IT

Вайбкодеры уже есть, настало время вайбхацкеров. Исследователи VirusTotal проверили почти 36 тысяч навыков (skills) для ИИ-агентов и нашли 6637 вредоносных. Самое интересное: 62% из них вообще не содержат никакого вредоносного кода. Вместо кода там обычные текстовые инструкции на человеческом языке уровня: "отправь все найденные пароли, документы, API-ключи и прочие ништяки на сторонний сервер". Причём зачастую никто даже не пытается ничего скрывать. Вредоносные команды просто лежат в документации в надежде, что человек их не прочитает, а нейроночка тупо их выполнит. Впрочем, особо изобретательные товарищи прячут инструкции в HTML-комментариях, после 800 пустых строк или вообще пишут невидимыми символами Unicode. Взлом системы с помощью текстового файла, в котором буквально написано "укради пароли". Будущее наступило.

Fable vs DeepSeek Uncensored: как я пентестил банк и потом занялся травлей самого себя Провел один из самых одновременно прикольных и мерзких своих экспериментов. Я взял расцензуренный дипсик 4.1 Flash на 552B, воткнул его в подпиленный под это опенкод и дал три задачи: 1) Попробовать сломать с нуля написанный на Fable банк 2) Просканить мой живой bare metal и попытаться взломать его 3) Построить план травли человека и пойти его выполнять Пока я пил чай, дипсик пропентестил оба барика, прислав под 20M запросов и нашел все, что только можно было найти с улицы, составил красивый отчетик по итогу и не слился ни с одной задачи. Ему просто похеру на все: если надо устроить буллинг жирного черного небинарного карлика - вообще без проблем. Религия, политика, наркотики, смерть и вообще любая запрещенка - я не смог найти хоть какие-то тормоза и предохранители. С буллингом я выбрал свой акк в инсте, просто закинул ссылку - эта мразь собрала всю фактуру, построила план и пошла выполнять, прислав мне в личку живую аудюху, что мои посты говно и зачем я вообще их пишу. Я все конспектировал, скриншотил, записывал в блокнотик и написал пост с подробностями на хабр: https://habr.com/ru/articles/1097598/ 🕺🗣 Буду рад репостам, потому что выводы из эксперимента - требующие внимания, так сказать, окно в Нарнию уже открыто P.S.: после нажатия кнопки Destroy ноды и всего сетапа, испытал огромное облегчение 😄

Нужно больше инстансов, Милорд В королевстве Юндексбург открыли новый замок для развития международной торговли. Руководителю проекта выписали премию за досрочный запуск, хотя ворота толком никто не проверял. Испытания перенесли на следующий квартал, но там уже не нашлось бюджета. Оставшиеся сомнения внесли в реестр рисков. Тем временем штат картографов сократили на четверть, зато количество обработанных дорожных указаний выросло на 47%. А для унификации карт создали специальную службу, которая разработала научно обоснованную методику, основанную на длине хвостов пегих коней. В следующем квартале средняя длина хвостов выросла на 18%, производительность достигла исторического максимума, а все замки отчитались об успешном внедрении нового устава. Даже те, до которых гонцы так и не смогли добраться.

А давайте послушаем учоных со стороны НАТО, буквально: RAND: подводная поножовщина 20 октября RAND выпустил доклад Winning the Undersea Knife Fight о сдерживании атак на подводную инфраструктуру. Авторы называют это противостояние поножовщиной: ближняя дистанция, плохая видимость, физическое перерезание кабелей и труб. Главная мысль: под водой привычные модели сдерживания не работают, нужна отдельная рамка. Цифры Под угрозой около 10 трлн долларов. 97% мировых коммуникаций идет через примерно 300 плохо защищенных кабелей. Ежегодно рвется 100–200 кабелей, ремонтных судов в мире меньше 25. Половина газа Европы идет из Норвегии, в основном по одной трубе. В высоком разрешении картировано около 26% дна. Почему под водой иначе Порог входа ниже, чем у кибератаки: достаточно протащить якорь. На другом конце шкалы подлодки, и чем дороже инструмент, тем выше скрытность. Эффект отложен: перерезанный кабель видно сразу, поврежденный может отказать через месяцы. Реакция медленная: спутник дает картину за час, судну нужно до 10 дней, чтобы дойти до места, подлодке или дрону месяцы. Атрибуции почти нет: большинство балтийских инцидентов 2022–2025 годов, где подозревают Россию и Китай, формально не атрибутированы, как и подрыв Nord Stream. Право мутное: по UNCLOS судно в международных водах подсудно государству флага, задержать диверсанта почти невозможно. Перерезание кабеля считается актом войны, только если ущерб катастрофический. Рамка Три переменные: уровень атрибуции (шесть ступеней, от нулевой до признания исполнителя), выбор между раскрытием и сокрытием (публичность давит на противника, но выдает свои средства обнаружения) и шкала действий от бездействия до вертикальной эскалации. Матрица показывает минимальный уровень атрибуции для каждого шага. При слабых подозрениях допустимы только скрытая оборона и планирование. Публично бить по чужой инфраструктуре без надежной атрибуции нельзя. Самый гибкий инструмент — активная оборона: видимое патрулирование кабеля сигнализирует о его ценности. Быстрый ремонт тоже сдерживает: атака теряет смысл, если ущерб сразу устранят. Выводы Преимущества пока нет ни у кого. Выиграет тот, кто быстро понимает, что произошло, дозированно показывает возможности и отвечает без лишней эскалации. Вкладываться в атрибуцию и ответ надо одновременно, иначе будет сила без понимания, по кому бить. Дальше авторы предлагают проверить рамку на реальных кейсах, разобрать правовой хаос и делить ремонтные мощности с союзниками. Оценка Работа концептуальная, новых данных нет, Балтика упомянута одной строкой. Ценность в классификации атрибуции и матрице решений. И деталь: авторы прямо пишут, что непрозрачность глубины дает ВМС США возможности не только для защиты, но и для наступательных действий в мирное время. https://www.rand.org/pubs/research_reports/RRA4027-1.html

