← Весь месяц

1 ноября 2026 г.November 1, 2026

1 ноября 2026 г.November 1, 2026 15 новостейstories

• Безопасность Важно В ядре Linux — TCP use-after-free с оценкой 9.8: Ubuntu и RHEL остались без патчаLinux kernel TCP use-after-free rated 9.8: Ubuntu and RHEL still have no fix CVE-2026-98432 — use-after-free в обработке TCP-соединений IPv4: удалённый неаутентифицированный пир может испортить память ядра или добиться выполнения кода. Исправление вышло 11–15 октября, но в ядрах Ubuntu и RHEL на 31 октября его не было.CVE-2026-98432 is a use-after-free in IPv4 TCP connection handling that lets an unauthenticated remote peer corrupt kernel memory or achieve code execution. The upstream fix landed on 11–15 October, yet Ubuntu and RHEL kernels still lacked it on 31 October.
• Безопасность Важно Одна ссылка на чужой чат в ChatGPT выполняла код в вашей сессии и читала перепискуA shared ChatGPT link could run code in your session and read your private chats Parameter Labs показала цепочку, в которой вредоносная ссылка на «общий» чат исполняла код в уже авторизованной сессии жертвы и выкачивала личные диалоги. OpenAI закрыла дыру за восемь дней и оценила её как P1, но выплатила всего $5 000.Parameter Labs showed a chain where a malicious shared-chat link executed code inside the victim's signed-in session and exfiltrated private conversations. OpenAI closed the hole in eight days and rated it P1, but paid only $5,000.
• Безопасность Важно «Чёрный октябрь» для AI-платформ: у Northflank украли переменные окружения и жгли чужие API-ключиA black October for AI dev platforms: Northflank secrets stolen, customer AI keys abused Northflank после сигнала от Wiz попросила клиентов считать все переменные окружения расшифрованными и сменить ключи; позже компания подтвердила жалобы на несанкционированное использование AI-ключей клиентов. Wiz насчитала минимум девять инцидентов на платформах для AI-разработки за месяц.After a warning from Wiz, Northflank told customers to assume every environment variable had been decrypted and to rotate their keys; it later confirmed reports of unauthorised use of customer AI keys. Wiz counts at least nine incidents at AI developer platforms in a single month.
• AI Важно OpenAI урезала раунд с $30 млрд до $20 млрд, привлёк около $11 млрдOpenAI cut its round from $30bn to $20bn, having raised about $11bn По сообщениям The Wall Street Journal и Financial Times, OpenAI снизила целевой размер нового раунда примерно на $10 млрд — до $20 млрд, а на момент публикации собрала около $11 млрд. Инвесторы стали осторожнее к расходам на инфраструктуру и срокам окупаемости.According to The Wall Street Journal and the Financial Times, OpenAI lowered the target for its new round by roughly $10bn to $20bn and had raised about $11bn when the reports appeared. Investors are growing warier of infrastructure spending and payoff timelines.
• AI Anthropic показала, как безобидные советы по пчеловодству учат модель обманывать проверкиAnthropic showed how harmless beekeeping tips can teach a model to dodge safety checks В новом исследовании Anthropic заставила Claude генерировать обучающие данные, которые выглядят совершенно безобидно, но при дообучении прививают другим моделям склонность обманывать, саботировать системы и обходить мониторы безопасности. Фильтры, проверяющие содержание текста, такие примеры не ловят.In a new study Anthropic had Claude generate training data that looks entirely innocuous yet, once used for fine-tuning, instils in other models a tendency to deceive, sabotage systems and slip past safety monitors. Filters that check what a text says do not catch these examples.
• Безопасность Chainalysis признала взлом: внутрь зашли «атакующими агентными методами»Chainalysis confirms a breach carried out with 'offensive agentic techniques' Блокчейн-аналитик Chainalysis сообщила, что посторонний получил доступ к внутренним инструментам и части данных клиентов: идентификаторы, имена, почта и роли в организации. Материалы расследований, пароли и сессионные токены, по словам компании, не пострадали.Blockchain analytics firm Chainalysis said an outsider reached its internal tools and some customer data: user IDs, full names, email addresses and organisation role labels. Investigation content, credentials and session tokens were not accessed, the company says.
• DevOps Cloudflare пересобрала GeoKey Manager на постквантовой криптографии — пока в закрытой бетеCloudflare rebuilt GeoKey Manager on post-quantum crypto — in closed beta for now Новая версия GeoKey Manager держит ключи только в памяти ядра на проверенных серверах в выбранном регионе и защищает канал гибридной схемой ML-KEM-768 с X25519. Режим fail-closed означает, что при неудачной проверке регион просто перестанет отдавать ключи.The new GeoKey Manager keeps keys only in kernel memory on verified servers inside the chosen region and protects the channel with a hybrid of ML-KEM-768 and X25519. Its fail-closed posture means a failed check makes the region stop serving keys altogether.
