IT

📄 Что такое XPath Injection? Когда речь заходит об инъекциях, обычно вспоминают SQL Injection. Но не все приложения используют базы данных SQL. Некоторые работают с XML-документами, а для поиска данных применяют язык запросов XPath. Именно здесь может возникнуть уязвимость XPath Injection.

📌 XPath Injection — это уязвимость, при которой злоумышленник может повлиять на XPath-запрос, изменив его логику с помощью специально сформированного пользовательского ввода.

Другими словами, приложение начинает искать данные не так, как задумал разработчик. 🧠 Что такое XPath?

XPath (XML Path Language) — это язык запросов, который используется для поиска элементов в XML-документах.

XML может применяться для: — хранения настроек приложения; — обмена данными между сервисами; — хранения информации о пользователях; — работы с некоторыми устаревшими корпоративными системами. 💀 Чем это опасно? Если приложение уязвимо, атакующий может: — обойти проверку подлинности; — получить доступ к данным, которые не должен видеть; — извлечь конфиденциальную информацию; — изменить логику поиска данных. Последствия зависят от того, какую роль XML играет в работе приложения. 🛡 Как защититься? Основные рекомендации: — не формировать XPath-запросы путём объединения строк; — проверять и валидировать пользовательский ввод; — использовать безопасные механизмы передачи параметров в запросы; — ограничивать доступ к конфиденциальным XML-данным. 📌 Сегодня XPath Injection встречается значительно реже, чем SQL Injection или XSS, поскольку XML всё чаще уступает место JSON. Однако во многих корпоративных системах, интеграционных решениях и устаревших приложениях XML по-прежнему активно используется, поэтому знание этой уязвимости остаётся полезным для специалиста по веб-безопасности. #web #owasp #xpath #xml #injection #pentest

Художница нарисовала фан-арт по персонажу чужой игры. Ее рисунок без спроса нанесли на шоппер и стали продавать. И суд взыскал компенсацию. Звучит как парадокс. А по сути - очень аккуратная история про то, где заканчиваются права разработчика игры и начинаются права того, кто взял его героя и сделал что-то свое (или переработал оригинальное произведение) Художница под ником Ringeko (которая на деле оказалась целым ИП) нарисовала Мону - персонажа игры Genshin Impact. Просто хобби. Пока она не увидела свою картинку на шопперах в известной сети книжных магазинов. Без спроса, и без «спасибо» 😈 Она сделала контрольную закупку и пошла в суд за компенсацией. Запросила 180 тысяч. Ответчик крутился, как мог: персонаж, мол, принадлежит китайской miHoYo, у Истца на него никаких прав нет, творчества в перерисовке ноль, а правила самой игры вообще запрещают регистрировать права на фан-арт. Суд с этим не согласился и сделал свои выводы. И вот тут самое интересное: 👉 фан-арт - это конечно производное произведение. Персонаж чужой, а стиль, поза, свет, композиция - твои. И на эту часть у художника есть авторское право; 👉 miHoYo (издатель игры) сама разрешает фанатам делать и продавать мерч по игре (с оговорками, но разрешает) 👉 авторство подтвердили исходниками. PSD по слоям, видео процесса рисования, даты ранних публикаций в соцсетях. Взыскали правда всего 10 тысяч вместо 180. Сумму снизили из-за слабого обоснования расчета. Тут, честно, вопрос не к суду, а к юристам истицы - обосновывать компенсацию нужно было нормально. Но есть нюанс поинтереснее самого дела. Допустим, вы сделали перевод книги или переработали чужое произведение. Разрешения не получили - то ли не успели, то ли решили пока повременить. Положили в стол. Какая дата создания у этого произведения? И если разрешение придет позже - означает ли это, что до того момента произведения как бы не существовало? Такое юридическое лимбо имеет право на жизнь? Кажется, что нет. Авторское право на переработку возникает в момент, когда произведение появилось - то есть просто существует в форме, которую можно показать (это называется - "объективная форма"). Согласие правообладателя нужно для использования (например - взыскания компенсации за нарушение). А вот на сам факт возникновения права на мой взгляд оно не влияет.

