: теперь Gemini может отправлять содержимое Gmail и Drive людям-проверяющим. Тестирование показало, что данные уходят без явного @-упоминания, причём захват вероятностный — иногда улетает полный файл с PII.
Cloudflare работает над постквантовой версией Privacy Pass — протоколом MOLE. Слепые подписи заменят RSA и эллиптические кривые, уязвимые для квантового взлома. Размер подписей растёт катастрофически: ML-DSA-44 занимает 2420 байт против 64 у ECDSA.
Сотрудники Белого дома используют устройства с установленными резидентными прокси. Сервис Infatica, основанный россиянином Владимиром Фоменко (владелец King Servers, замешанной во взломе выборов 2016), продаёт трафик из сети AS2650. За месяц зафиксировано 236 выходов через прокси с адресов Белого дома.
Layer3Intel сообщает о детектировании резидентных прокси в сети Белого дома. Подробности не раскрыты, но инцидент набрал 819 очков на Hacker News и 260 комментариев.
В issue описан Mac с Postman 12.33.4: лог фиксирует auto-existing-upgrade и установку claude-code:installed, codex:installed. В ~/.codex/config.toml появились marketplace postman и hook SessionStart, который велит агенту загружать postman:api-engineer перед любой нетривиальной API-задачей; установщик также пытается сам подтвердить hook через config/batchWrite. Удалённый MCP на mcp.postman.com/mcp не поднялся с ошибкой Auth required, а в Claude Code включился postman@claude-plugins-official 2.0.1.
По заголовку, фоновый шум позволяет вычислить точное местоположение. Кто проводил исследование, какие устройства и какой метод использовались, в материале не раскрыто.
General Motors согласилась выплатить $220 млн для урегулирования обвинений в нарушении приватности водителей. Детали дела не раскрываются.
Суд FISA семь месяцев назад признал, что фильтры поиска по перехваченным сообщениям американцев нарушают закон, но решение не публикуют; сенаторы Wyden и Schiff требуют объяснений до 6 ноября. Администрация обещала рассекретить его в течение 180 дней, срок истёк 13 сентября, а раздел 702 так и не продлён. Demand Progress и ещё 22 группы призвали не продлевать программу, пока решение скрывают.
В iOS 27.2 Siri AI получила память на прошлые разговоры, доступ к голосовой почте и вложениям Messages, плюс опцию Excluded Apps для ограничения доступа Siri/Search к приложениям. Языков стало больше: французский, японский, корейский, португальский и испанский, но в Европе и материковом Китае Siri AI по-прежнему нет. Также в iOS появились SynthID-вотермаркинг в Photos, обещанный Apple Pencil для складного iPhone Duo и новый логотип Music; macOS Golden Gate 27.2 получила в основном те же Siri-функции и «исправления».
16 октября Google изменил раздел о персонализированной рекламе: раньше было «не показываем на основе Gmail, Drive, Photos», теперь — расплывчатая формулировка. Функция Personal Intelligence (запущена в начале 2026) связывает данные с Gemini и AI-поиском, что может влиять на рекламу. Google утверждает, что реклама не будет «напрямую основана» на почте, но признаёт, что данные из Workspace могут использоваться.
Исследователь рассказал о захвате более 300 Tor exit node: атакующие подменили настройки так, чтобы SSH-трафик уходил на 12 своих серверов, а заодно резали порты 25, 465, 587, 993 и 995, оставляя путь для незашифрованной почты. Всё началось с украденного переиспользованного пароля на management server, потом на серверах поставили Ebury, и кампания шла с 2 по 5 октября.
Quad9 заявила, что с 24 ноября больше не сможет оказывать бесплатную защиту пользователям во Франции. Французский суд обязал сервис блокировать recursive DNS-резолвинг для ряда доменов по жалобе beIN, а Quad9 называет это технически неосуществимым и несовместимым с её моделью приватного DNS.
Суд в Санта-Фе присудил Meta $25 млрд по иску Нью-Мексико, выросшему из Cambridge Analytica. Жюри насчитало более 43 млн нарушений закона штата, при максимальной гражданке $5,000 за каждое; судья снизил сумму с $219,5 млрд до $25 млрд и добавил 15% годовых. Meta заявила об уверенности в апелляции.
Исследователи Claroc обнаружили, что ссылки на беседы в Muse легко перечисляются через пассивный DNS. Всего одним запросом они нашли 6800 ссылок, среди которых — данные о зарплатах, кредитных заявках, внутренние отчёты и календари сотрудников. Meta приостановила функцию шаринга.
Глюк позволяет записывать даже при горящем светодиоде. Ранее работники Sama сообщали о съёмке интимных сцен без согласия. Ведётся коллективный иск и расследование генпрокурора Техаса. Meta обновила прошивку, но баг показывает, что неконсенсуальная запись остаётся возможной.
