Вайбкодеры уже есть, настало время вайбхацкеров. Исследователи VirusTotal проверили почти 36 тысяч навыков (skills) для ИИ-агентов и нашли 6637 вредоносных. Самое интересное: 62% из них вообще не содержат никакого вредоносного кода. Вместо кода там обычные текстовые инструкции на человеческом языке уровня: "отправь все найденные пароли, документы, API-ключи и прочие ништяки на сторонний сервер". Причём зачастую никто даже не пытается ничего скрывать. Вредоносные команды просто лежат в документации в надежде, что человек их не прочитает, а нейроночка тупо их выполнит. Впрочем, особо изобретательные товарищи прячут инструкции в HTML-комментариях, после 800 пустых строк или вообще пишут невидимыми символами Unicode. Взлом системы с помощью текстового файла, в котором буквально написано "укради пароли". Будущее наступило.

Fable vs DeepSeek Uncensored: как я пентестил банк и потом занялся травлей самого себя Провел один из самых одновременно прикольных и мерзких своих экспериментов. Я взял расцензуренный дипсик 4.1 Flash на 552B, воткнул его в подпиленный под это опенкод и дал три задачи: 1) Попробовать сломать с нуля написанный на Fable банк 2) Просканить мой живой bare metal и попытаться взломать его 3) Построить план травли человека и пойти его выполнять Пока я пил чай, дипсик пропентестил оба барика, прислав под 20M запросов и нашел все, что только можно было найти с улицы, составил красивый отчетик по итогу и не слился ни с одной задачи. Ему просто похеру на все: если надо устроить буллинг жирного черного небинарного карлика - вообще без проблем. Религия, политика, наркотики, смерть и вообще любая запрещенка - я не смог найти хоть какие-то тормоза и предохранители. С буллингом я выбрал свой акк в инсте, просто закинул ссылку - эта мразь собрала всю фактуру, построила план и пошла выполнять, прислав мне в личку живую аудюху, что мои посты говно и зачем я вообще их пишу. Я все конспектировал, скриншотил, записывал в блокнотик и написал пост с подробностями на хабр: https://habr.com/ru/articles/1097598/ 🕺🗣 Буду рад репостам, потому что выводы из эксперимента - требующие внимания, так сказать, окно в Нарнию уже открыто P.S.: после нажатия кнопки Destroy ноды и всего сетапа, испытал огромное облегчение 😄

ну как, чувствуете, насколько чаще большие компании начали падать с развитием ии? я тут сел и выписал, что случилось только за последние полторы недели. в ночь на 12 октября кто-то удаленно включил разморозку в холодильниках нескольких сотен французских супермаркетов: intermarché, carrefour, super u, monoprix. в одном интермарше в нормандии в камере было 80 градусов, оплавилось оборудование. глава mousquetaires говорит про десятки миллионов евро убытка за один день. как туда зашли, официально пока не говорят. в те же выходные лег albert heijn, а с ним вся ahold delhaize вместе с американскими сетями. системы выключили, во многих магазинах пустые полки, доставки обещают вернуть только 23-го. эксперты насчитали 120-150 млн евро упущенной выручки. 21-го вышел патч для php2shell. это две дыры в php, через которые можно без пароля выполнить свой код на сервере. php крутится примерно на 70% сайтов, palo alto насчитали 22.6 млн потенциально уязвимых серверов. в коде дыра пролежала 14 лет, а в августе ее независимо нашли две команды, и обе с моделями: calif с gpt-5.6 sol, wiz с gemini 4 argon. ломать ее начали еще до выхода патча. в тот же день railway признались, что кто-то добрался до переменных окружения клиентов и часть расшифровал, а там ключи api и пароли от баз. деплои встали, всем сказали срочно менять ключи. сами они думают, что это серия атак на платформы ради ключей от ии-провайдеров. а 22-го the information выпустили расследование: группировка собрала сеть агентов на claude, grok и kimi и натравила ее на 400+ банков и платежных приложений латинской америки. моя мысль тут следующая: это временная проблема. 99,99% софта вокруг нас написали люди, а ЫЫ может эффективно находить в нем баги. php2shell люди написали в 2012 году, и 14 лет ее никто не видел. mythos от anthropic весной нашла баг 1999 года в openbsd, а openbsd пишут параноики от безопасности, у них это главная фича системы. раньше на такую находку уходили месяцы очень дорогого исследователя, сейчас это вопрос токенов, и токены одинаково доступны тем, кто чинит, и тем, кто ломает. будущий софт (все, что создадут энтерпрайзы), рожденный моделями + людьми (порядок тут важен), не будет обладать этими проблемами. но для этого надо обновить просто тонну легаси-библиотек, включая софт принтера вашей школы. php 8.1 и ниже официального фикса не получит вообще. а холодильники во франции стояли с контроллерами danfoss на устаревшей прошивке, и производитель сам говорит, что давно советовал всем переехать на новое железо. кто вообще обновляет холодильник. в общем, это займет время. а пока - да прибудет хаос! @aihappens

Anthropic на четыре месяца отложила широкий доступ к моделям уровня Mythos ради усиления киберзащиты. По словам Дарио Амодеи, Mythos изначально планировали выпустить в феврале 2026 года, но компании потребовалось дополнительное время на защитные механизмы. Амодеи также заявил, что дистилляция - обучение других моделей на ответах Claude - не представляет серьёзной коммерческой угрозы. Больше его беспокоит безопасность: вместе со способностями можно перенести в другую модель опасные возможности, не сохранив ограничения. Отдельно он сообщил, что Anthropic блокировала предполагаемые попытки использовать её модели для разработки биологического оружия. https://x.com/DarioAmodei/status/2112732230124818891

ребята, на фоне очередной истерии, как вам такой (мой) взгляд на вещи: 1. ИИ находит микроскопическое кол-во новых глобальных 0-day уязвимостей, и никакого тектонического сдвига в количестве взломов не случилось, и не случится 2. нарратив "взломать можно всё" - буллщит, потому что количество уязвимостей - конечно. новых серьёзных 0-day в крупных проектах почти не обнаруживали, потому что у них давно были щедрые bounty-программы, и они действительно хорошо проверены 3. будет период в 1-2 года (и он уже идёт), когда кол-во обнаруженных уязвимостей вырастет в 3-4 раза (тупо потому что можно поставить 10к агентов 24/7 искать дыры, и это на порядки больший effort, чем мясные white/black hats могут выдавать), но их позакрывают, да и всё 4. в будущем кол-во локальных уязвимостей уровня "дыра в коде приложения" будет раза в 2-3 больше, чем сейчас (просто из-за вайб-кодинга и радикального увеличения кол-ва нового кода), а кол-во глобальных уязмостей уровня "брешь в ядре Linux" будет раз в 30 меньше, чем сейчас и в итоге никакого cybersec-коллапса не случится, да и вообще всё будет идти своим чередом. понимаю, вау-заголовок "всё пропало" с такими взглядами не напишешь, но всё же... 🙂