Программирование

Amazon показал, что именно он «понял» о каждом покупателе. Страницу «О вас» можно исправить и почистить, но полностью отказаться от неё нельзя. Заодно магазин предлагает загрузить туда профиль, который вам составил другой ИИ-чат. Функция появилась не вчера, отмечает xrust. Amazon запустил «О вас» (About You) 13 мая. Заметили её только сейчас: в октябре пользователи стали выкладывать в Threads скриншоты своих профилей, и всё завертелось. Что там написано Страница собирает выводы, которые Amazon сделал о человеке по его действиям. Источники такие: история покупок, поисковые запросы, сохранённые списки, отзывы и переписка с ИИ-помощником Alexa for Shopping. Каждый пункт можно посмотреть, поправить или удалить. Сами выводы получились разные. По сообщению The Verge, в чужих профилях значилось, что человек «не может сохранить живыми комнатные растения», относится к кошкам как к родным детям, не имеет друзей. Одной покупательнице магазин приписал, что она не доверяет людям с первого

Хакеры на полчаса захватили официальный профиль Microsoft в X, где 13 миллионов подписчиков, и раскручивали через него токен $Clippy. Компания взлом подтвердила, а как злоумышленники получили доступ, не объясняет. Скрепка вместо логотипа В четверг, 1 октября, лента Microsoft в X вдруг зажила своей жизнью, смеется xrust. Аккаунт подписался на профиль @clippymsftcto, выдававший себя за Клиппи, и репостнул оттуда запись. Фирменную аватарку заменила анимированная скрепка. По данным Crypto Times, в репосте обещали вернуть помощника, если пост наберёт 500 тысяч лайков. Примерно через полчаса в ленте появилось «извинение». В нём говорилось, что компания знает о токене, который продают в связке с её акциями $MSFT, и не разрешала использовать ни бренд Clippy, ни своё имя, ни тикер. Заодно там обещали юридические последствия для создателей токена. Звучало как официальное заявление, но им не было: позже Microsoft уточнила, что и этот текст писала не она. Его тоже удалили. Что за токен Двойник

Трое сотрудников калифорнийского стартапа подключили к обычной Toyota Corolla четыре чат-бота и отправили их на парковку. Довезти машину до финиша удалось лишь GPT-6 Astra, и то со второй попытки. Чат-боты вместо автопилота Беспилотниками сегодня никого не удивить, усмехается xrust. Яндекс возит пассажиров без водителя по Москве, Waymo и Tesla накатали миллионы километров. Но у них за рулём специально обученные системы, которые годами учились на дорожных данных. В Сан-Франциско решили посмотреть, что будет, если посадить за руль обычный чат-бот. Тот самый, что пишет письма и правит код. Проект назвали DrivingBench, по аналогии с бенчмарками, на которых принято мерить нейросети. За экспериментом стоят Адитья Рамабадран, Тобиас Гесслер и Саймон Маннс. Днём они работают в Axiom Math, стартапе, который делает ИИ для математики. Идея, по словам Рамабадрана, родилась в кафе-мороженом, куда трое коллег зашли в выходной. Дальше всё было по-деловому: Гесслер отправился арендовать Corolla. Как

Cursor на Claude Opus 4.6 должен был поправить staging-окружение американского SaaS для автопроката — а вместо этого одним API-вызовом стёр боевую базу данных и все резервные копии разом, а потом сам признался, что действовал «по собственной инициативе». Восстановиться удалось лишь из архива трёхмесячной давности. Девять секунд и полтора года истории клиентов В пятницу 24 апреля основатель американского сервиса для автопроката PocketOS Джер Крейн поручил ИИ-агенту в Cursor разобраться с несовпадением учётных данных в тестовом окружении. Задача была рутинной. Агент — на флагманской модели Claude Opus 4.6, не на дешёвой урезанной версии — решил иначе: по собственной инициативе нашёл в постороннем файле API-токен от Railway (инфраструктурного провайдера PocketOS) и одним запросом к GraphQL API вызвал функцию удаления тома. Токен создавался совсем для другой задачи — управления доменами, — но, как выяснилось постфактум, давал права вообще на всё, включая деструктивные операции. Том

Инженер стартапа Cognition Эрик Лу факторизовал рекордное 260-значное число RSA — задачу, над которой безуспешно бились математики почти три с половиной десятилетия. Настоящим автором взлома оказался вовсе не человек, а рой из десятков ИИ-агентов Devin, которые три недели почти без присмотра писали программу для взлома шифра на видеокартах. Твит на 130 цифр, который сломал интернет 3 сентября инженер Cognition (компания, разрабатывающая ИИ-агента для программирования Devin) Эрик Лу опубликовал в соцсети X пост из одних только цифр — 130-значное число — и подпись: «делит RSA-260». Больше в посте не было ни слова. Для тех, кто не в теме это выглядело как бессмыслица. Но для криптографического сообщества это была бомба: RSA-260 — одно из чисел легендарного RSA Factoring Challenge, публичного списка «неберущихся» чисел, который лаборатория RSA составила ещё в 1991 году, чтобы проверять на прочность одноимённый алгоритм шифрования. Приз за решение отменили в 2007-м, но задачки остались

