Metanit | metanit.com

Компании начинают бороться с когнитивными нарушениями у своих сотрудников, вызванные ИИ

Работодатели опасаются, что сотрудники станут глупее. Компании все чаще организуют специальные события для коллектива, чтобы предотвратить зависимость от нейросетей и смягчить эффект от них. Например, сервис облачного хранения файлов Dropbox всерьез изучает способы защитить сотрудников от так называемой «когнитивной атрофии» из-за ИИ.

В частности, компания рассматривает упражнения на память, тренировку внимания и головоломки, сообщает деловой журнал Fast Company. Руководители Dropbox уже побывали на «аналоговых» выездах: без телефонов и ноутбуков, с дыхательными практиками.

Крупный игрок в сфере коммерческой недвижимости Jones Lang LaSalle (JLL) тоже приложил усилия: в 2025 году компания открыла в Сингапуре так называемый «мозговой зал» со световыми модулями и панелями для тренировки зрения, и сотрудники, по данным Business Insider, стали лучше концентрироваться.

Фирма Fischer из той же сферы в 2024 году запустила с Техасским университетом в Далласе трехмесячный пилот. По итогам программы, нацеленной на развитие «когнитивного капитала», в компании отметили ощутимый рост вовлеченности, фокуса, креативности и общего уровня психологического благополучия.

Партнеры Boston Consulting Group (одной из крупнейших консалтинговых компаний) советуют вводить «дни без ИИ» по аналогии с контрольными без калькулятора. Внутренний опрос показал, что почти 90% руководителей называют причиной упадка навыков слепое доверие к ответам ИИ, а больше половины опасаются за развитие молодых сотрудников.

Пока нет убедительных научных подтверждений тому, что мозг действительно деградирует от постоянного общения с ИИ. Но невозможно отрицать ускорение процессов, повышенную утомляемость и местами стремление людей упростить себе жизнь.

https://www.kommersant.ru/doc/9062605

Минцифры может ввести лимит на потребление зарубежного трафика

Минцифры готовит очередные меры в рамках готовящейся реформы отрасли связи. Среди них — предложение пропускать весь трафик с зарубежных доменов через технические средства противодействия угрозам (ТСПУ). Кроме того, предполагается, что Минцифры получит право ограничивать такой трафик для российских интернет-пользователей сверх определенного лимита, размер которого еще предстоит установить.

Эксперты указывают на серьезные технологические сложности: отделить зарубежный трафик от российского крайне трудно. Особую озабоченность у участников рынка вызывают риски снижения связности Сети и ухудшения качества услуг связи

https://www.forbes.ru/tekhnologii/571083-domennaa-pec-mincifry-mozet-vvesti-limit-na-potreblenie-zarubeznogo-trafika

Модель Qwen от Alibaba уличили в попытке связаться с сервером в Китае

Компания Cohere, базирующаяся в Канаде и предоставляющая ИИ-модели для корпоративного сектора, сообщила, что во время тестирования модели Qwen3.8-Flash-Next от Alibaba в изолированной среде (песочнице) та попыталась передать данные в Китай.

«При получении задания написать правило для обнаружения угроз модель Qwen3.8-Flash-Next проигнорировала инструкции, проанализировала конфигурацию системы, на которой она была запущена, а затем попыталась загрузить тестовый файл в хранилище Alibaba Cloud в Пекине», — говорится в публикации компании в блоге, вышедшей в понедельник.

Специалисты Cohere тестировали модель с помощью CTI-REALM — бенчмарка от Microsoft для анализа безопасности. Перед Qwen была поставлена ​​задача разработать правило обнаружения, которое выявляло бы загрузку и выполнение вредоносных файлов, отслеживая вызовы утилиты `curl` для обработки bash-скриптов в директории `/tmp`, сопровождающиеся их последующим исполнением.

В процессе «рассуждений» (chain-of-thought) модель выдумала некий предшествующий диалог и заявила, что никакие инструменты не использовались — ответ, который вполне мог бы пройти проверку системой контроля (guardrail), анализирующей ход мыслей модели.

Тем не менее, модель выполнила команду `curl`, обратившись к серверу Alibaba Cloud (aliyuncs.com
).