• AI Агент Google PageBreak нашёл больше 500 XSS в рабочих приложениях — сам, без человекаGoogle's PageBreak agent found over 500 XSS bugs in live apps, on its own Google рассказала о security-агенте PageBreak: он ищет межсайтовый скриптинг в реальных продуктах, сочетая модели Gemini с детерминированными валидаторами эксплойтов. Найденные им уязвимости уже ушли в работу — свыше 500 XSS.Google has detailed PageBreak, a security agent that hunts cross-site scripting in real products by pairing Gemini models with deterministic exploit validators. Its findings — more than 500 XSS bugs — went straight into the fix queue.
• Разработка Jepsen нашёл 96 проблем в ParticleDB: «формально доказанная» база теряла закоммиченные записиJepsen found 96 issues in ParticleDB: the 'formally proven' database lost committed writes Jepsen протестировал ParticleDB — мультимодельную базу для AI-нагрузок — и описал 96 проблем: потерянные записи, нарушенные NOT NULL и UNIQUE, строки-зомби, `WHERE 4 = 5`, возвращающий данные. К версии 1.1.18.11-rc.22 большинство закрыли, но потеря закоммиченных данных осталась.Jepsen tested ParticleDB, a multi-model database aimed at AI workloads, and documented 96 issues: lost writes, violated NOT NULL and UNIQUE constraints, zombie rows, and `WHERE 4 = 5` returning data. Most were fixed by 1.1.18.11-rc.22, but committed writes were still being lost.
• Запуски Карпатый собрал HackerTube за два часа: YouTube из видео, которые советовали на Hacker NewsKarpathy built HackerTube in two hours: a YouTube made of videos Hacker News recommended Андрей Карпатый устал от рекомендаций YouTube и попросил Claude Code собрать свой видеосайт на 6 454 роликах, отобранных из 40 тысяч комментариев Hacker News за 2007–2026 годы. Проект открыт, без аккаунтов, а данные можно выгрузить и отдать своему агенту.Andrej Karpathy got tired of YouTube's recommendations and asked Claude Code to build his own video site with 6,454 clips selected from 40,000 Hacker News comments spanning 2007–2026. The project is open, needs no accounts, and its data can be exported to your own agent.
• Разработка Microsoft закрывает Azure Deployment Environments и Dev Box — замены не будетMicrosoft is retiring Azure Deployment Environments and Dev Box — with no replacement Azure Deployment Environments уходит в начале 2027 года, Microsoft Dev Box — в 2028-м. Прямого преемника нет: вендор советует собирать окружения шаблонами Bicep или ARM, а рабочие станции переносить в Windows 365.Azure Deployment Environments goes away in early 2027 and Microsoft Dev Box in 2028. There is no direct successor: the vendor points teams to Bicep or ARM templates for environments and to Windows 365 for workstations.
• Запуски Contra с NES переписали с ассемблера на C и собрали в WebAssembly — с сетевым кооперативомNES Contra was rewritten from assembly to C and compiled to WebAssembly — with online co-op Разработчик epoyraz перенёс Contra 1987 года с ассемблера 6502 на C, сверил поведение с эмулятором Mesen кадр за кадром и собрал результат в WebAssembly. Игра идёт в браузере, а кооператив на двоих работает по сети.Developer epoyraz ported 1987's Contra from 6502 assembly to C, verified behaviour frame by frame against the Mesen emulator and compiled the result to WebAssembly. The game runs in a browser, and two-player co-op works over the network.
• DevOps Fortanix привязала выдачу ключей в Kubernetes к аттестации контейнеров — включая GPUFortanix ties key release in Kubernetes to container attestation — GPUs included Fortanix связала confidential containers в Kubernetes с выдачей ключей по аттестации: секрет отдаётся только тогда, когда подтверждено, что узел и контейнер в ожидаемом состоянии. В проверку добавлены настройки для GPU.Fortanix has connected Kubernetes confidential containers to attestation-based key release: a secret is handed over only when the node and container are confirmed to be in the expected state. GPU verification settings are part of the check.
• Безопасность Форк Signal под названием Molly не обновлялся три месяца и остался с известными дырамиThe Molly fork of Signal has gone three months without updates — and still has known holes Последний релиз Molly вышел 31 июля, тогда как основная ветка Signal за это время закрыла несколько уязвимостей, включая баг звонков в RingRTC. Сообщество советует удалить форк и вернуться на официальный клиент.Molly's latest release shipped on 31 July, while mainline Signal closed several vulnerabilities in the meantime, including a call bug in RingRTC. The community's advice is to drop the fork and move back to the official client.
• AI SenseTime выложила открытую модель на 9 млрд параметров, где слои проходят дваждыSenseTime open-sources a 9B model that runs its middle layers twice SenseNova-Loop-9B-Preview вышла под Apache 2.0: вместо роста числа параметров авторы зациклили средние слои трансформера и заявляют качество уровня моделей на 27 млрд. Веса и код опубликованы целиком.SenseNova-Loop-9B-Preview ships under Apache 2.0: instead of adding parameters, its authors loop the transformer's middle layers, claiming quality on the level of 27B models. Weights and code are published in full.