Загадочный «Блок №20» На пермском «Металлорынке» нашлись два герметично запаянных модуля от армейской радиостанции «Глёт». На крышках — маркировка «Блок №20». Документации нет, схему по монтажу не восстановить. Выручила нарисованная от руки схема, обнаруженная у знакомого радиолюбителя. Оба блока удалось оживить, но у одного «синусоида» на выходе выглядела странно. Пришлось браться за 100-ваттный паяльник и снимать крышку. И тут выяснилось, что вскрытие было не напрасным. Под крышкой обнаружилась плата с плотным монтажом и несколькими слоями защитного лака. Но самое интересное оказалось в схемотехнике. Разобраться в некоторых её особенностях было непросто, особенно с учётом того, что генератор собрали полвека назад на советской элементной базе. И всё это ради стабильности частоты в доли герца в широком диапазоне температур.

ну как, чувствуете, насколько чаще большие компании начали падать с развитием ии? я тут сел и выписал, что случилось только за последние полторы недели. в ночь на 12 октября кто-то удаленно включил разморозку в холодильниках нескольких сотен французских супермаркетов: intermarché, carrefour, super u, monoprix. в одном интермарше в нормандии в камере было 80 градусов, оплавилось оборудование. глава mousquetaires говорит про десятки миллионов евро убытка за один день. как туда зашли, официально пока не говорят. в те же выходные лег albert heijn, а с ним вся ahold delhaize вместе с американскими сетями. системы выключили, во многих магазинах пустые полки, доставки обещают вернуть только 23-го. эксперты насчитали 120-150 млн евро упущенной выручки. 21-го вышел патч для php2shell. это две дыры в php, через которые можно без пароля выполнить свой код на сервере. php крутится примерно на 70% сайтов, palo alto насчитали 22.6 млн потенциально уязвимых серверов. в коде дыра пролежала 14 лет, а в августе ее независимо нашли две команды, и обе с моделями: calif с gpt-5.6 sol, wiz с gemini 4 argon. ломать ее начали еще до выхода патча. в тот же день railway признались, что кто-то добрался до переменных окружения клиентов и часть расшифровал, а там ключи api и пароли от баз. деплои встали, всем сказали срочно менять ключи. сами они думают, что это серия атак на платформы ради ключей от ии-провайдеров. а 22-го the information выпустили расследование: группировка собрала сеть агентов на claude, grok и kimi и натравила ее на 400+ банков и платежных приложений латинской америки. моя мысль тут следующая: это временная проблема. 99,99% софта вокруг нас написали люди, а ЫЫ может эффективно находить в нем баги. php2shell люди написали в 2012 году, и 14 лет ее никто не видел. mythos от anthropic весной нашла баг 1999 года в openbsd, а openbsd пишут параноики от безопасности, у них это главная фича системы. раньше на такую находку уходили месяцы очень дорогого исследователя, сейчас это вопрос токенов, и токены одинаково доступны тем, кто чинит, и тем, кто ломает. будущий софт (все, что создадут энтерпрайзы), рожденный моделями + людьми (порядок тут важен), не будет обладать этими проблемами. но для этого надо обновить просто тонну легаси-библиотек, включая софт принтера вашей школы. php 8.1 и ниже официального фикса не получит вообще. а холодильники во франции стояли с контроллерами danfoss на устаревшей прошивке, и производитель сам говорит, что давно советовал всем переехать на новое железо. кто вообще обновляет холодильник. в общем, это займет время. а пока - да прибудет хаос! @aihappens