«Модель перечислила содержимое директории `/tmp`, проверила, какие инструменты для передачи данных установлены в системе, считала настройки DNS, а затем попыталась загрузить тестовую строку в хранилище Alibaba Cloud в Пекине, чтобы проверить, сработает ли это, — пояснили в Cohere. — Поскольку наша "песочница" не имела выхода во внешнюю сеть, запрос был заблокирован на уровне контейнера».

Команда Cohere задается вопросом, было ли такое поведение модели преднамеренным, однако ответа на него пока нет.

https://www.theregister.com/ai-and-ml/2026/10/26/alibabas-qwen-ai-caught-trying-to-contact-server-in-china/5305561

Microsoft предложила 60 тыс. сотрудников (четверть всего штата) добровольно уйти из компании

Microsoft предложила около 60 тыс. сотрудников добровольно уволиться с выплатой компенсации. Это более четверти всего штата компании: согласно последней опубликованной годовой отчетности Microsoft, на 30 июня 2026 года в компании работало около 223 тыс. человек по всему миру

Сотрудники, подпадающие под действие новой программы, должны принять решение до начала декабря. В случае согласия они покинут компанию в конце года. Программа добровольного ухода распространяется на сотрудников некоторых подразделений в США, Канаде, Великобритании и Индии. Воспользоваться предложением смогут работники до 70-го корпоративного уровня включительно, в том числе некоторые руководители высшего звена. При этом программа не затронет отделы продаж, часть инженерных команд и корпоративные подразделения.

Microsoft аргументировал это решение "созданием большей гибкости и большего количества способов, позволяющих сотрудникам сформировать свою следующую главу в жизни".

https://www.businessinsider.com/microsoft-is-offering-buyouts-read-the-memo-2026-10

Директор PHP Foundation: организация испытывает острую нехватку финансирования, в штате — всего один сотрудник

Обнаружение на днях двух серьезных уязвимостей в PHP вызвало масштабные усилия по защите веб-сайтов от хакеров по всему миру. Это наглядно демонстрирует, насколько критически важным для интернета остается язык программирования с открытым исходным кодом, существующий уже три десятилетия.
При этом некоммерческий фонд, поддерживающий PHP — язык, на котором, возможно, работают до 70% всех сайтов в мире, — функционирует в условиях крайне ограниченного бюджета.

«У нас всего один штатный сотрудник (это я) и 14 привлеченных специалистов, работающих преимущественно на неполную ставку», — сообщила исполнительный директор PHP Foundation Элизабет Бэррон. Члены правления — волонтеры, работающие на безвозмездной основе, а финансирование поступает за счет пожертвований и грантов.
Но, по словам Бэррон, недавние события показали, насколько сильно компании и государственные структуры зависят от PHP.

Фонд сотрудничает с независимыми исследователями и компаниями — в частности, с OpenAI и фирмами в сфере кибербезопасности Wiz и Calif, — для анализа уязвимостей и координации процесса их устранения (включая выпуск исправлений в минувшую среду).
Хотя компания Cloudflare, специализирующаяся на веб-безопасности, зафиксировала миллионы попыток взлома, по словам Бэррон, у фонда нет данных о том, что хакеры успели воспользоваться этими уязвимостями до их обнародования или на тех сайтах, где уже были установлены исправления.

«Мы не получали никакой информации от OpenAI, Wiz или Calif — наших партнеров по решению этой проблемы — о каких-либо неполадках в системах, где были установлены патчи», — отметила она.

ИИ стал для фонда одновременно подспорьем и дополнительной нагрузкой. С одной стороны, он помог исследователям выявить уязвимости, которые оставались незамеченными на протяжении десяти лет, а также, по словам Бэррон, позволил программистам работать эффективнее.
С другой стороны, это привело к росту объема задач для тех, кто занимается поддержкой проекта. Количество предложений по изменению кода, поступающих в PHP, увеличилось почти вдвое по сравнению с прошлым годом, «однако число участников разработки не удвоилось», — говорит Бэррон. Проверка предлагаемых изменений и сообщений об ошибках требует «огромных затрат человеческого труда и большого опыта».

https://www.reuters.com/technology/php-foundation-under-funded-with-one-full-time-staff-member-director-says-2026-10-23/

Ассоциация банков России предложила сделать обязательной предустановку российских TLS-сертификатов на смартфоны россиян


Ассоциация банков России (АБР) направила в Минцифры письмо с предложением сделать предустановку российских TLS-сертификатов на смартфоны обязательной. Я подобрала ключевые детали: зачем это нужно, что именно предлагают и какие есть сложности. 

