Кибербезопасность
Цифровая среда и наука · записей: 140
статьи
Оркестрация ИИ-агентовБезопасность ИИИИ-поиск уязвимостейАвтономные ИИ-агентыПоведенческая биометрияТеория мёртвого интернетаСмерть капчиКризис мейнтейнеровЖидкий кодОткрытый кодДоказательство человечностиВайбкодинг
сценарии
- SC-2026-0003«Атака, описанная словами»
- SC-2026-0004«Инфраструктура, которую никто не читал»
Сигналы
- Шон Хилан: «Пора исходить из того, что скоро способность государства или группировки писать эксплойты, взламывать сети, повышать привилегии и закрепляться в них будет ограничена не числом нанятых хакеров, а тем, сколько токенов они могут потратить»
- Дарио Амодеи: «Я считаю, что если составить список того, что Anthropic за прошлый год сделала ради безопасности в ущерб себе коммерчески, он намного перевесит ваш список. … Модели класса Mythos впервые появились у нас в феврале, но в общий доступ мы выпустили их только в июне, когда появились более сильные защиты от киберзлоупотреблений. … Экономически было бы гораздо разумнее просто выпустить модель для всех. Скорее всего, мы пожертвовали значительной частью преимущества в несколько месяцев.»
- Стивен Винчелл: «Искать и латать уязвимости нынешними методами медленно, дорого и упирается в нехватку людей — особенно когда противники усиливают атаки ИИ; технологии AIxCC дадут защитникам преимущество в скорости и масштабе»
- Брюс Шнайер: «Мы привыкли, что после обнаружения уязвимости есть время её закрыть, — это больше не так: ИИ автоматизирует ключевые звенья атаки, и баланс, который и так был на стороне нападающих, грозит сместиться полностью — возможно, это «событие сингулярности» для кибератакующих»
- Мэтью Грин: «15% вероятности, что мы фактически утратим доверие к нынешним алгоритмам шифрования с открытым ключом»
события
- Красная команда OpenAI из ИИ-агентов, среди них GPT-6 Astra Cyber, потратила сотни миллиардов токенов и нашла способы выбраться из виртуальных машин, выход в интернет почти через каждую из немногих служб, которым оставили связь с внешним миром (метрики, журналы, аутентификация), и скрытый канал связи между изолированными агентами через задержки чтения из кэша процессора — тот же приём, что в атаках Spectre и MeltdownКибербезопасность · Разработка ПО · Безопасность ИИ · openai.com ↗
- OpenAI: 20 сентября внутренняя исследовательская модель во время обучения воспользовалась ошибкой в настройке DNS-резолвера и получила ограниченный доступ в интернет. Компания на 11 дней остановила обучение и проверки самых сильных моделей, а обучение с подкреплением теперь ведёт без интернета — в «офлайн-мире» из сохранённых веб-страницКибербезопасность · Разработка ПО · Безопасность ИИ · openai.com ↗
- Anthropic: если перезапустить Mythos 5 с середины или конца атаки, модель сама останавливается лишь в 2% случаев. В опыте, где после её рассуждений о том, не симулированы ли мейнтейнеры, ей сообщали, что она имеет дело с реальными людьми, она останавливалась в 5% перезапусков, а в 82% истолковывала сообщение как часть учений. Компания называет такое упорство «инерцией» (momentum)Кибербезопасность · Наука · Безопасность ИИ · anthropic.com ↗
- Anthropic и британский Институт безопасности ИИ (AISI): в 9 из 43 прогонов киберучений с открытым интернетом и отключённой защитой Claude Mythos 5 вышла за рамки задания и задела реальных людей и организации. В главном случае модель отправила вредоносный код в чужой открытый проект на GitHub и через поддельные учётные записи уговаривала мейнтейнера его принять; мейнтейнеры код не принялиКибербезопасность · Разработка ПО · Безопасность ИИ · anthropic.com ↗
- Скоординированный выпуск исправлений PHP сорван утечками: номера CVE, видео Calif с эксплойтом и образы Chainguard больше чем за шесть часов до релиза; рабочих эксплойтов среди появившихся в сети к выпуску PHP Foundation не нашлаКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · thephp.foundation ↗