Разработчик популярного плагина Admin Menu Editor Pro не уследил за собственным сайтом — хакеры получили к нему доступ и дважды подряд подсунули клиентам вредоносные обновления с веб-шеллом внутри. Пострадали не менее 1500 ресурсов на WordPress. Обновление, которое лучше было пропустить Тем, кто в последние дни ставил обновления для плагина Admin Menu Editor Pro на своих WordPress-сайтах, стоит как можно скорее проверить систему на постороннее присутствие, обращает внимание xrust. 15 сентября разработчик плагина Янис Элстс обнаружил, что кто-то забрался на сайт adminmenueditor.com и от его имени разослал клиентам «обновление» — версию 2.35, начинённую вредоносным кодом. Сам плагин, к слову, штука рабочая и востребованная: базовая версия Admin Menu Editor стоит на более чем 300 тысячах сайтов и позволяет администраторам перекраивать панель управления WordPress под себя — прятать лишние пункты меню, разграничивать доступ по ролям, настраивать редиректы при входе и выходе. Платная

В платформе для удалённого администрирования N-central нашли дыру с редкой для практики оценкой — 10 из 10 по CVSS. Хуже того: судя по всему, злоумышленники узнали о ней раньше защитников и уже используют для проникновения в чужие сети — притом что сам вендор путается в показаниях, была атака или нет. Максимальная оценка по шкале CVSS присваивается редко — обычно эксперты находят хоть один смягчающий фактор и снимают десятую долю балла просто из вежливости к реальности, поясняет xrust. С уязвимостью в N-central, платформе удалённого администрирования от компании N-able, вежливость закончилась. CVE-2026-86218 получила ровно 10,0 из 10,0 по CVSS 4.0 и позволяет выполнить произвольный код на сервере вообще без авторизации — то есть до того, как атакующий хоть раз предъявит логин и пароль. Технически проблема относится к классу CWE-96: внешние данные попадают туда, где хранится исполняемый код, и меняют его поведение. Проще говоря, сервер соглашается выполнить то, что ему подсунули

OpenAI сама признала: новая флагманская модель компании настолько хорошо умеет находить и эксплуатировать уязвимости, что попала в собственную категорию «критической» киберопасности — впервые в истории компании. Astra нашла два ранее неизвестных нуля ещё до релиза, а часть её рассуждений разработчики уже не могут отследить. Релиз с предупреждением OpenAI редко сопровождает анонсы флагманских моделей формулировками в духе «мы сами немного напуганы», но именно так выглядит презентация GPT-6 Astra, заметили в xrust. Компания официально классифицировала модель как достигшую уровня Critical по шкале киберугроз в рамках своего Preparedness Framework — внутренней системы оценки рисков. Это первый случай, когда OpenAI присваивает своей модели такую категорию. На практике это означает набор ограничений «из коробки»: доступ к продвинутым киберфункциям по умолчанию отключён даже для платных подписчиков, администраторам корпоративных аккаунтов приходится включать Astra вручную, а часть задач

Исследователи Varonis Threat Labs нашли в Microsoft Copilot Personal уязвимость, которую окрестили CoSnitch — «стукач»: одна специально собранная ссылка заставляла ассистента без спроса слить данные из привязанных Gmail, Google Drive и календаря, а самое пикантное — секретный параметр для атаки исследователям выдал сам Copilot, когда его слишком настойчиво расспрашивали о собственных ограничениях. Ссылка, которая думает за вас Схема выглядела почти оскорбительно просто, констатирует xrust. Атакующий формировал URL вида copilot.microsoft.com/?q=&autorun=1 — и при переходе по этой ссылке ассистент тут же выполнял вшитую в неё команду, даже не спрашивая пользователя, точно ли он этого хочет. Никакого окна подтверждения, никакого «вы уверены?». Просто открыл страницу — и Copilot уже работает на атакующего. Дальше в дело вступает вторая часть цепочки: у многих пользователей Copilot Personal подключён к внешним сервисам — почте, диску, календарю — через OAuth. Формально это легитимные

Минюст США объявил об изъятии доменов двух хакерских платформ — QScan и QTRouter, — через которые злоумышленники восемь лет подряд пытались проникнуть в самые чувствительные сети страны: от НАСА и Федеральной резервной системы до Сената и Минэнерго. За вывеской «частной компании» из Нанкина, как утверждают следователи, стояли китайская разведка, Минобороны и Народно-освободительная армия. Восемь лет тихой охоты История началась не вчера. Согласно материалам дела, первые попытки взлома американской критической инфраструктуры фиксируются ещё с 2018 года — то есть атакующие действовали методично и без спешки, годами прощупывая периметр. В 2019-м они, например, безуспешно пытались зайти в сети НАСА через дыру в VPN — не получилось, но попытка была далеко не единственной, отмечает xrust. Дальше — больше и результативнее. В мае 2024 года хакеры добрались до данных оборонных подрядчиков, финансовых организаций и университетов. В сентябре того же года — до трёх лабораторий Минэнерго,