В Go 1.27 завезли SIMD Двенадцать лет Go не умел в векторные инструкции без плясок с ассемблером. В 1.27 приехал портируемый пакет simd, и один исходник без единой правки разворачивается в Neon на Apple Silicon и AVX2 на Intel. Автор проверил обещание на двух машинах, полез в дизассемблер и наткнулся на странное. На Mac четыре полосы дали 4,2x, почти потолок. У i9 полос вдвое больше, восемь, а вышло ровно 5x. Куда делись ещё три икса? Разгадка неуютная для всех, кто верит в ширину регистра. Ту же половину выигрыша снимает обычный скаляр, без единой векторной инструкции, стоит завести четыре аккумулятора вручную. Ширина регистра тут вообще на втором плане.

Дайджест новостей за неделю 20–26 июля 2026 Раз в неделю я выпускаю обзор самых интересных новостей финансов и технологий в России и мире (одновременно в формате текста, видео и подкаста) – достаточно потратить всего 15–30 минут, чтобы быть в курсе событий.

Тема выпуска нынче была очевидной, в комментах ее сразу отгадали. Вообще, там Игорь Котенков обещал целый лонгрид сделать на тему хулиганящей новой ИИ-модели от Альтмана – очень ждем!

Темы прошедшей недели: — Тема недели: Новая модель OpenAI сбежала и взломала Hugging Face — Другие новости AI: Claude Opus 5 родился — Финансовая сторона AI-бума: У бигтехов всё сложно — Новости России: ЦБ снизил ставку до 14% — Бешеный принтер: Закон против уехавших из РФ — Международные новости: Чё там с нефтью опять — Новости технологий: Айфоновый тоталитаризм — Космоновости: Блумберг не умеют работать с источниками — Крипта: Кошелек внутри телеги — Хорошая новость недели — Бонусные посты недели из моих ТГ-каналов Топовые посты прошлой недели из моего второго (немножко щитпостинг) канала: 🐌 Итан Моллик выпустил обновленный мини-гайд про то, какие AI использовать для каких задач 🐌 Прикольное исследование про biases нейросетей 🐌 Полезные ТГ-каналы по теме российских ЗПИФ на недвижимость 🐌 Среднее богатство на взрослую душу населения в развитых странах в сравнении с медианным 🐌 Долларовые миллионеры как процент от взрослого населения 🐌 Более половины новых выходящих на рынок ETF представляют собой фонды инвестиций в одну акцию #RationalNews #нетвойне текст | видео | подкаст

🪼ЧТО ПОЧИТАТЬ О КСЕНОПОЭЗИИ?🦃 Попросили философа техники и ИИ Михаила Федорченко, автора канала ᴍᴀᴄʜɪɴɪᴄ ᴇᴍʙᴏᴅɪᴍᴇɴᴛ, собрать подборочку с рекомендациями о том, что почитать о ксенопоэзии и трасформации языка! Ксенопоэзия — одна из самых молодых семиотических и (около)философских концепций в теории искусства и языка ранних 2020-х. Ксенопоэзией можно назвать не просто литературно-техническое упражнение по обращению к «чужому» (отсюда и ксено-), но и практикой новой семиотической, паразитарной онтологической парадигмы, в которой текст, слизь, нечеловеческое становятся живой, неконтролируемой субстанцией, оппонирующей как спекулятивной философии, так и постгуманизму, показывая намного более радикальное отношение между живой и неживой материей. 🐢 Кэндзи Сиратори — Кровь электрическая, тексты с Academia.edu, профиль на Substack

Японский музыкант, писатель и цифровой мистификатор, пишущий о том, что ксенопоэзия выдвигает на первый план отчуждение как пространство инноваций, бросая читателю вызов в отношении незнакомого, ненормативного, чужого, которое при этом становится «своим». Глитчи, ошибки в алгоритмах, разрывы в коммуникации — это не недостатки, а источники устойчивости и креативности, дестабилизирующие нормы, хромосомные мутации мира кибернетических взаимосвязанных сетей, окружающих нас в нашей меланхолии к новым продуктам технокапитала, тормозящим акселерацию с нечеловеческим.