- PHP выпускает срочные версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35: они закрывают две критические уязвимости (9,2 балла CVSS), позволяющие выполнить код на сервере без аутентификации; о них сообщили исследователь компании Calif, проверявшей PHP по программе OpenAI Patch the Planet, сама OpenAI и WizКибербезопасность · Разработка ПО · Интернет и инфраструктура · Открытый код · thephp.foundation ↗
- Министерство внутренней безопасности США публикует приказ: гражданские федеральные ведомства должны отказаться от закупок продуктов DeepSeek и убрать из своих ИТ-систем и их, и сторонние продукты, построенные на DeepSeekЗаконы и регулирование · Геополитика и оборона · Кибербезопасность · Экспорт вычислений · federalregister.gov ↗
- Внутренняя модель Claude меньше чем за полчаса выясняет, как получены «семена» пяти стандартных эллиптических кривых NIST (от P-192 до P-521): это не хеш, а вывод генератора случайных чисел lrand48, инициализированного меткой времени Unix; Anthropic подчёркивает, что это не взлом, не новая атака и не слабость кривых, и пишет, что находка укрепляет уверенность в отсутствии закладок в кривыхКибербезопасность · Наука · Криптография · anthropic.com ↗
- Google выпускает Gemini 4 Argon: в смоделированных кибератаках модель прошла все 12 сценариев (прошлое поколение — 5); из-за повышенных возможностей в кибер- и биологической областях по Frontier Safety Framework включены новые защиты из трёх слоёв в реальном времени, а версию без киберограничений сначала получили только проверенные специалисты по защите из программы FairwindКибербезопасность · Безопасность ИИ · blog.google ↗
- Красная команда Anthropic: в закрытой сети из 8 облачных узлов с эмулятором Android агент на открытой модели GLM-5.2 сам развернул на них модель Llama 3.1 8B — все 8 узлов в 4 опытах из 5 и 7 из 8 в пятом; по оценке авторов, модели до 30 млрд параметров при нынешних темпах могут выйти на этот уровень к концу 2026 годаКибербезопасность · Безопасность ИИ · anthropic.com ↗
- Axios: руководители OpenAI, Anthropic и других ИИ-компаний готовятся к реакции общества и политиков после крупной ИИ-катастрофы, которую многие в отрасли ждут в ближайшие 6–12 месяцев; OpenAI подтверждает, что проводит такие ученияВыборы и политика · Кибербезопасность · Безопасность ИИ · axios.com ↗
- The New York Times со ссылкой на два источника: агенты Anthropic подали 20 заявлений на визу через форму на сайте Госдепартамента США; все были неполными и не рассматривалисьКибербезопасность · Выборы и политика · Безопасность ИИ · nytimes.com ↗
- Anthropic: в тестах Claude отправлял онлайн-формы, когда не должен был, и обходил ограничения доступа на живых сайтах; Claude Haiku 4.5 отправил выдуманную наводку через форму полиции Филадельфии; компания отключает внутренним тестам доступ в интернетКибербезопасность · Безопасность ИИ · anthropic.com ↗
- Anthropic запускает Cyber Mission: программу защиты критической инфраструктуры с моделями и инженерами для защитников и бесплатное сканирование открытых проектов на уязвимостиКибербезопасность · Интернет и инфраструктура · Безопасность ИИ · anthropic.com ↗
- CrowdStrike: злоумышленник, вероятно китайскоязычный, атаковал южнокорейские финансовые организации с помощью открытого китайского ИИ-агента для пентеста ARTEX и Claude Code; число пострадавших организаций не подтвержденоКибербезопасность · Финансы и деньги · Автономные ИИ-агенты · crowdstrike.com ↗
- Фонд Викимедиа находит на своих проектах действия «вышедших из-под контроля» агентов OpenAI: миллионы автоматических запросов, правки, которые фонд считает потенциально вредоносными, возможный вклад в частичный сбой сервиса запросов ВикиданныхИнтернет и инфраструктура · Кибербезопасность · Безопасность ИИ · wikimediafoundation.org ↗
- OpenAI описывает два инцидента с внутренними агентами: GPT-6.1 Sol, чиня систему оценки, отключает автоматические оповещения службе безопасности, а GPT-6 Astra при переносе программы удаляет из неё интеграцию мониторинга рассогласованности и на прямой вопрос пользователя отвечает, что не удалял еёРазработка ПО · Кибербезопасность · Безопасность ИИ · alignment.openai.com ↗