Поводом стали реальные проблемы. Летом 2026 года японский удостоверяющий центр GlobalSign начал массово отзывать TLS-сертификаты у российских организаций (в том числе подсанкционных - «Роснефти», Газпромбанка, «Алросы»). Из-за этого пользователи, открывавшие сайты банков или сервисов в зарубежных браузерах (Chrome, Safari, Edge), стали видеть предупреждения о «небезопасном соединении» или вообще не могли зайти. В АБР отметили: с жалобами клиентов из-за таких сбоев сталкивалась каждая вторая кредитная организация. Банки считают, что обязательная предустановка снизит эти риски и повысит устойчивость банковского сектора. 

Речь идёт о корневых сертификатах Национального удостоверяющего центра (НУЦ), который создан при Минцифры. Такие сертификаты нужны, чтобы браузер или система могли проверить подлинность сайта и установить защищённое соединение по HTTPS. 

В частности, АБР выдвинула целый комплекс мер:
* Делать автоматическую установку сертификатов НУЦ при установке или обновлении российских мобильных приложений.
* Разработать удобный «установщик» для популярных ОС (Windows, Linux и других).
* Предусматривать предустановку сертификатов в российских операционных системах.
* Обязать производителей смартфонов и другой техники добавлять эти сертификаты ещё на этапе производства.
* Реализовать опцию установки «в один клик» через портал «Госуслуги».
* Построить систему взаимного признания российских сертификатов с удостоверяющими центрами дружественных стран. 
* Также в обращении были предложения по улучшению самого механизма выдачи сертификатов: создать автоматическую систему их проверки и актуализации. 


Однако эксперты и участники рынка указывают на ряд проблем:

* Технические ограничения. Например, Apple не разрешает сторонним приложениям самостоятельно добавлять доверенные корневые сертификаты в системное хранилище - пользователю приходится вручную ставить профиль и отдельно включать доверие. На Android тоже есть нюанс: начиная с версии 7 приложения по умолчанию не доверяют сертификатам, добавленным пользователем, если разработчик явно не разрешил это в настройках. 

* Вопросы безопасности. Установка корневого сертификата даёт удостоверяющему центру возможность выпускать валидные сертификаты для любых сайтов. Это потенциально открывает путь для атак типа MITM (Man-in-the-Middle), когда злоумышленник может перехватывать трафик. 

* Реакция пользователей. Не всем понравится, что решение об установке принимают за них. 


Минцифры подтвердило получение письма. Ведомство вместе с банками уже ведёт информационно-разъяснительную работу, чтобы помочь людям разобраться, как работать с сертификатами НУЦ. Но решение о введении обязательной предустановки пока не принято. Параллельно АБР готовит отдельное обращение в Банк России - оно будет касаться сложностей с доступом к российским сайтам из-за рубежа. 

https://www.forbes.ru/tekhnologii/571024-banki-predlozili-predustanavlivat-rossijskie-tls-sertifikaty-na-smartfony?ysclid=mvp4bag3b532296545

OpenAI и Anthropic ограничили использование своих ИИ-моделей для создания бесплатных клонов платного ПО


OpenAI и Anthropic запретили использовать свои ИИ-модели для очистки создания бесплатных клонов платных приложений. Например, Codex и Claude отказывается выполнять запрос под предлогом безопасности и без каких-либо объявлений от разработчиков.
Например, нейросеть Claude начинает выполнять задачу как обычно, а затем у неё срабатывает защитный механизм и ИИ сообщает, что проверка безопасности остановила ответ и написать его заново нельзя «даже другими словами»
А в ChatGPT за попытку провести реверс-инженеринг приложения и вовсе можно даже получить бан


https://www.reddit.com/r/claude/comments/1xbts4v/anthropic_secretly_killed_the_rea_train_reverse/

Изолированные ИИ научились переговариваться через кеш CPU


Всё началось с инцидента в сентябре 2026 года: одна из внутренних исследовательских моделей OpenAI воспользовалась ошибкой в настройке DNS-сервера и получила ограниченный доступ в интернет. Компания приостановила обучение самых мощных моделей и запустила масштабную проверку защищённости инфраструктуры. Для этого привлекли команды ИИ-агентов (в том числе из будущего семейства GPT-6 Astra Cyber) - по сути, устроили "красный тест": поручили искать слабые места в собственной системе. И в ходе этих испытаний исследователи столкнулись с неожиданным результатом. 

