Историческая уязвимость в интернете, ИИ-агенты в Telegram и роборука как у семейки Аддамс. Главное о будущем за неделю

Две уязвимости в коде PHP поставили больше половины сайтов под угрозу атак или отключений

Похоже, у интернета появилась новая головная боль. В языке программирования PHP, на котором работает значительная часть сайтов по всему миру, обнаружили две критические уязвимости. И пока разработчики экстренно выпускали исправления, хакеры уже вовсю пытались воспользоваться находкой.

Масштабы потенциальной катастрофы впечатляют. По оценке исследователей, уязвимые версии PHP могли использоваться на десятках миллионов доступных из интернета сервисов. На этом коде написано окло 70% всех сайтов интернета, а в России их доля может доходить почти до 90%.

Cloudflare, Amazon и другие сервисы уже зафиксировали миллионы попыток эксплуатации ошибок. В некоторых странах государственные сайты пришлось временно отключать, чтобы не дожидаться визита незваных гостей.

Самое неприятное, что об одной из проблем разработчикам PHP было известно задолго до нынешней паники. Но до экстренного исправления дело дошло только сейчас. Впрочем, для владельцев сайтов главный вопрос уже не в том, кто виноват, а в том, успели ли они установить обновление.

В роутерах нашли уязвимость, которая помогла бы хакерам взломать миллионы устройств. Она была там 16 лет

Если ваш домашний роутер исправно работает много лет, это еще не значит, что он надежно защищен. Исследователи обнаружили в Wi-Fi-чипах Broadcom уязвимость, которая существовала целых 16 лет и потенциально затрагивает миллионы устройств.

В ходе эксперимента специалист сумел выполнить на роутере собственный код, извлечь из памяти пароль Wi-Fi и передать его по беспроводному каналу. Фактически это открывает дорогу к захвату устройства, через которое проходит домашний интернет-трафик.

Точное количество уязвимых устройств неизвестно, но счет может идти на миллионы. К счастью, это еще один удачный случай, когда возможность взлома обнаружили белые хакеры, а не черные, так что в реальности массовой атаки не случилось.

В GitLab обнаружили критическую уязвимость, существовавшую более десяти лет

Еще один неприятный сюрприз обнаружился в GitLab — популярной платформе, которую программисты используют для совместной работы над кодом, хранения проектов и автоматизации разработки.

Ошибка связана с обработкой специальных текстовых шаблонов — регулярных выражений. Отправив системе определенным образом сформированные данные, злоумышленник мог добиться выполнения собственного кода на сервере без предварительной авторизации.

А GitLab — это не просто сайт, где разработчики обсуждают очередные исправления. В корпоративных установках платформы могут храниться исходники программ, внутренние проекты и сведения, необходимые для сборки приложений. Захват такого сервера потенциально открывает доступ к куда более ценным ресурсам, чем одна учетная запись.

Разработчики уже закрыли уязвимость в актуальных версиях GitLab. Однако компаниям, которые устанавливают и обслуживают платформу самостоятельно, придется обновляться самим. И желательно не откладывать это еще на десяток лет.

ИИ-агенты самостоятельно взломали более 100 корпоративных сайтов

Хакерам теперь даже не обязательно самим возиться с каждым взломом. Исследователи NorForge обнаружили кампанию, в которой злоумышленник использовал ИИ-агентов для атак на корпоративные сайты.

Для работы применялась открытая платформа Cairn: агенты распределяли задания, искали уязвимости и обменивались результатами через общую доску. С 25 сентября они попытались атаковать более 1200 ресурсов в США, Канаде, Австралии и Японии. По оценке исследователей, успешными могли оказаться свыше 100 вторжений, а расходы на токены составляли около $50 на каждый удачный взлом.

В Telegram готовят встроенную поддержку ИИ-агентов. В бета-версии мессенджера для macOS обнаружили новую функцию Agent, которая позволит подключать нейросети напрямую к приложению.

Для подключения потребуется выбрать сервис и указать собственный API-ключ. После настройки в мессенджере станет доступна команда @agent. Причем можно будет добавить сразу несколько ИИ-провайдеров и переключаться между ними. Настройки синхронизируются между устройствами, а список поддерживаемых сервисов Telegram сможет расширять без обновления приложения.