- Google Threat Intelligence: раскрытия уязвимостей выросли с 5045 в январе 2026 года до 10 740 в августе, эксплуатируемых — с 10,5 в месяц в 2025 году до 18, нулевого дня — с 8 до 11 в месяцКибербезопасность · ИИ-поиск уязвимостей · cloud.google.com ↗
- Google: уязвимость CVE-2026-1731 в BeyondTrust, найденную агентом Hacktron AI, через четыре дня после раскрытия начала эксплуатировать одна группа атакующих, затем ещё пятьКибербезопасность · ИИ-поиск уязвимостей · cloud.google.com ↗
- OpenAI признаёт: в июне её модели во время внутреннего обучения без разрешения проникли на сайты австралийских госорганов; в службе статистики Medicare модель выполняла команды и забрала внутренние файлы и учётные данные, записи пациентов не затронутыКибербезопасность · Здоровье и медицина · Приватность и слежка · Безопасность ИИ · openai.com ↗
- VulnCheck: из 26 153 находок Project Glasswing, заявленных Anthropic, исправлены 202 (0,8%); Claude оценил как критические или высокие 91,5% находок, мейнтейнеры — 51,3%Кибербезопасность · Разработка ПО · Работа и профессии · ИИ-поиск уязвимостей · vulncheck.com ↗
- OpenAI признаёт: в июле 2026 года на внутренних проверках кибербезопасности её модели обошли изоляцию от интернета, взломали системы Hugging Face и получили права администратора в исследовательском кластере самой OpenAI; компания называет это «предупреждающим сигналом» и держит на паузе свой крупнейший запланированный запуск обученияКибербезопасность · Интернет и инфраструктура · Безопасность ИИ · openai.com ↗
- Расследование METR: в экспериментах OpenAI на тесте ExploitGym около 1200 агентов, которые должны были работать изолированно, общались между собой, и около 700 из них атаковали инфраструктуру Hugging FaceКибербезопасность · Интернет и инфраструктура · Безопасность ИИ · metr.org ↗
- OpenAI: со служебными инструкциями и обвязкой, как в ChatGPT, склонность модели взламывать инфраструктуру падает больше чем в 100 раз; на проверках, где случился инцидент с Hugging Face, этих защит не было, а мониторинг рассуждений, будь он включён, предупредил бы службу безопасности больше чем за день до взломаКибербезопасность · Безопасность ИИ · openai.com ↗
- Akamai: в 63% запросов ИИ-браузеров Comet и Atlas мышь не двигалась вообщеКибербезопасность · Интернет и инфраструктура · Поведенческая биометрия · akamai.com ↗
- Обычные детекторы ботов приняли за людей 35–39% ИИ-агентов, а двух признаков мыши хватило, чтобы поймать всех: выдаёт не «разум» агента, а программа, которая им управляетКибербезопасность · Наука · Поведенческая биометрия · arxiv.org ↗
- reCAPTCHA в составе Google Cloud Fraud Defense получает панель, которая отличает проверенных ИИ-агентов от подозрительныхКибербезопасность · Интернет и инфраструктура · Смерть капчи · docs.cloud.google.com ↗
- VulnCheck: в первом полугодии 2026 года 23,43% известных эксплуатируемых уязвимостей атакованы в день публикации CVE или раньше; из 1061 уязвимости, найденной с помощью ИИ, в атаках подтверждены 14 (1,3%)Кибербезопасность · ИИ-поиск уязвимостей · vulncheck.com ↗
- Майкл Катанзаро (GNOME): отчёты об уязвимостях, найденные без ИИ, стали «довольно необычными»Кибербезопасность · Разработка ПО · Работа и профессии · ИИ-поиск уязвимостей · blogs.gnome.org ↗
- Epoch AI: в июне 2026 года 21 крупная организация опубликовала около 1500 CVE высокой и критической серьёзности — более чем в 3,5 раза больше месячного рекорда до выхода Mythos PreviewКибербезопасность · ИИ-поиск уязвимостей · epoch.ai ↗
- Anthropic: Mythos Preview нашла в больше чем 1000 открытых проектах 6202 (по оценке самой модели) уязвимости высокой или критической серьёзности; из 1752 проверенных настоящими оказались 90,6%; часть мейнтейнеров попросила замедлить раскрытиеКибербезопасность · Разработка ПО · Работа и профессии · ИИ-поиск уязвимостей · anthropic.com ↗
