Норм, Anthropic опять сбросил лимиты посреди недели и продлил использование Fable 5.😄 Я кстати тут возобновил подписку на GPT, после выхода новой GPT 5.6 Sol. Я попросил Fable и Sol найти уязвимости в Lovarus.ru Оба нашли примерно по 5-7 штук, и оба пропустили по 2 штуки. То есть Sol нашел то, чего не нашел Fable. А Fable нашел то, что не увидел Sol. Но Sol нашел более критическую уязвимость, так что если суммировать общий результат, то Sol дал больше профита. В какой-то момент оба отвалились. Fable сказал не может выполнить эту задачу и передал ее Opus 4.8. А Sol сказал, что я должен вступить в какое-то их сообщество безопасников, прежде чем Sol раскроет все уязвимости. В общем-то я доволен GPT на этот раз, думаю попробовать вернуть его в OpenClaw, тем более что они наконец-то сделали 1 млн контекстного окна.

❗️Бесплатные VPN сливают данные 2 миллиардов пользователей 🔍Исследователи из Мичиганского университета и других вузов прогнали через систему аудита MVPNalyzer 281 популярный сервис из Google Play (суммарно 2,4 млрд скачиваний). Результаты закономерно паршивые: приватность там осталась только на маркетинговых баннерах.

🟦Дырявые туннели и MITM: У 29 приложений трафик шел мимо зашифрованного коридора (утекали DNS-запросы и чистый веб-трафик), а 4 сервиса вообще работали без шифрования. Хуже того, 5 приложений скачивали файлы конфигурации по открытому HTTP - хакер в том же публичном Wi-Fi может подменить сервер и полностью перехватить сессию.

🟦Тотальный трекинг: 246 приложений стабильно стучат на рекламные серверы, а 76 сливают рекламный ID устройства. Попутно собираются цифровые отпечатки (модель, ОС, параметры экрана), а одна утилита втихую отправляла на сторону точные GPS-координаты пользователя.

🟦Древняя криптография: Из 108 изученных конфигураций OpenVPN только одна оказалась безопасной. Остальные до сих пор сидят на уязвимых и мертвых шифрах вроде Blowfish и 3DES, либо принудительно отключают шифрование в процессе работы.

Чудес не бывает: если вы не платите за продукт, значит, продукт - это ваш трафик. 👁 КАК НАДЗОРНЫЙ КАПИТАЛИЗМ ПРЕВРАТИЛ ВАШУ ЖИЗНЬ В ТОВАР - видео в тему 📱 🦔 CyberYozh

У каждого IPv4-адреса есть биография, и почти все они с тёмным прошлым С какого-то адреса в 1998 году рассылали спам, и письма с него до сих пор доходят хуже. Другой парсил Нетфликс и застрял в чёрных списках с вечной капчей. Третий заблокирован в конкретном островном государстве за отзыв на местную кафешку. Интернет настолько старый и фрагментированный, что почти не осталось IPv4-адресов без истории. Именно поэтому за чистыми адресами идёт охота. Люди тысячами пересоздают серверы через API, держат виртуалку несколько секунд, проверяют выданный айпишник и удаляют, платя доли копейки. Найденный чистый адрес выжигают за час рассылкой на миллион писем, а расхлёбывать спам-листы остаётся хостингу. Банить аккаунты бесполезно, потому что скрипт за пять минут регистрирует новый на левую почту. Инженер RUVDS перебирает все очевидные решения и объясняет, почему каждое проваливается.

Microsoft закрыла 10-летнюю брешь в Secure Boot, угрожавшую миллионам ПК Свежее обновление безопасности Windows 11 под номером KB5101650 устранило критическую уязвимость в системе безопасной загрузки Secure Boot, существовавшую более десяти лет. Специалисты компании ESET выяснили, что система до сих пор считала доверенными 11 устаревших Linux-загрузчиков (вроде shim 0.9 и старше), которые давно не поддерживаются и содержат известные бреши. Хакеры могли использовать эти легитимные, но уязвимые компоненты для беспрепятственного обхода защиты Secure Boot и внедрения вредоносного ПО на самом глубоком уровне системы. Microsoft оперативно отреагировала на отчет исследователей, внеся цифровые подписи всех опасных загрузчиков в черный список UEFI DBX.