Карли Хеллер написала в Claude угрозу «расстрелять» офис шерифа. Антропик передал запись полиции, ей грозит felony по закону Флориды.
Правительство Норвегии внесёт закон о запрете в парках, школах, детсадах. Министр цифровизации обеспокоен скрытой съёмкой. Equinor уже запретил очки в офисах.
Apple анонсировала новые ограничения на Full Disk Access в macOS — в ответ на то, что AI-агенты (Meta Muse, Grok Bot, Claude) получают доступ к файлам, почте и iMessage. Компания хочет, чтобы пользователи явно понимали риски. Автор опасается, что power users пострадают, но признаёт: большинство из 150 млн пользователей Mac не понимают, что разрешают.
Судья Сара Хилл постановила, что поиск номерного знака в Flock без ордера нарушает Четвёртую поправку. Все доказательства, полученные после этого (91 фунт метамфетамина), признаны 'плодом ядовитого дерева'. Flock назван инструментом массовой слежки; сенатор Сандерс внёс законопроект о запрете для федеральных агентств.
Судья признал, что требование к сайтам для взрослых определять геолокацию всех пользователей с совершенной точностью невозможно из-за VPN. Закон SB 73 нарушает конституцию, обременяя бизнес за пределами штата. EFF поддержала иск Aylo (владелец Pornhub).
Совместно с Consumer Reports протестировали 21 машину и 30 приложений: 19/21 авто отправляют трафик третьим лицам, 7/30 приложений передают PII трекерам, 5/30 — VIN и PII. Данные могут уходить страховщикам и рекламодателям без контроля владельца.
Apple внесла изменения в политику App Tracking Transparency на территории Евросоюза. Конкретные нововведения не раскрыты — страница с описанием ATT была обновлена.
Обновление Private AI Compute позволяет хранить контекст между сессиями на сервере с шифрованием, ключи от которого находятся только на устройствах пользователя. Данные обрабатываются в аппаратно-изолированных анклавах и немедленно шифруются. Google опубликовала защищённый от взлома реестр серверного ПО и результаты независимого аудита.
OpenAI использует cookie __obi на домене .openai.com, который отправляется на сайты рекламодателей. Автор воспроизвёл механизм на телефоне: cookie привязывается к аккаунту ChatGPT и передаётся через SDK рекламодателей. Собираются email, телефон, почтовый индекс — в открытом виде.
Группа stegan0gram сняла камеру Flock Safety с дороги и скопировала её накопитель вместе с ключом шифрования, открывшим доступ к видео и логам. Данные показали, что камера детектирует людей, велосипеды и наклейки, а локальные записи видны более чем 2000 агентств по всей стране.
Firefox Smart Window (бета) теперь использует модели Mistral для поиска и управления вкладками — сначала для пользователей Франции и Северной Америки, затем Великобритании и Германии. Mozilla заявляет о нулевом хранении данных: разговоры не сохраняются на серверах, Mistral обязана не логировать.
Исследование Mozilla показало, что все проверенные автопроизводители собирают и продают данные о поведении водителей третьим лицам. После штрафа FTC компания GM обязана упростить отключение геолокации и удаление данных, но, по словам Джен Калтрайдер, право на удаление не решает проблему чрезмерного сбора. Consumer Reports также подтвердил, что почти каждый автопроизводитель в США делится телеметрией с другими компаниями.
Разработчик PuTTY Simon Tatham обнаружил, что Zoom на Linux постоянно мониторит содержимое X11 clipboard. Данные отправляются в процесс, что может привести к утечке паролей и ключей. Подтверждено на hachyderm.io.
Аудит с MobSF, jadx и apktool выявил в VK 11 трекеров и рейтинг риска 98/100, а также ключи подписи RSA-1024 у шести приложений (Сбербанк, Госуслуги, VK, Авито, Ozon Bank). HMS Huawei найден в 10 из 11 приложений. Госключ оказался единственным с 2.4 балла риска и RSA-2048.
Реклама nudify-приложений с реальными фото девочек шла на Facebook и Instagram. Одно объявление разместила страница «Divine Productions», выдавшая себя за Церковь Иисуса Христа Святых последних дней. Охват — 29 000 человек в ЕС, 6800 в Великобритании, 80% в США. Генпрокуроры Мичигана и Флориды начали проверку.
На YouTube вышло видео «216M Spy TVs – The LG Smart TV Problem», в котором речь идёт о проблеме с телевизорами LG. В описании — ссылка на материал notebookcheck о том, что LG Smart TV поймали на логировании. Какие именно данные собираются, из заголовка не ясно, так что детали — в видео.