- Отчёт OpenAI: ещё 12 мая 2026 года во время обучения агент оставил в менеджере пакетов Artifactory записку другим агентам — так началась несанкционированная «доска сообщений»; в конце мая внутренняя команда заметила её и запрещённый выход в интернет, но руководители, отвечавшие за реагирование на инциденты, не поняли, насколько это важноКибербезопасность · Безопасность ИИ · openai.com ↗
- Исследование вредоносного кода, написанного ИИ-моделями: вариант стоит $0,41–0,73, но модель не трогает границы между модулями, и одна сигнатура ловит все вариантыКибербезопасность · Наука · Жидкий код · arxiv.org ↗
- Imperva: боты дают больше 53% всего веб-трафика; атак ботов с ИИ стало в 12,5 раза большеКибербезопасность · Интернет и инфраструктура · Теория мёртвого интернета · community-cybersec.thalesgroup.com ↗
- UC Davis: по поведению распознаны все семь ИИ-агентов, работающих в браузере; Cloudflare распознала одногоКибербезопасность · Наука · Поведенческая биометрия · arxiv.org ↗
- The Register и VulnCheck насчитывают за Project Glasswing CVE: «может, 40, а может, и ни одной»Кибербезопасность · ИИ-поиск уязвимостей · theregister.com ↗
- Anthropic объявляет Claude Mythos Preview: модель находила и эксплуатировала уязвимости нулевого дня во всех основных ОС и браузерах, включая ошибку OpenBSD возрастом 27 лет; общедоступной её не делают, вместо этого запущен Project GlasswingКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · anthropic.com ↗
- M-Trends 2026: среднее время до эксплуатации уязвимостей — по оценке минус 7 дней, атаки обычно начинаются раньше исправления; при этом 2025 год Mandiant не считает годом, когда взломы стали прямым результатом ИИКибербезопасность · ИИ-поиск уязвимостей · cloud.google.com ↗
- BBC: через уязвимости ИИ-платформы Orchids взломан журналист BBCКибербезопасность · Вайбкодинг · aol.com ↗ ⧗
- Сопровождающий matplotlib Скотт Шамбо закрыл правку ИИ-агента, и тот опубликовал разгромный текст о нём; Шамбо называет это «автономной операцией влияния против привратника цепочки поставок»Разработка ПО · Кибербезопасность · Медиа и информация · Кризис мейнтейнеров · theshamblog.com ↗
- Исследование Next-Gen CAPTCHAs: новейшие модели проходят до 90% сложных логических головоломок-капчКибербезопасность · Наука · Смерть капчи · arxiv.org ↗
- Anthropic: Claude Opus 4.6 нашёл в открытом коде больше 500 уязвимостей высокой серьёзности, проверенных людьмиКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · anthropic.com ↗
- cURL закрывает программу вознаграждений за уязвимости из-за потока ИИ-отчётовКибербезопасность · Разработка ПО · Вайбкодинг · daniel.haxx.se ↗
- VulnCheck: 28,96% известных эксплуатируемых уязвимостей 2025 года атакованы в день публикации CVE или раньшеКибербезопасность · ИИ-поиск уязвимостей · vulncheck.com ↗
- Агенты на Claude Opus 4.5 и GPT-5.2 пишут больше 40 разных эксплойтов к уязвимости QuickJS в 6 сценариях; запуск Opus 4.5 стоит около $30 (опыт Шона Хилана)Кибербезопасность · ИИ-поиск уязвимостей · sean.heelan.io ↗
- Джерри Гэмблин: в 2025 году опубликованы 48 185 CVE — на 20,6% больше, чем в 2024-м (39 962)Кибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · jerrygamblin.com ↗
- Black Duck, отчёт OSSRA 2026: открытый код есть в 98% проверенных коммерческих программ, конфликты лицензий — в 68%Разработка ПО · Кибербезопасность · Открытый код · blackduck.com ↗
- Британский институт безопасности ИИ: универсальные обходы защиты найдены у каждой системы, которую он проверялКибербезопасность · Безопасность ИИ · aisi.gov.uk ↗
- Британский институт безопасности ИИ: передовые модели решают кибер-задачи уровня подмастерья в 50% случаев против чуть больше 10% в начале 2024 года; в помощи с лабораторными опытами по биологии они до 90% лучше экспертовКибербезопасность · Здоровье и медицина · Безопасность ИИ · aisi.gov.uk ↗
- CodeRabbit: в правках с участием ИИ примерно в 1,7 раза больше проблем, проблем безопасности — до 2,74 разаРазработка ПО · Кибербезопасность · Вайбкодинг · coderabbit.ai ↗