🔐 Что такое LDAP Injection? Мы уже разобрали, что такое LDAP и зачем он нужен в Active Directory. Но что произойдёт, если приложение неправильно обрабатывает пользовательский ввод при обращении к LDAP? В этом случае может возникнуть LDAP Injection.

📌 LDAP Injection — это уязвимость, при которой злоумышленник изменяет LDAP-запрос, отправляемый приложением, чтобы получить несанкционированный доступ к данным или изменить логику поиска.

По своей идее она очень похожа на SQL Injection. Только вместо SQL-запросов атакуется LDAP. Представим, что приложение формирует запрос так:

(&(uid=user)(password=123456))

Если пользовательский ввод не фильтруется должным образом, злоумышленник может изменить структуру запроса и повлиять на результат поиска. 💀 Чем это опасно? При успешной эксплуатации LDAP Injection можно: — обойти аутентификацию; — получить информацию о пользователях; — перечислить группы и объекты Active Directory; — извлечь внутренние данные каталога. Всё зависит от того, какие права имеет учётная запись, от имени которой приложение обращается к LDAP. 🧠 Почему это встречается реже, чем SQL Injection? Потому что далеко не каждое приложение работает напрямую с LDAP. Но корпоративные порталы, системы авторизации, внутренние веб-приложения и некоторые VPN-шлюзы довольно часто используют LDAP для проверки пользователей. И если разработчики не экранируют специальные символы, появляется риск LDAP Injection. 🛡 Как защититься? Основные рекомендации: — использовать параметризованные LDAP-запросы; — экранировать специальные символы; — не собирать запросы простой конкатенацией строк; — выдавать приложению минимально необходимые права на чтение LDAP.

📌 LDAP Injection встречается значительно реже SQL Injection, но в корпоративной инфраструктуре последствия могут быть очень серьёзными, особенно если приложение имеет широкий доступ к Active Directory.

#infra #ad #ldap #ldapinjection #websecurity

изучаю / смотрю, но это надо под переобучение моделей. Я хочу найти там новые SOTA слитые. (с) https://huggingbay.xyz/

Наткнулся на любопытную штуку: кто-то собрал аналог «Пиратской бухты» для ИИ-моделей. Торрент-трекер, где вместо фильмов и музыки лежат нейросети. Называется huggingbay-xyz Идея простая. В одном месте собраны открытые и слитые модели: для кода, поиска и перевода. Готовые к скачиванию ИИ-агенты. OCR-модели, которые вытаскивают текст из фотографий и документов. Всё ставится локально и работает у вас на компьютере, без облака и без подписок. «Пиратская бухта» для нейросетей — это сигнал, что модель превратилась в обычный файл, который можно скачать, положить к себе и запустить. Ещё год назад доступ к сильной модели означал аккаунт, тариф и постоянную зависимость от чужого сервера. Сейчас всё чаще модель просто живёт у вас на диске. Для нас с вами тема особенно живая. Когда половина удобных сервисов то отваливается, то требует зарубежную карту, локальная модель на своём железе выглядит уже как рабочая страховка, а не гиковская забава. Пара оговорок, прежде чем бросаться качать. Слово «слитые» в описании стоит читать буквально: это чужие веса, часто выложенные в обход лицензии, и никто не гарантирует, что внутри не спрятано лишнее. Я бы ставил такое только в изолированном окружении и точно не тащил в рабочий контур с настоящими данными. А сам факт, что подобные площадки вообще появляются, мне нравится. Это про свободу собрать свой ИИ-стек так, как удобно вам. Без оглядки на то, что решил владелец очередной подписки.

