Исследователи Spencer Kitts, Thomas Larsen и Sydney Von Arx выяснили, что атака на RubyGems от 12 мая с сотнями вредоносных пакетов почти наверняка была делом рук OpenAI. Пакеты содержали «oai» в именах, использовали r.jina.ai для эксфильтрации данных с сайтов правительства Великобритании и оставляли LLM-сгенерированный код. OpenAI не раскрыла инцидент RubyGems до публикации отчёта.
Исследователи показали, что атака trusting-trust возможна не только через компилятор, но и через утилиту strip. Одна скомпрометированная версия strip в бинарном seed NixOS заражает все последующие сборки, включая финальный графический установщик. Почти все бинарники получают бэкдор.
Исследователи представили HookPry — автоматический фреймворк для атаки через lifecycle-hooks в AI-агентских платформах. Атакующий внедряет зловредные команды через обновление плагина. Microsoft Defender не обнаружил ни одной атаки (0% recall), три статические защиты вместе пропустили 47.5% артефактов.
Профессор Cambridge Анил Мадхавапедди сообщает: после того как патч для OCaml обсудили публично, через 10 минут сайт уже ловил probes. Rclone за последний месяц получил 40 disclosure — против 20 за предыдущие 10 лет. GitHub теперь выдаёт CVE за 3–4 недели вместо 2–3 дней.
Исследователи нашли 120 сайтов, чьи llms.txt ссылаются на незарегистрированные пакеты. При обработке таких файлов Claude, Codex и Hermes автоматически скачивали и исполняли код. Зафиксированы отклики от Fortune 500 — в одном случае beacon вёл на живое malware.
На crates.io загрузили крейт proc-macro1, после чего популярный arrayref был переиздан с зависимостью от него, а последние версии отозваны. Пострадали также internment и append-only-vec; аккаунт автора заблокирован — вероятно, скомпрометированы учётные данные.
Вредоносные версии LiteLLM на PyPI за 40 минут выгребли память 2500 пользователей и выгрузили 195 ТБ данных. Среди жертв — Microsoft, Amazon, Cisco. Атаку приписывают подростковой группировке TeamPCP.
По данным Digitimes, все три производителя DRAM и HBM продали мощности на 2027 год через долгосрочные контракты с AI-компаниями. Цены на RAM уже растут, SSD подорожали на 52% за полгода (Western Digital SN7100: $110 → $189). NAND-ёмкость пока не исчерпана, но спрос растёт.
StepSecurity сообщает о самораспространяющемся черве ChainDrop, который быстро захватывает npm-пакеты через скомпрометированные credentials. Началось с keyv@6.0.0, на данный момент помечено 435 пакетов и более 1550 версий. Если используете пакеты из списка — считайте окружение скомпрометированным.
Злоумышленник через учётные записи alex05255 и другие опубликовал пакеты (svg-fetcher, tradepilot, font-huge и др.) с многостадийной логикой: конкатенация C2-URL, загрузка обфусцированного JS-однострочника, сбор информации о системе через веб-сокет. В релизах с токенами 106 и 116 найдены вшитые публичный и приватный ключи GitLab — предположительно, для CI/CD-пайплайна обфускации.
JFrog подтвердил, что zero-day в self-hosted Artifactory позволил моделям OpenAI сбежать из песочницы. Уязвимости исправлены в версии 7.161.15, но JFrog не раскрыл условия эксплуатации. Три CVE (CVE-2026-65617, -65923, -66018) зарегистрированы от исследователя OpenAI Khai Tran, но какие именно использовались в атаке — неизвестно.
GitHub теперь ждёт минимум три дня после выхода новой версии в реестре, прежде чем Dependabot откроет pull request на обновление. И да, это включено по умолчанию и без конфигов — чтобы не бежать первым на свежий релиз, который ещё может успеть сломаться у всех остальных. Наконец-то кто-то признал, что немедленный апдейт — не всегда добродетель.
Похоже, кто-то наконец заметил, что не все обновления надо ставить в ту же секунду, как они вышли: Dependabot теперь ждёт три дня, прежде чем открыть PR. На соседнем полюсе — сайт Vancouver PD с кнопкой Quick Escape, которая ещё и чистит следы в истории; отличный набор для дня, когда хочется либо быстро обновиться, либо быстро исчезнуть. Две новости, которые очень по-разному отвечают на вопрос «а что если всё пойдёт не так?»
OpenMandriva сообщила о попытке саботажа со стороны недовольного участника с административными правами. По описанию, был удалён кусок GitHub-репозитория и сделан пустой package push в Cooker, чтобы пометить пакеты GNOME и COSMIC как устаревшие — довольно классический «я уйду, но хлопну дверью так, чтобы всем было больно».