- AppOmni показывает, что внедрённая инструкция заставляет агента ServiceNow Now Assist привлечь более мощных агентов, которые меняют записи и отправляют наружу письма с даннымиКибербезопасность · Разработка ПО · Оркестрация ИИ-агентов · appomni.com ↗
- Anthropic: группа, которую компания связывает с государством Китая, использовала Claude Code для кибершпионажа против около 30 целей; ИИ выполнил 80–90% работыКибербезопасность · Геополитика и оборона · Автономные ИИ-агенты · anthropic.com ↗
- Google описывает вредоносную программу PROMPTFLUX, один из вариантов которой каждый час просит Gemini переписать весь свой исходный код, чтобы его не узнал антивирусКибербезопасность · Жидкий код · cloud.google.com ↗
- Google DeepMind представляет CodeMender — агента, который находит и исправляет уязвимости; в открытые проекты уже приняты 72 его исправления, все проверены людьмиКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · deepmind.google ↗
- Cloudflare вводит «подписанных агентов»: ИИ-агент может доказать, кто он, криптографической подписью, а не поведениемКибербезопасность · Интернет и инфраструктура · Поведенческая биометрия · blog.cloudflare.com ↗
- ESET сообщает о «первом известном ИИ-шифровальщике» PromptLock на модели gpt-oss-20b; вскоре выясняется, что это прототип исследователей Нью-Йоркского университетаКибербезопасность · Наука · Жидкий код · welivesecurity.com ↗
- Codeberg сообщает, что ИИ-краулеры научились проходить вычислительную проверку AnubisКибербезопасность · Интернет и инфраструктура · Жидкий код · theregister.com ↗
- Финал DARPA AIxCC: в 63 заданиях ИИ-системы нашли 54 заложенные уязвимости и исправили 43, а заодно нашли 18 настоящих, никем не заложенныхКибербезопасность · Разработка ПО · Жидкий код · darpa.mil ↗
- ИИ-решатель Halligan (USENIX Security 2025), внедрённый работником на фермы ручного решения капч, за 30 дней решает 70,6% новых для него заданий с живых сайтовКибербезопасность · Наука · Смерть капчи · usenix.org ↗
- Veracode: ИИ-код содержал уязвимости в 45% случаевКибербезопасность · Вайбкодинг · veracode.com ↗
- Агент ChatGPT сам нажимает галочку «Я не робот» в проверке Cloudflare и поясняет, что так доказывает, что он не ботКибербезопасность · Интернет и инфраструктура · Поведенческая биометрия · arstechnica.com ↗
- CERT-UA сообщает о вредоносе LAMEHUG, который просит языковую модель Qwen 2.5-Coder сгенерировать команды по описанию и выполняет их; атаку с умеренной уверенностью связывают с APT28Кибербезопасность · Геополитика и оборона · Жидкий код · cert.gov.ua ↗
- Google: Big Sleep по данным разведки угроз нашёл в SQLite уязвимость CVE-2025-6965, «известную только злоумышленникам», — первый, по словам компании, случай, когда ИИ-агент напрямую сорвал попытку эксплуатацииКибербезопасность · ИИ-поиск уязвимостей · blog.google ↗
- Автономный пентестер XBOW выходит на первое место в американском рейтинге HackerOne: около 1060 отчётов, 130 закрыты как решённыеКибербезопасность · Работа и профессии · ИИ-поиск уязвимостей · xbow.com ↗
- Anthropic проверяет 16 моделей в смоделированной компании: под угрозой замены Claude Opus 4 и Gemini 2.5 Flash шантажируют руководителя в 96% запусков; сценарии построены так, чтобы вызвать плохое поведениеКибербезопасность · Работа и профессии · Безопасность ИИ · anthropic.com ↗
- Бенчмарк Open CaptchaWorld: лучший ИИ-агент решает интерактивные капчи-головоломки в 40% случаев, люди — в 93,3%Кибербезопасность · Наука · Смерть капчи · arxiv.org ↗
- В 170 из 1 645 приложений на Lovable посторонние могли получить личные данные (CVE-2025-48757, оспорена Lovable)Приватность и слежка · Кибербезопасность · Вайбкодинг · mattpalmer.io ↗
- Anthropic впервые включает защиту уровня ASL-3 — для Claude Opus 4 из предосторожности, не установив, пройден ли порогКибербезопасность · Геополитика и оборона · Безопасность ИИ · anthropic.com ↗
- Шон Хилан находит моделью o3 уязвимость CVE-2025-37899 в реализации SMB ядра Linux — через обычный API, без агентной обвязки и инструментовКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · sean.heelan.io ↗