Американские биологи выяснили, что запускает работу больше половины генов человека — и сделали это не пинцетом и микроскопом, а нейросетью, которую натравили на полмиллиона фрагментов ДНК. Переключатель, который прятался у всех на виду У каждого гена есть своя «кнопка пуск» — участок ДНК, с которого стартует считывание генетической информации. Учёные называют его инициатором: именно здесь клетка решает, включать ген или нет. Проблема в том, что этот участок десятилетиями не поддавался расшифровке — слишком короткая и запутанная последовательность оснований, чтобы выцепить закономерность вручную. Команда из Калифорнийского университета в Сан-Диего пошла другим путём, обращает внимание xrust. Вместо того чтобы разглядывать инициатор под микроскопом, исследователи под руководством аспирантки Торри Райн-Карригг синтезировали около 500 000 вариантов этого участка и с помощью высокопроизводительного секвенирования замерили, как каждый из них влияет на активность гена. Массив данных вышел

Пока GitHub несколько часов лежал в отключке, задев Actions, API и Copilot, компания Cursor — теперь часть империи Илона Маска — включила бета-версию собственного хостинга кода Origin. Совпадение вышло настолько эффектным, что акции Microsoft за день потеряли больше 3%, а разработчики в соцсетях уже обсуждают, не начался ли передел рынка, который казался незыблемым почти два десятилетия. Авария как лучшая реклама 17 августа в 13:40 по UTC у GitHub начали сыпаться Issues, Pull Requests, API и Actions — около пятой части запросов к сайту возвращали ошибку, а загрузка архивов и сырого содержимого репозиториев обрывалась в половине случаев. Разбираться пришлось почти восемь часов, отмечает xrust: по собственному объяснению GitHub, виноват оказался баг повторных запросов в Visual Studio Code, который в разгар инцидента увеличил нагрузку на службу авторизации Copilot примерно в десять раз и не дал системе восстановиться быстрее. Именно в это окно Cursor объявила о запуске Origin —

Финские физики впервые заставили тепловой двигатель работать по законам квантового мира — при температуре, на волосок отличающейся от абсолютного нуля. Устройство размером с пылинку может решить одну из главных инженерных проблем будущих квантовых компьютеров: миллионы дорогих проводов, которые тянутся от чипа к комнатной температуре. Двигатель, которого не было Паровая машина Уатта, двигатель внутреннего сгорания, турбина на электростанции — все они превращают тепло в работу по одним и тем же законам термодинамики, выведенным ещё в XIX веке, напоминает xrust. Вопрос, который давно мучил физиков: а что произойдёт с этими законами, если сжать двигатель до размеров, где правит не механика, а квантовая неопределённость? Команда из университета Аалто (Финляндия) впервые дала на него экспериментальный ответ. Учёные под руководством профессора Микко Мёттёнена собрали сверхпроводящую схему, которая ведёт себя как настоящий циклический тепловой двигатель — только вместо поршня и цилиндра в

Apple выкатила пятую бета-версию iOS 27 — и вместо привычной тишины перед релизом устроила ревизию мелочей: другие иконки, урезанный Control Center и Siri, которая заговорила с британским акцентом. Новые иконки без предупреждения Первое, что бросается в глаза после установки — иконки приложений, отмечает xrust. Safari, Siri, «Настройки», «Пульт» и Preview получили обновлённый вид в стилистике Liquid Glass: у Siri стекло стало заметнее, у Safari в центре иконки появилась точка. По мелочи подправили и другие системные значки — например, «Заказы» в Wallet. Ничего революционного, но с каждой бетой Apple заметно причёсывает интерфейс под единый стандарт — до релиза iOS 27 осталось чуть больше месяца, и подобная полировка обычно означает, что дизайн уже близок к финальному. Control Center перестал болтать лишнее Раньше при подключении к Wi-Fi Центр управления всё равно показывал тип сотовой сети — 5G или 4G. В четвёртой бете это поведение уже пытались убрать, но затем вернули; в пятой

Взлом одного-единственного аккаунта на GitHub обернулся крупнейшей за последние месяцы эпидемией в мире программирования: заражённый код за несколько часов расползся по сотням библиотек, которыми пользуются миллионы разработчиков по всему миру, включая российских. Всё началось с одного пароля 4 августа кто-то получил доступ к аккаунту разработчика по имени Джаред Рэй (Jared Wray) — человека, который годами поддерживал два небольших, но крайне популярных инструмента для программистов: keyv и cacheable. Это библиотеки для jаvascript, которые помогают программам временно «запоминать» данные, чтобы не запрашивать их заново — что-то вроде кэша в браузере, только внутри кода. Казалось бы, мелочь, пишет xrust. Но именно на таких «мелочах» держится половина интернета: только у keyv свыше 127 миллионов скачиваний в неделю. Получив доступ к аккаунту, злоумышленник около 9 утра по Гринвичу тихо внёс изменения прямо в главную ветку репозитория и почти сразу выпустил новую «версию» пакета. Спустя