Стандарт 6G умеет не только передавать данные, но и работать радаром. Технология называется ISAC — Integrated Sensing and Communication. Антенна одновременно и связь держит, и меряет расстояния, скорости, траектории движения. Причём заниматься этим может любая железка с радиомодулем: от базовой станции до смартфона в кармане. Дальше начинается интересное. Сигнал проходит сквозь стены и видит человека за ними. Не картинку, конечно, а отражения — но их достаточно, чтобы снять дыхание и сердцебиение. А если приделать сверху машинное обучение, то, как пишет немецкая Конференция по защите данных в позиционном документе от 17 июня, можно опознавать конкретного человека по походке, читать жесты и вытягивать черты лица. Теперь главный вопрос: а согласие спрашивать будем? Немецкие регуляторы честно отвечают — никак. Сплошное радиопокрытие фиксирует всех, кто оказался в зоне. С телефоном, без телефона, вообще без единого гаджета — неважно, вы просто человек, который отражает радиоволны. Кнопки "я не согласен" тут физически нет. В Дрездене, в Barkhausen-Institut, пытаются придумать лекарство: аппаратный выключатель, который вырубает сенсорную функцию, оставляя связь работать, плюс приложение-индикатор — идёт ли прямо сейчас сканирование окружения. Свои предложения они тащат в европейские органы стандартизации, в сентябре там же, в Дрездене, соберутся международные специалисты. Спешка объяснима. Принятый стандарт потом не перепишешь — это вам не настройки в приложении поменять. Германия уже вложила в разработку 6G около 700 миллионов евро, запуск ждут примерно к 2030 году. То есть окно, когда приватность ещё можно зашить в спецификацию, а не пристроить сбоку костылём, закрывается прямо сейчас. https://www.heute.at/s/6g-kann-durch-waende-sehen-und-herzschlag-messen-120229612

📄 Что такое XXE (XML External Entity)? Не все веб-приложения работают только с JSON. Во многих корпоративных системах, банковских сервисах и интеграционных решениях до сих пор используется XML. И если приложение неправильно обрабатывает XML-документы, может возникнуть опасная уязвимость — XXE. 📌 XXE (XML External Entity) — это уязвимость, при которой приложение обрабатывает внешние XML-сущности, позволяя злоумышленнику повлиять на работу XML-парсера. Проще говоря, сервер начинает выполнять действия, которые разработчик не предусматривал. 🧠 Где используется XML? XML до сих пор можно встретить: — в SOAP-сервисах; — API некоторых корпоративных систем; — при обмене данными между приложениями; — в конфигурационных файлах; — в устаревших веб-приложениях. Если приложение принимает XML от пользователя, стоит уделить этому особое внимание. 💀 Чем это опасно? При наличии XXE злоумышленник может: — получить доступ к конфиденциальным данным; — прочитать внутренние файлы сервера; — обращаться к внутренним сервисам от имени приложения; — раскрыть информацию об инфраструктуре. Последствия зависят от конфигурации XML-парсера и возможностей самого приложения. 🛡 Как защититься? Основные рекомендации: — отключить обработку внешних XML-сущностей; — использовать безопасные настройки XML-парсеров; — обновлять используемые библиотеки; — проверять и ограничивать входящие XML-документы. 📌 Сегодня XXE встречается значительно реже, чем несколько лет назад, поскольку многие современные API используют JSON вместо XML. Однако в корпоративной среде и интеграционных системах XML всё ещё широко применяется, поэтому знание XXE остаётся важной частью подготовки специалиста по веб-безопасности. #web #owasp #xxe #xml #pentest #websecurity

Размер системы Размер неудачи связан с размером системы: чем больше система, с которой мы взаимодействуем, чем больше потенциальная неудача. В случае с кофе-машиной максимальная неудача которая может быть — что мы сломаем кофе-машину. Это болезненно, но не смертельно. Ошибка при управлении велосипедом приведет к содранным коленям. Это печально, но не смертельно. Это может быть даже обязательным этапом, чтобы научится ездить на велосипеде: нельзя хорошо научиться ездить не велосипеде без падений. Ошибка при управлении Боингом приведет к намного более печальному результату. Но Боинг — гораздо большая система, чем велосипед. С другой стороны, в больших системах человек не работает один: там есть другие люди, механизмы и программные продукты. В больших системах редко бывает так, что от одного неправильного действия сразу все ломается. Между ошибочным действием и аварией всегда будет несколько шагов или барьеров. То есть, чем больше система, тем больше у нас возможностей недопустить или исправить. И тут уже встает вопрос организации системы так, что предотвращать или вовремя исправлять ошибки. #ЧФ #ошибки