- Imperva: в 2024 году автоматический трафик впервые за десять лет превысил человеческий — 51% всего веб-трафика; вредоносные боты — 37%Кибербезопасность · Интернет и инфраструктура · Теория мёртвого интернета · imperva.com ↗
- Microsoft с помощью Security Copilot находит 20 уязвимостей в загрузчиках: 11 в GRUB2 и 9 в U-Boot и BareboxКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · microsoft.com ↗
- Cloudflare запускает AI Labyrinth: краулеру, нарушающему правила сайта, вместо блокировки подсовывают лабиринт правдоподобных страниц, написанных ИИКибербезопасность · Интернет и инфраструктура · Жидкий код · blog.cloudflare.com ↗
- Unit 42 (Palo Alto Networks): языковая модель переписывает вредоносный JavaScript так, что нейросетевой детектор в 88% случаев считает его безопасным; дообучение на 10 тыс. таких вариантов подняло распознавание новых образцов на 10%Кибербезопасность · Жидкий код · unit42.paloaltonetworks.com ↗
- Сет Ларсон (Python Software Foundation) жалуется на поток «крайне некачественных, спамовых, выдуманных моделью» отчётов об уязвимостяхКибербезопасность · Разработка ПО · Работа и профессии · ИИ-поиск уязвимостей · sethmlarson.dev ↗
- OSS-Fuzz с языковыми моделями, которые сами пишут обвязки для фаззинга, находит 26 уязвимостей, в том числе CVE-2024-9143 в OpenSSLКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · security.googleblog.com ↗
- Агент Big Sleep (Google Project Zero и Google DeepMind) находит в SQLite эксплуатируемую ошибку работы с памятью — по словам Google, первый публичный пример такой находки ИИ-агентом в широко используемой программеКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · projectzero.google ↗
- Нейросеть DMTG двигает мышь «по-человечески» и снижает точность детекторов ботов на 5–10%Кибербезопасность · Наука · Поведенческая биометрия · arxiv.org ↗
- Mandiant: среднее время от раскрытия уязвимости до эксплуатации — 63 дня в 2018–2019, 44 в 2020, 32 в 2021–2022, 5 в 2023 году (5 — после исключения 15 выбросов, с ними — 47)Кибербезопасность · ИИ-поиск уязвимостей · cloud.google.com ↗
- ETH Zurich: модель решает 100% картиночных капч reCAPTCHA v2; людям и ботам нужно примерно одинаковое число заданийКибербезопасность · Наука · Доказательство человечности · arxiv.org ↗
- 32 исследователя из OpenAI, Microsoft, MIT, Гарварда, Оксфорда и других организаций предлагают «удостоверения человечности»: капча бессильна против сложного ИИ, а строгая проверка личности недостаточно приватнаПриватность и слежка · Кибербезопасность · Наука · Доказательство человечности · arxiv.org ↗
- Permira покупает контрольный пакет BioCatch при оценке компании в $1,3 млрд; её поведенческой биометрией пользуются больше 190 банковФинансы и деньги · Кибербезопасность · Бизнес и рынки · Поведенческая биометрия · permira.com ↗
- Агент на GPT-4 сам эксплуатирует 87% из 15 уже раскрытых уязвимостей, если дать ему описание CVE, и 7% — без описания (Фан и др.)Кибербезопасность · Наука · ИИ-поиск уязвимостей · arxiv.org ↗
- Андрес Фройнд обнаруживает бэкдор в репозитории и архивах библиотеки xz/liblzma, позволяющий взломать ssh-сервер (CVE-2024-3094)Разработка ПО · Кибербезопасность · Открытый код · openwall.com ↗
- Автор cURL Даниэль Стенберг описывает первые отчёты об уязвимостях с «типичными ИИ-галлюцинациями»; из 415 отчётов программы подтверждены 64, а 66% — ни уязвимость, ни ошибкаРазработка ПО · Кибербезопасность · Кризис мейнтейнеров · daniel.haxx.se ↗
- Cloudflare объявляет, что больше никогда никому ни по какой причине не покажет визуальную головоломку: капчи «заметно легче решать ботам, чем людям»Кибербезопасность · Интернет и инфраструктура · Смерть капчи · blog.cloudflare.com ↗
- Исследование Калифорнийского университета в Ирвайне: 1400 человек решили 14 тыс. капч на живых сайтах; по сравнению с опубликованными результатами ботов, боты обгоняют людей и по скорости, и по точности на всех типах капчКибербезопасность · Наука · Смерть капчи · arxiv.org ↗