🐢 Зоэтика Эбб — Xenopoem as Psychogametous Artform: Communication to the Subconscious in Xenopoetic Practice, A Kink in Cognition: Acentrism, Parallel Signal Literacy.

Художница, активно сотрудничает с Сиратори. Исследует материальность субстратов и вводит концепцию ацентризма — отхода от человекоцентричных моделей смысла, агентности и рецепции, которые зависят от человека как от своей концептуальной основы. Пытается создать а-значающую семиотику за границами человеческого восприятия и власти, децентрируя производство субъективности с человека на среды, коды, встречи с нечеловеческим, авторства, высвобождение информации.

🐢 Улисс Каррьер — Technically Man Dwells Upon this Earth

Философ, изучает технику, эстетику, ИИ. Стал известен после выхода книги Technically Man Dwells upon this Earth, где предлагает оригинальную философскую концепцию ИИ, искусства и техники. Утверждает, что ИИ не следует понимать как простое «внешнее продолжение» человеческого разума. Напротив, появление ИИ заставляет заново поставить вопрос о природе мышления. По его мнению, ИИ знаменует не столько конец человеческого творчества, сколько конец традиционного понимания искусства и открывает возможность заново определить, что такое искусство и воображение.

🐢 Дэвид Роден — Posthuman Life: Philosophy at the Edge of the Human, Диалог о нефилософии и спекулятивном постгуманизме.

Британский философ. Его основные работы посвящены взаимосвязи между деконструкцией и аналитической философией, натурализму, метафизике звука и постгуманизму. Автор концепции биоморфа — «заместителя» модифицированного и машинизируемого тела, которое меняет свои границы всеми возможными и невозможными способами, лежащими по ту сторону этики и антпропоцена.

🐢 Богна Кониор — Экзистенциальные технологии, «Тёмный лес»: теория интернета

Медиатеоретик и философ техники. Исследует, как технологии меняют представления о (не)человеческом и о будущем. В её работах ИИ рассматривается не только как инженерная технология, но и как культурный, философский и геополитический феномен. Особое внимание уделяет альтернативным историям ИИ — прежде всего китайским и восточноевропейским — стремясь выйти за пределы доминирующего западного нарратива о технологическом прогрессе.

🐢 Лаура Трипальди — Раскованные субстраты

Трансдисциплинарный исследователь на стыке науки, технологий и спекулятивного мышления. Изучает феномен материальности, её культурные импликации и технологическое будущее. А ещё у неё есть PhD в области материаловедения и нанотехнологий, полученная в Миланском университете Бикокка. Автор книги «Параллельные умы» (Parallel Minds, Urbanomic, 2022).