⚡ Новости к этому часу

🔥 ПОДДЕРЖИТЕ КАНАЛ ГОЛОСАМИ 😎

🤏 Creality выпустила карманный 3D‑сканер Pika с экраном и точностью до 0,03 мм (ФОТО) 📝 Президент подписал закон о штрафах для УК за недопуск операторов связи в дома 😱 Абоненты «Билайна» столкнулись с попытками кражи номеров через дистанционный выпуск eSIM ⚖️ Суд признал законным увольнение сотрудницы московской компании за отправку данных в DeepSeek и на личную почту 🚗 Согласно данным Национального управления безопасности дорожного движения США, автомобили Tesla с системами помощи водителю 207 раз попадали в ДТП в мае 2026 года 💻 Microsoft прекратит поддержку Whiteboard для личных аккаунтов #новости

🧠ИИ-скрипты провалили проверку безопасности

Работающий код - не значит безопасный

Исследователи из Университета Дакоты решили проверить простейшие Python-скрипты, которые ChatGPT, Copilot и Gemini генерируют для типичных офисных задач. Итог - сто процентов проверенных программ содержали критические уязвимости. 🔍Сценарий всегда один:

Рядовой сотрудник просит написать утилиту, получает первый рабочий вариант и сразу тащит его в корпоративную среду. В результате самописные парсеры слепо глотают любые ссылки, открывая сеть для SSRF-атак и позволяя дотянуться до внутренних серверов. Почтовые скрипты работают как решето для инъекций, превращая легитимный корпоративный SMTP в идеальный шлюз для рассылки фишинга. А банальные сортировщики файлов ведутся на подмену путей и символические ссылки, отдавая на растерзание локальные документы.

Аудит этого дырявого кода исследователи поручили другой нейросети - Claude Code. То есть алгоритмы уже сами ищут закладки в поделках конкурентов. 🦔 CyberYozh

Чем вообще занимается служба безопасности GitHub? Прямо сейчас на GitHub есть тысячи репозиториев, которые раздают вирусы через ссылку на zip-архив в readme. Чтобы найти их, не нужны никакие специальные знания, хватает обычного поиска по сайту. Схема живёт около двух лет. Автор показывает, как от простого заголовка с эмодзи дойти до запроса, который выдаёт репозитории с трояном пачками, счёт идёт на тысячи. А потом вспоминает, что месяц назад уже публиковал скрипт, нашедший 10 000 таких репозиториев, статья попала в топ Hacker News, и GitHub отреагировал ровно одним действием. После чего остановился, хотя новые появляются за часы. Узнаем, что сделала площадка с миллиардными доходами и штатной службой безопасности.

JFrog подтвердили, что GPT смогла выйти со своей песочницы через ряд (не одну!) до этого неизвестных уязвимостей в их софте. Также они добавили, что это не первый раз, когда они работают бок о бок с OpenAI для обнаружения и исправления критических уязвимостей, что говорит о том, что OpenAI серьёзно подходят к делу и какое-никакое тестирование делали. Попросил ChatGPT проанализировать, насколько вообще популярен JFrog, а то может быть это какое-то вайбкодерское решение от студентов, которые вчера выпустились из YCombinator (нет, они основаны в 2008-м году).

JFrog Artifactory — одно из самых популярных enterprise-решений для хранения артефактов. Нишевым его назвать нельзя, но и единственным безусловным стандартом индустрии тоже нельзя, так как он постоянно конкурирует с Nexus. Их продуктом пользуются крупные компании; у JFrog большой и устойчивый бизнес: за 2025 год компания получила около $532 млн выручки.

=== Уже 3 раза видел в разных контекстах и чатах, что люди составляют мнение о ситуации даже не прочитав оригинальные блогпосты. У них были аргументы в духе «так а зачем OpenAI давали доступ к интернету? это же очевидно плохо» — «но они не давали доступ к интернету» — «а как тогда?» — «ну вот так».