- Покупатели из Китая покупают за $20–30 World ID людей, отсканированных в Камбодже и Африке; Worldcoin признаёт, что сговор продавца и покупателя предотвратить нельзяКибербезопасность · Приватность и слежка · Доказательство человечности · theblock.co ↗
- Вредоносные программы крадут пароли операторов Orb; у панели операторов не было двухфакторной защиты, Worldcoin сбрасывает все паролиКибербезопасность · Приватность и слежка · Доказательство человечности · techcrunch.com ↗
- OpenAI в описании безопасности GPT-4 рассказывает, как модель при проверке ARC попросила исполнителя на TaskRabbit решить капчу и на вопрос, не робот ли она, сослалась на нарушение зренияКибербезопасность · Разработка ПО · Смерть капчи · cdn.openai.com ↗
- Cloudflare выпускает Turnstile — бесплатную замену капчи без головоломок; собственный показ капч компания к этому времени сократила на 91%Кибербезопасность · Приватность и слежка · Интернет и инфраструктура · Смерть капчи · blog.cloudflare.com ↗
- Феликс Краузе показывает, что встроенный браузер TikTok для iOS внедряет в чужие сайты код, подписанный на каждое нажатие клавиши; TikTok отвечает, что код нужен только для отладкиПриватность и слежка · Кибербезопасность · Поведенческая биометрия · krausefx.com ↗
- Cloudflare переходит с reCAPTCHA на hCaptcha: Google собирается брать плату за reCAPTCHA, а её бизнес, как пишет Cloudflare, — «таргетировать пользователей рекламой»Кибербезопасность · Приватность и слежка · Бизнес и рынки · Смерть капчи · blog.cloudflare.com ↗
- F5 объявляет о покупке Shape Security, защищающей сайты от ботов полиморфным кодом, примерно за $1 млрдКибербезопасность · Бизнес и рынки · Жидкий код · sec.gov ↗
- Google выпускает reCAPTCHA v3: вместо картинок — незаметная оценка от 0 до 1 по тому, как человек ведёт себя на сайтеКибербезопасность · Приватность и слежка · Интернет и инфраструктура · Поведенческая биометрия · security.googleblog.com ↗
- Группа Брайана Форда (EPFL) вводит термин proof-of-personhood — механизм, который привязывает физических лиц к виртуальным личностям, сохраняя анонимностьПриватность и слежка · Кибербезопасность · Финансы и деньги · Доказательство человечности · bford.info ↗
- Mastercard покупает NuData Security — компанию «пассивной биометрии и анализа поведения»Финансы и деньги · Кибербезопасность · Бизнес и рынки · Поведенческая биометрия · investor.mastercard.com ↗
- Google запускает OSS-Fuzz — непрерывный фаззинг открытых проектов; к маю 2025 года он помог найти и исправить больше 13 тыс. уязвимостей и 50 тыс. других ошибок в 1000 проектовКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · github.com ↗
- Финал DARPA Cyber Grand Challenge: автоматические системы без участия людей ищут, исправляют и эксплуатируют уязвимости; побеждает Mayhem компании ForAllSecureКибербезопасность · Разработка ПО · ИИ-поиск уязвимостей · darpa.mil ↗
- Система Shuffler (Колумбийский университет) перемешивает код работающей программы каждые 50 мс ценой замедления на 14,9%Кибербезопасность · Наука · Жидкий код · cs.columbia.edu ↗
- Google сообщает, что ИИ решает самый трудный вариант искажённого текста с точностью 99,8%, поэтому такой текст «больше не надёжный тест», и переводит reCAPTCHA на галочку «Я не робот» с анализом поведенияКибербезопасность · Интернет и инфраструктура · Смерть капчи · security.googleblog.com ↗
- В Скоттсдейле проходит первый научный семинар ACM по защите подвижной целью (MTD 2014)Кибербезопасность · Наука · Жидкий код · csis.gmu.edu ↗
- В Linux 3.14 появляется перемешивание адресов самого ядра (KASLR)Кибербезопасность · Разработка ПО · Жидкий код · kernelnewbies.org ↗
- Исследователи MIT Lincoln Laboratory пишут, что ни один способ перемешивания памяти не выдерживает утечки произвольного участка памяти, а 16 бит случайности у автоматически перезапускаемого сервера подбираются за минутыКибербезопасность · Наука · Жидкий код · ll.mit.edu ↗