/cool.zip х @acceleratethefuture/

Отделяем текстовый скоринг от продуктового ранжирования Как оказалось, научить поисковый движок находить релевантные документы = только половина задачи. Следующий вопрос в том, какие из найденных совпадений важнее для конкретного продукта. Окей, движок уже умеeт строить индексы по нескольким полям (title, abstract и т.д.) и поддерживает разные типы поиска: например term, phrase, prefix, фразовый поиск. Но после поиска вклад каждого совпадения просто добавлялся в итоговый вес документа. Например, для запроса`title:diabetes abstract:"type 1" abstract:insulin*` мы находили три независимых совпадения: • term - diabetes в title; • phrase - "type 1" в abstract; • prefix - insulin* в abstract. Для каждого совпадения BM25 считал свой вес, после чего все веса просто суммировались: BM25 total doc score = BM25(title:diabetes) + BM25(abstract:"type 1") + BM25(abstract:insulin*) Базово текстовая релевантность оценена за счет частоты термина, его редкости среди всех документов, длине поля. И это ок, но продуктово мы помимо всего знаем, что совпадения в заголовке обычно важнее совпадения в abstract, и что точная фраза часто ценнее совпадения по одному слову (или хотя бы по префиксу). Поэтому я подсмотрела идею с Rank Profiles - добавлением правил ранжирования по заданым критериям, который добавляет веса нужным докам без переиндексации. Пример профиля из конфига: rank_profile: name: debug-weights field_weights: title: 1.5 query_type_weights: term: 1.5 phrase: 1.7 prefix: 0.5 Теперь BM25 по-прежнему считает базовый score каждого совпадения, но перед суммированием вклад умножается на коэффициент: document score = BM25(title:diabetes) × 1.5 × 1.5 + BM25(abstract:"type 1") × 1.0 × 1.7 + BM25(abstract:insulin*) × 1.0 × 0.5 Поскольку индекс уже хранит информацию о каждом найденном совпадении (поле, тип запроса и базовый вес), политику ранжирования теперь можно менять прямо во время поиска - без переиндексации документов с явным разделением ответственности: • основная retrieval часть находит совпадения и сохраняет их контекст; • BM25 считает базовую текстовую релевантность; • Rank Profile задает правила, по которым совпадения влияют на итоговый вес документа; • Explain разбивка помогает понять, почему документ получил именно такой вес. Чтобы было проще отлаживать ранжирование, добавила Explain-панель. Для каждого документа можно посмотреть, из каких вкладов сложился итоговый вес: какое совпадение сработало, в каком поле, какой базовый вес посчитал BM25, какие коэффициенты применились и какой вклад каждое совпадение внесло в итоговый результат. На скрине из TUI (который, кстати, был тщательно причесан и допичкан инфо панельками) как раз видно такую разбивку по весам для каждого найденного документа. Сейчас Rank Profile умеет учитывать поле документа и тип совпадения. В дальнейшем список сигналов можно расширить: например, добавить свежесть документа, популярность или поведенческие сигналы (клики пользователей). Главное, чтобы поисковый движок умел вычислить такой сигнал - тогда его можно включить в ranking pipeline без изменения индекса. В итоге базовый текстовый скоринг остается отдельным слоем, а продуктовая логика ранжирования начинает жить поверх него. Это позволяет менять стратегию ранжирования, не меняя сам индекс.

Python: как один из самых медленных языков стал королем нейросетей В наборе тестов USENIX приложения на CPython отработали в среднем в 29,5 раза медленнее, чем те же программы на C++. При этом именно Python стал основным инструментом машинного обучения и держит первую строчку в рейтинге TIOBE, опережая C, C++ и Java. Самый медленный в этой компании язык возглавил область, где всё упирается в скорость вычислений. Разгадка в том, что тяжёлую математику Python выполняет вовсе не сам. Один его вызов способен запустить перемножение матриц из миллионов элементов, и вся нагрузка при этом уходит в скомпилированное ядро на C++ или CUDA. Получается, что в такой работе программа большую часть времени проводит за пределами самого Python.

Развлекаюсь как могу, чуть позже больше конкретики понятной дам, а пока вот это можно отдать ИИ 🤖 на объяснение: Главный тезис: алгебра переводит ваши инварианты из тестов в теоремы

Все три модели пришли к одному выводу, и это самое ценное в ответе: в прошлых раундах ключевые свойства L11 — детерминизм replay, идемпотентность, корректность rollback — проверялись эмпирически (chaos-replay, snapshot-equivalence, rollback drill). Общая алгебра даёт качественно другое: если структуры спроектированы так, что они по определению являются моноидом, полурешёткой и инверсной полугруппой, эти свойства перестают быть тем, что можно случайно сломать — они следуют из типа.

ACM SIGIR 2026. В этом году Артём Матвеев, Владимир Байкалов и Сережа Макеев (ребята из моей бывшей команды, мои соавторы по Аргусу и другим статьям, а также помощники по Deep RecSys курсу) съездили в Австралию на SIGIR со своими работами, которые я уже упоминал пару постов назад. Почитать про конфу можно на канале Владимира @ducks_recs и Артёма @nxt_item. Первый пост на канале Артёма — инсайдерская инфа из личного общения с инженером из команды OneRec: тык. Лично мое мнение про OneRec от этой инфы не поменялось (его можно узнать из лекции про генеративные модели), но для кого-то она может стать неожиданностью :) Подписывайтесь! P.S: картинку украл из @MLunderhood))