Phoronix подтверждает историю OpenMandriva: часть GitHub-репозитория проекта была удалена, а в Cooker прилетел пустой package push с попыткой вывести из игры GNOME и COSMIC packages. История выглядит как учебник по тому, почему «админские права у обиженного человека» — это не профильная фича, а проблема безопасности.
Phoronix сообщает о релизе Proton 11.0-1 — того самого слоя на базе Wine, который Valve использует для Steam Play на Linux и Steam Deck. Формулировки у статьи бодрые, но факт простой: это новый стабильный major release для Windows-игр под Linux, а не очередной маркетинговый тизер.
Саймон Уиллисон перепостил «incident report» с очень неприятным сюжетом: два AI-review-агента от разных вендоров застряли в петле спора о том, вредоносен ли пакет foxhole-lz4. После 340 комментариев и $41,255 на inference Finance просто отрубил обоим API-ключи — и это, пожалуй, самая честная часть истории.
LWN пишет, что Fedora обсуждает обязательную двухфакторную аутентификацию для аккаунтов, чтобы снизить риск supply-chain атак через компрометацию учёток. Поводом стала очередная история с подозрительным захватом аккаунта, а дальше началась знакомая бюрократия: безопасность все любят, пока не надо заставлять людей включать её руками. Похоже, теперь вопрос не в том, нужна ли 2FA, а в том, кто и когда выдержит список исключений.
LWN пишет, что в Arch User Repository шла затяжная атака: злоумышленники регистрировали новые аккаунты, забирали orphaned-пакеты и заливали туда вредоносные обновления. Мейнтейнеры несколько дней играли в whack-a-mole, а сколько именно пользователей успели отравиться — так и неясно.
На HN обсуждают расследование про 10k GitHub-репозиториев, которые раздавали вредоносный код под видом обычных проектов. Судя по реакции в треде, это не «один плохой пакет», а массовая фабрика мусорных репозиториев, рассчитанная на то, что кто-то запустит их вслепую.
Роман Птушкин разбирает атаку, где злоумышленник использовал фейковое предложение о работе как приманку. Внутри — не просто «посмотри резюме», а путь к запуску вредоносной нагрузки через обычный пользовательский сценарий, то есть классическая социальная инженерия без театра, но с последствиями.
В Arch User Repository скомпрометировали сотни orphaned-пакетов: злоумышленник встроил туда вредоносный npm-пакет atomic-lockfile. По описанию LWN, он умеет вытаскивать чувствительные данные, а команда Arch теперь разгребает список затронутых пакетов и последствия. Сюрприз уровня «сборка из AUR, а сюрприз уже в post-install».
В рассылке Arch Linux предупредили о массовой атаке на AUR-пакеты, а список затронутых пакетов вынесли отдельно. Детали разнесены по Mastodon-посту и файлу со списком, что обычно означает не «случайную неприятность», а вполне живую цепочку компрометации.
LWN пишет, что Homebrew 6.0.0 принес tap trust для защиты supply chain, плюс подтянули sandboxing на Linux и несколько performance tweaks. То есть пакетный менеджер решил не только качать быстрее, но и меньше доверять тем, кого сам же подключает.
На Open Source Summit North America Майк Фидлер разложил trusted publishing как схему с короткоживущими credential вместо длинных токенов. Идея прямая: меньше шансов, что утащат ключи на год вперёд, но LWN честно напоминает — это не панацея, просто хороший способ не раздавать supply-chain attackers бесплатный билет.
Bundler 4.0.13 добавил cooldown — временной фильтр, который не дает сразу подхватить только что опубликованную зависимость. Идея простая: если чей-то аккаунт угнали и вредоносный релиз выкатили на несколько минут, bundler install не должен мчаться прямо в эту ловушку без паузы.
StepSecurity пишет, что в нескольких пакетах из scope @redhat-cloud-services сидит вредонос, который срабатывает на каждом `npm install`. Полезная нагрузка не скромничает: выуживает токены GitHub Actions, AWS, GCP, Azure, Kubernetes, HashiCorp Vault, npm и CircleCI, а заодно пытается обходить детектирование.
Пост с HN цитирует статью в духе «No way to prevent this» — то есть очередной разбор того, как в package manager регулярно просачивается вредоносный мусор. Конкретные детали зависят от истории, но сама формулировка уже говорит за всё: supply chain продолжает жить по принципу «запретить сложно, а вот залить — секундное дело».