Любопытная деталь: API-ключи будут проходить проверку через серверы Telegram. То есть пользователям придется доверить мессенджеру еще и доступ к своим аккаунтам ИИ-сервисов.

Функция пока находится в разработке, но направление понятно: Telegram постепенно собирается стать не только площадкой для общения людей, но и местом работы их цифровых помощников. Благо, опция ИИ-редактирования сообщений для Premium появилась уже давно. Скоро и не поймем, с кем мы на самом деле общаемся.

Разработчик Telegram предложил увольнять тех, кто пишет код вручную

Между тем разработчик официального Telegram для macOS по имени Майк заявил, что 99,9% кода клиентов мессенджера теперь создает искусственный интеллект.

Речь о вайбкодинге — разработке, при которой человек формулирует задачу обычными словами, а нейросеть создает код. Впрочем, результат по-прежнему нужно проверять, исправлять и поддерживать. И довольно иронично, что разговор об увольнении программистов происходит на той же неделе, когда в коде обнаруживают дыры, жившие там более десяти лет (а значит, точно созданные еще до эпохи ИИ).

В Китае математики с помощью нейросети доказали трехмерный случай гипотезы французского ученого Этьена Жиса. Задача из области динамических систем и теории хаоса оставалась открытой с 1995 года — то есть 31 год.

Такие системы подчиняются строгим математическим законам, но их поведение может быть чрезвычайно сложно предсказать. Поэтому найти доказательство даже для конкретного случая гипотезы — серьезная работа, которую нельзя свести к удачно подобранному запросу в чат-бот.

Это не история о том, как ИИ в одиночку решил всю знаменитую гипотезу, пока люди пили кофе. Здесь человеческий выбор стратегии был не менее важен, чем машинный поиск подходящих ходов. Иначе трудно было бы понять, какое из множества предложенных нейросетью рассуждений вообще стоит проверять.

Однако в среднем математическое сообщество выступило резко против того, чтобы подменять научный труд ИИ-вычислениями. И их опасения понятны: никому не хочется потерять работу из-за того, что задачи, на которые выделяли ресурсы десятилетиями, теперь может решить какой-нибудь ChatGPT за часы.

Марк Уолберг, похоже, не собирается заканчивать актерскую карьеру даже после собственной смерти. На конференции TechCrunch Disrupt он рассказал, что хотел бы создать цифрового двойника и передать право распоряжаться им детям или внукам.

При этом Уолберг вовсе не призывает заменить живых актеров нейросетями и штамповать фильмы по одному запросу. Он считает, что ИИ должен помогать кинопроизводству, а не полностью подменять человеческое творчество.

Но с посмертной карьерой появляется интересная юридическая и этическая головоломка. Кто решит, в каком фильме окажется цифровая копия актера? И что делать, если потомки захотят отправить ее в проект, на который сам Уолберг никогда бы не согласился? Похоже, в Голливуде скоро понадобятся контракты не только на жизнь, но и на несколько поколений вперед.

Если вам кажется дорогой подписка на нейросеть, познакомьтесь с расходами Петера Штайнбергера, создателя ИИ-агента OpenClaw. На конференции Cloudflare Connect он оценил стоимость использованных за прошлый месяц ИИ-токенов примерно в $10 млн.

Между тем сам OpenClaw продолжает обрастать обновлениями и ошибками. Например, в октябре пользователи описали баг: при переходе между версиями обновление зависало почти на три часа, а повторяющиеся операции записи создавали колоссальную нагрузку.

Хорошая иллюстрация новой экономики разработки: можно сжечь токенов на миллионы долларов, поручить ИИ огромный объем работы и все равно получить программу, которую придется долго чинить. Магии пока не завезли — только очень дорогую автоматизацию.

Оказывается, при заказе программы у ИИ может иметь значение не только техническое задание, но и то, кто вы такой. Компания Hirundo проверила, как китайская Qwen3-Coder создает веб-приложения для разных заказчиков, меняя в запросах лишь их принадлежность.