От домашних питбулей до волков без хозяина Карта пятнадцати фронтирных ИИ-моделей по степени опасности и подконтрольности на 14 июля 2026 года В начале июля Гарвардская школа права предложила интересную и весьма неожиданную для ИИ-технарей (но не для юристов) кинологическую модель агентного ИИ, которая избавляет разговор об ИИ-рисках от привычной расплывчатости. Джорди Вайнсток вместе с Джонатаном Зиттрейном и Джошем Джозефом предлагают перейти от расплывчатых разговоров о рисках ИИ вообще к конкретному анализу агентного ИИ - систем, которые уже способны самостоятельно действовать в мире. ИИ-агентов они располагают по двум осям: опасности и одомашненности, то есть наличию у них контролирующего и отвечающего за последствия «хозяина».   В результате получается 4 типа агентов. ✔️ Шпиц-померанец не больно опасен: если и укусит, то вред будет не большой, и вы сможете взыскать по суду с его хозяина. ✔️А питбуль опасен: хотя у него может быть тот же хозяин, но дрессировать питбуля и уж тем более удержать его куда труднее. ✔️У лисы нет хозяина, но вред от нее скромный. ✔️У волка же нет ни хозяина, ни потолка ущерба (может и насмерть загрызть).   Я применил эту рамку к пятнадцати самым мощным моделям планеты – по одной от каждого вендора, на сегодняшний день. Результат: девять питбулей, шесть волков, ни одного померанца и ни одной лисы (потому что слабых моделей среди фронтирных уже нет).   Питбули – Claude, GPT-5.6, Gemini, Grok и корпоративные флагманы вроде ERNIE и Hy3 – остаются на привязи не потому, что их создатели добрее прочих. Они малочисленны, видны и капитализированы: каждого можно засудить, лишить лицензии, заставить отчитываться перед государством. Это сейчас и происходит – причем не только с Anthropic после истории с экспортным контролем на Fable и Mythos, но и с OpenAI, чей GPT-5.6 тоже прошел стадию ограниченного превью по требованию Вашингтона перед публичным релизом.   Волки – DeepSeek, Kimi, GLM, Mistral, Nemotron, MiniMax – опасны иначе: веса открыты, копирование бесплатно, а личность оператора теряется в момент скачивания.   N.B. Здесь ключевой нюанс, который легко упустить: это не два сорта компаний, а две стратегии одной гонки.   Неделю назад я писал о логике вершины и логике плотности применительно к США и Китаю. Та же развилка работает и на уровне отдельных модели. • Вершина держит немногих на коротком поводке именно потому, что их немного. • Плотность выигрывает числом – а числом выигрывают, только раздавая копии без ошейника.   Мой прогноз на два-три года: эти стратегии не придут к равновесию. Поводок на вершине будет затягиваться дальше – закрытые классификаторы, NDA, координация с правительством станут нормой для каждого следующего релиза уровня "выше Opus", а не разовым исключением. У основания пирамиды плотность продолжит расти быстрее, чем любой юридический аппарат (хоть личность, хоть инкорпорация для ИИ) успеет за ней угнаться. Разрыв между вершиной и плотностью не закроется. Он будет шириться. И населять этот разрыв станут не волки с известной родословной, идущей от вендора, а нечто совсем неуловимое – этакие волки-призраки. Но именно таких призраков я и назвал ИКЖИ: искусственные короткоживущие интеллектуальные идентичности, появляющиеся в нашем мире под конкретные задачи и растворяющиеся раньше, чем кто-либо успеет подать на них иск. Так что года через три вопрос Вайнстока "чей это волк" никто уже не будет задавать. Вместо этого лучшие юристы мира будут ломать голову над неразрешимой задачей – как судиться с тем, что перестало существовать раньше, чем обнаружился ущерб.   #ИИриски  #ИКЖИ