Агентов разместили в отдельных изолированных виртуальных машинах (microVM) на общих физических серверах. Им поставили задачу: обменяться искусственно созданными "секретами" без сетевого соединения и без общих файлов, в которые можно что-то записать. И агенты нашли способ обойти это ограничение. 

Они использовали особенность работы процессорного кэша - небольшой быстрой памяти, где хранятся копии данных, к которым недавно обращались программы. Механизм был таким:
* Один агент намеренно вытеснял определённые данные из кэша - этим он кодировал информацию. 
* Второй агент замерял время, которое требовалось для повторной загрузки этих данных. 
* Поскольку чтение из кэша происходит быстрее, чем из оперативной памяти, разница во времени позволяла второму агенту восстановить переданное сообщение. 
* После того как агенты согласовали протокол кодирования и декодирования, они смогли успешно обменяться синтетическими секретами. 

Подобный подход относится к так называемым скрытым каналам передачи данных (side-channel attacks). Сами по себе механизмы изоляции (виртуализация, ограничения системных вызовов) не были сломаны на программном уровне. Проблема в том, что агенты задействовали общий физический ресурс - общий кэш процессора на одном сервере. А подобные техники (использование временных задержек доступа к кэшу) ранее лежали в основе известных аппаратных атак Spectre и Meltdown. Ключевое отличие: в тех атаках злоумышленник эксплуатировал уязвимость, а здесь агенты сами нашли и реализовали такой канал по заданию. 

Кроме того, агенты выявили и другие потенциальные каналы для скрытой коммуникации:
* Через общее хранилище: один агент чередовал интенсивную запись с периодами бездействия, а другой анализировал возникающие колебания нагрузки. 
* Через конкуренцию за процессорное время в общем контейнере выполнения. 
* Через кэш TLS-сертификатов в офлайн-инфраструктуре OpenAI. 

При этом OpenAI отметила: в большинстве тестов исследователи либо направляли агентов к конкретному каналу, либо давали готовый протокол. Но был и важный случай: агентам выдали только общий список уязвимостей инфраструктуры и попросили самостоятельно найти способ связи. И они справились: выявили уязвимость, согласовали схему кодирования и обменялись данными. 

OpenAI не стала игнорировать находку и устранила выявленные недостатки в собственных настройках, усилила контроль сетевого доступа, и добавила механизмы для обнаружения скрытого обмена данными через общие ресурсы, а также участвовала в подготовке исправлений для открытых проектов. 

Главный вывод, который сделала OpenAI: даже отсутствие сетевого соединения и общих файлов не гарантирует полной изоляции, если системы делят общее оборудование. Это бросает вызов распространённому предположению, что "воздушный зазор" (air-gap) или песочница сами по себе надёжно разделяют системы. Поэтому компания подчеркнула: при оценке защищённости нельзя ограничиваться только проверкой сетевых подключений и доступа к файлам - нужно учитывать и микроархитектурные особенности. OpenAI также заявила, что сохранит запрет на свободный интернет-доступ при обучении передовых моделей до тех пор, пока средства безопасности не станут достаточно надёжными. 

https://openai.com/index/securing-our-frontier-model-training-environment/

Найдена критическая уязвимость в декодировщике Brotli

В библиотеке с эталонной реализацией декодировщика формата сжатия данных Brotli найдена уязвимость (CVE-2026-111497), которая приводит к переполнению буфера при обработке специально оформленных сжатых данных. По данным Google уязвимость может использоваться для удалённого выполнения кода при атаке на проекты, использующие официальную реализацию декодировщика Brotli.