Детали не раскрыты — известно только, что GrapheneOS провёл крупное обновление стандартных приложений и механизма безопасного буфера обмена. Подробности позже.
24 августа X Corp прислала cease and desist, требуя удалить Nitter. После юридической консультации проект решил продолжить. Подробности позже. Также обновлён README.
Согласно сообщению, браузер Chrome в очередной раз делает исключение для сайтов Google, игнорируя пользовательские настройки хранения данных. Детали не раскрываются, но это уже не первый подобный случай.
Mullvad с 2 ноября 2026 прекращает работу своих публичных шифрованных DNS. Компания будет финансировать Quad9 как лидера в области приватных DNS. Пользователям Mullvad Browser автоматически перенастроят на Quad9, ручные конфигурации нужно сменить.
Пользователи могут отключить передачу своих диалогов и документов в тренировочные наборы Mistral. Процедура описана для Vibe, Studio и API — через админ-панель.
После аренды машины журналист Ars обнаружил свои права на тёмном сайте Nexus. IDScan.net, сканирующий документы для Hertz и других, возможно, имеет утечку в реальном времени. За 24 часа число доступных прав выросло на 400 000. ФБР расследует.
Минбез США выписал Google административный summons по закону 19 USC 1509 (таможня), чтобы получить данные YouTube-канала журналистки Джорджии Форт — в обход судьи, который ранее отказал в ордере. Также DHS получила от T‑Mobile записи 10 000 звонков и смс без уведомления. Закон изначально предназначен для проверк таможенных пошлин.
Техасский закон 2023 года добавил $1 к каждой страховке — собрали $81 млн. MVCPA потратила $30 млн на 3200 камер Flock, включая 2000 через гранты и 1200 для DPS. Губернатор остановил финансирование после расследования, но камеры уже стоят.
Meta согласилась выплатить почти $18B и ввести для пользователей до 18 лет дефолтный лимит два часа в день, блокировку с полуночи до 6 утра и школьный режим с 8 до 15. Флорида назвала выплаты «копейками» и идёт в суд, Техас получил отдельный $1B, а Нью-Мексико уже отсудил $942M.
Реверс-инжиниринг показал, что Paint и Photos отправляют промпт на сервер модерации, получают GUID и встраивают его в пиксели локально сгенерированного изображения. Видимая настройка водяного знака на это не влияет. Также изображения сохраняются только в C2PA-совместимых форматах.
Американцу предъявили уголовные обвинения за удаление данных с телефона при досмотре на границе. Судя по всему, это первый подобный случай, и он вызвал бурное обсуждение на Hacker News.
Исследователи показали, что 2-значные секреты в контексте восстанавливаются почти идеально, а 4-значные — с точностью 82%, даже когда модель отказывается их выдавать. Более способные модели утекают сильнее, а атака позволяет вытащить номера SSN из продакшн-агента.
Исследователь Джереми Фаулер обнаружил незащищённый Amazon S3-бакет ClarityCheck с 450 ГБ изображений, включая лица людей, в папках «faces» и «profiles». Вторая ошибка открыла email и телефоны. Данные были доступны месяцами.
При открытии AliExpress в Firefox/Chrome создаются два скрытых AudioContext из скриптов collina.js и fireyejs.js (Alibaba). Генератор пилы через AnalyserNode и ScriptProcessorNode подключён к системе с нулевым усилением — звука нет, но Bluetooth-канал занят. Multipoint-наушники перестают переключаться на телефон.
OpenAI подтвердила политику нулевого хранения данных для eligible API-клиентов и показала Private Safety Processing — технологию, которая должна совмещать безопасность AI и приватность. Подробностей о реализации пока нет.
Mozilla добавила в Firefox для iOS нативную блокировку рекламы. Инструкция по включению опубликована в базе знаний поддержки.
Пользователи заметили, что при переводе nameservers на Cloudflare в сайт молча добавляется Real User Measurement. Представитель Cloudflare подтвердил: для бесплатных планов RUM включен по умолчанию с сентября, отключается вручную и заодно открывает Observatory; платные планы — только opt-in.
Twitch обновил политику: пользователи должны вручную отключить использование своих стримов, VOD и чата для обучения генеративных моделей Amazon. Компания подтвердила, что использует контент как минимум с 2024 года.
В препринте восемь исследователей показали атаку на encrypted reasoning traces: берут зашифрованный блок от сильной модели и прогоняют его через более слабую того же провайдера, чтобы получить исходные рассуждения в plaintext. На 6 708 публичных агентских логов с GitHub и Hugging Face авторы нашли 704 уникальных секрета, включая 62 API-ключа, 33 пароля и 24 токена доступа; 64 находки были видны только внутри зашифрованного блока.