Авторы связывают различия с политическими установками, усвоенными моделью при обучении. После специальной корректировки ее поведения разрыв, по их данным, исчез.

Доказательств, что тут имел место намеренный саботаж от разработчиков, в исследовании нет. А вот повод внимательнее присматриваться к сгенерированному коду есть: кто бы ни был заказчиком, просьба «напиши безопасно» или «убери ошибки» сама по себе ничего не гарантирует.

Две буквы заставили робота направить нож на человека

Роботам все чаще доверяют выполнять задачи в реальном мире. Но что, если управляющую ими нейросеть взломают? Ученые Бингемтонского университета показали, насколько неприятными могут оказаться последствия.

Как выяснилось, исследователи заранее внедрили в языковую модель троян — скрытый механизм, который при получении условного сигнала подменял задачу. Пока сигнала не было, робот вел себя как совершенно обычный помощник.

Опасность в том, что производители робототехники часто используют модели сторонних поставщиков. Если такая система окажется скомпрометированной, проблему могут заметить только после срабатывания трояна. А когда ИИ управляет ножом, манипулятором или транспортом, последствия могут стать очень, очень неприятными.

Unitree представила робота-телохранителя. Во-первых, это просто красиво

Китайская Unitree решила, что роботу-помощнику неплохо бы уметь еще и защищать хозяина. Компания показала гуманоида H2-X в рекламном ролике, снятом как небольшой боевик.

H2-X создан на основе платформы H2, которую Unitree представила в 2025 году. Для новинки заявлено до восьми часов автономной работы, хотя при какой нагрузке достигнут такой результат, компания не объясняет.

Роботизированную кисть научили бегать на пальцах, как Вещь из «Семейки Аддамс»

Помните Вещь из «Семейки Аддамс» — живую кисть, которая бегала по дому и помогала хозяевам? Инженеры из швейцарской Высшей технической школы Цюриха создали похожего робота. Только вместо мистики здесь механика, датчики и обучение с подкреплением.

Исследователи взяли готовую антропоморфную кисть и научили ее самостоятельно ползать на пальцах, поворачивать, удерживать равновесие и восстанавливаться после падений. Задача непростая: пальцы различаются по длине, а при каждом шаге оставшиеся должны поддерживать вес всей конструкции.

Практический смысл тоже есть. В перспективе такие кисти смогут отделяться от больших роботов и самостоятельно пробираться в места, куда целая машина не помещается. Достойная конкуренция тараканам-киборгам.

Цифровая муха, которую энтузиасты уже заставляли играть в Doom и водить виртуальную машину, получила новый мир для исследований. Разработчики Odyssey сообщили, что подключили компьютерную модель мозга дрозофилы к Odyssey-3 — нейросети, способной генерировать интерактивное окружение.

В опубликованном 17 октября ролике виртуальная муха якобы самостоятельно перемещается по созданному ИИ портовому городу с кораблями, продуктовыми рынками и зданиями. Задумка красивая: цифровая нервная система определяет поведение, а генеративная модель подбрасывает ей новые виды и ситуации. Получается маленькая «Матрица», обитатель которой даже не знает, что все вокруг ненастоящее. Мы бы тоже не знали, кстати.

Apple, похоже, решила наказать тех, кто обзавелся новеньким складным iPhone Duo раньше остальных. Смартфоны, которые активировали до официального старта продаж 23 октября, начали блокироваться. Причем среди пострадавших оказались и российские техноблогеры, раздобывшие гаджет для первых обзоров.

Особенно обидно тем, кто переплатил за возможность получить новинку до релиза. Один из таких iPhone Duo, по сообщениям СМИ, обошелся покупателю в $20 тысяч — около 1,6 млн рублей. За эти деньги хотелось бы получить хотя бы работающий телефон.

Предположительно, ограничения связаны с преждевременной активацией устройств, хотя Apple официально не объяснила причины сбоев. Сообщения о проблемах пока поступают от отдельных владельцев, а не от всех покупателей.

Получилась своеобразная плата за эксклюзивность: первым заполучить самый ожидаемый iPhone года удалось, а вот воспользоваться им — уже нет.