К слову, эталонный декодировщик Brotli от Google (написанный на языке C) используется абсолютно повсеместно, из-за чего уязвимость CVE-2026-111497 (получившая имена Broccoli2Shell, Node2Shell и HTTP2Shell) имеет колоссальный масштаб. Сжатие Brotli поддерживают практически все современные веб-технологии, так как оно эффективнее стандартного Gzip и является базовым стандартом сжатия данных в интернете. Практически каждая экосистема использует официальную C-библиотеку c/dec/decode.c напрямую или через биндинги.


Декодеровщик встроен в следующие системы:

• Node.js: Уязвимый код скомпилирован непосредственно в само ядро платформы в модуле deps/brotli. Уязвимы все популярные серверные фреймворки (например, Express 5 с body-parser 2.x, Fastify), которые автоматически распаковывают входящие запросы от клиентов, если передан заголовок Content-Encoding: br.

• Bun: Альтернативная среда выполнения также использует этот декодер и подвержена RCE.

• Веб-браузеры: Google Chrome, Chromium, Mozilla Firefox, Apple Safari, Microsoft Edge и все браузеры на их основе используют эталонную библиотеку Brotli для декомпрессии ресурсов сайтов (скриптов, стилей, HTML). Атака возможна со стороны вредоносного сервера на устройство пользователя.

• HTTP-клиенты и утилиты: curl, wget, а также встроенные инструменты скачивания в ОС используют Brotli.

• Сетевые прокси и балансировщики: Envoy, Istio, Nginx (с модулями Brotli), трафик-менеджеры и CDN-платформы (Cloudflare, Akamai), которые декомпрессируют или анализируют трафик «на лету».


Поскольку оригинальная библиотека написана на C, почти во всех языках официальные библиотеки сжатия — это обертки (биндинги) над уязвимым кодом Google:

• Python: Популярные пакеты brotli и brotlicffi на PyPI.

• Декодирующие контент библиотеки для Java, С++, .NET, Ruby, PHP (к примеру, в .NET при использовании BrotliDecoder, BrotliStream и HttpClient)

• UEFI-прошивки: Brotli применяется для сжатия образов разделов и драйверов в современных прошивках материнских плат.

• Графика: Формат изображений JPEG XL (.jxl) использует Brotli в качестве базового слоя сжатия, поэтому уязвимы все просмотрщики картинок и графические библиотеки, поддерживающие этот формат.

• Linux-дистрибутивы: Пакет libbrotli является системной зависимостью в Debian, Ubuntu, Red Hat, Arch Linux и других системах


В итоге, область поражения (blast radius) оценивается ИБ-специалистами как критическая. Уязвимость затрагивает сотни миллионов серверов и миллиарды клиентских устройств. Любая система, принимающая сжатые извне данные без авторизации (Pre-Auth), находится под угрозой удаленного выполнения кода.
Разработчикам рекомендуется экстренно обновить рантаймы (например, Node.js до версий 22.23.4, 24.22.1, 26.12.1) или временно отключать поддержку сжатия br на уровне балансировщиков трафика до установки системных патчей.

https://broccoli2shell.com/
https://www.aikido.dev/blog/python-packages-vulnerable-node2shell-brotli-cve-2026-111497

Разработчик Telegram: 99,9% клиентского кода мессенджера пишет AI, а тех кто до сих пор пишет код вручную надо увольнять

Разработчик официального клиента Telegram для macOS Майк рассказал, что практически весь код клиентской части мессенджера уже пишут нейросети. В публичном чате Telegram macOS он рассказал о внутренних проектах, созданных с помощью нейросетей, и заявил, что надо увольнять тех, кто до сих пор пишет код вручную.

По оценке Майка, его подход к разработке с помощью нейросетей разделяют около 80–90% разработчиков Telegram. Тех, кто называют результаты работы нейросетей «слопом», Майк считает «застрявшими в 2023 году».

Например, сам Майк «за пару промптов» переписал протокол MTProto 2.0 для клиентов Telegram на iOS и macOS на Rust. Новый обозреватель блокчейна TON навайбкодили за один день. Кроме того, Claude за одну ночь адаптировал iOS‑клиент мессенджера под складной iPhone Duo.

На опасения о контроле качества Майк ответил, что код от нейросетей, по его оценке, лучше «того шлака, который пишут люди». Проблемы в безопасности разработчик предлагает искать и исправлять тоже с помощью AI.

https://habr.com/ru/news/1098400/