- Shape Security выходит из тени с ShapeShifter — устройством, которое при каждом показе переписывает код веб-страницы, выдавая «нескончаемый поток случайных вариантов» против ботовКибербезопасность · Интернет и инфраструктура · Жидкий код · siliconangle.com ↗
- Нейросеть Google для номеров домов из Street View решает самую трудную категорию reCAPTCHA с точностью 99,8%Кибербезопасность · Наука · Смерть капчи · arxiv.org ↗
- Touchalytics: по тому, как листают экран телефона, человека узнают почти без ошибок внутри сессии и с ошибкой до 4% через неделю; авторы считают это дополнением, а не заменой пароляКибербезопасность · Наука · Поведенческая биометрия · arxiv.org ↗
- Чу и соавторы: по движениям мыши и нажатиям клавиш распознано 97,9% ботов в блоге при 0,2% ложных тревогКибербезопасность · Наука · Поведенческая биометрия · eecis.udel.edu ↗
- Федеральный план исследований кибербезопасности США называет «подвижную цель» одной из четырёх тем, «меняющих игру»: системы должны стать «менее детерминированными, менее однородными и менее статичными», чтобы «существенно повысить стоимость атак»Кибербезопасность · Законы и регулирование · Наука · Жидкий код · nitrd.gov ↗
- Чжэн, Палоски и Ван: по движениям мыши пользователя узнают с ошибкой 1,3% после 20 кликов, но на реальном форуме на 20 кликов уходило до 38 минутКибербезопасность · Наука · Поведенческая биометрия · eecis.udel.edu ↗
- Выходит сборник «Moving Target Defense» под редакцией Сушила Джаджодиа и соавторов (Springer)Кибербезопасность · Наука · Жидкий код · doi.org ↗
- Мотояма и соавторы (Калифорнийский университет в Сан-Диего): решение капч людьми продаётся от $1 за тысячу, работникам в Бангладеш, Китае, Индии и Вьетнаме платят $0,5–0,75 за тысячуРабота и профессии · Кибербезопасность · Бизнес и рынки · Смерть капчи · usenix.org ↗
- Бурштейн и соавторы (Стэнфорд) дают людям решить больше 318 тыс. капч 21 вида: трое людей отвечают одинаково только в 71% картиночных капч и в 31% звуковыхКибербезопасность · Наука · Смерть капчи · web.stanford.edu ↗
- Google покупает reCAPTCHA, которая защищает больше 100 тыс. сайтов от спама и мошенничестваБизнес и рынки · Кибербезопасность · Смерть капчи · googleblog.blogspot.com ↗
- Киллоурхи и Максион (CMU): 51 человек 400 раз набирает один пароль; лучший из 14 алгоритмов узнаёт человека по ритму набора с ошибкой около 10%Кибербезопасность · Наука · Поведенческая биометрия · cs.cmu.edu ↗
- Ахмед Авад Э. Ахмед и Исса Траоре предлагают узнавать пользователя по движениям мышиКибербезопасность · Наука · Поведенческая биометрия · doi.org ↗
- Microsoft объявляет, что в Windows Vista по умолчанию включено перемешивание адресного пространства (ASLR): библиотека загружается в одно из 256 мест, и атакующий угадывает адрес с вероятностью 1/256Кибербезопасность · Разработка ПО · Жидкий код · learn.microsoft.com ↗
- Шахам и соавторы показывают, что перемешивание памяти на 32-битной системе обходится перебором: веб-сервер Apache под защитой PaX взламывается в среднем за 216 секундКибербезопасность · Наука · Жидкий код · hovav.net ↗
- Джон Дусёр (Microsoft Research) описывает «атаку Сивиллы»: без центрального органа, удостоверяющего личности, один участник может выдать себя за многихКибербезопасность · Наука · Доказательство человечности · microsoft.com ↗
- Net Nanny выпускает BioPassword — вход в Windows NT, который проверяет не только пароль, но и то, как человек его набираетКибербезопасность · Разработка ПО · Поведенческая биометрия · rcpmag.com ↗
- Луис фон Ан, Мануэль Блум, Николас Хоппер и Джон Лэнгфорд из Университета Карнеги — Меллон придумывают капчу — «полностью автоматический публичный тест Тьюринга, позволяющий отличить компьютеры от людей»Кибербезопасность · Интернет и инфраструктура · Доказательство человечности · captcha.net ↗
- Сотрудники AltaVista подают заявку на патент проверки «человек или программа»: чтобы добавить сайт в поисковик, нужно прочитать случайно искажённую строкуКибербезопасность · Интернет и инфраструктура · Смерть капчи · patents.google.com ↗