Специалисты требуют паузы: ИИ развивается быстрее, чем системы защиты
По данным Cobalt, 48% специалистов выступают за стратегическую паузу в использовании генеративного ИИ для укрепления защиты. При этом 94% отмечают резкий рост внедрения технологий, а 36% команд не успевают обеспечивать их безопасность.
Основные риски включают: раскрытие конфиденциальной информации (46%), компрометацию и кражу моделей данных (42%), генерацию некорректных результатов (40%) и утечку обучающих данных (37%). Тревожит, что 33% команд не проводят регулярные проверки безопасности LLM-систем. Каждая третья обнаруженная уязвимость в ИИ-инструментах оценивается как критическая, но устраняется лишь пятая часть.
Среди проблем доминируют классические уязвимости вроде SQL-инъекций (19,4%), а также специфические риски ИИ: обход фильтров через prompts, перегрузка моделей и несанкционированный доступ к данным. Это требует новых подходов к тестированию безопасности.
Как отметил CTO Cobalt Гюнтер Оллман, несмотря на существующие риски, полный отказ от внедрения ИИ невозможен из-за его преимуществ для бизнеса. Однако системы безопасности должны развиваться синхронно с технологическим прогрессом, чтобы не допустить построения инновационных решений на устаревших принципах защиты.
#кибербезопасность #ИИ
Источник: https://eyes.etecs.ru/r/98091c
По данным Cobalt, 48% специалистов выступают за стратегическую паузу в использовании генеративного ИИ для укрепления защиты. При этом 94% отмечают резкий рост внедрения технологий, а 36% команд не успевают обеспечивать их безопасность.
Основные риски включают: раскрытие конфиденциальной информации (46%), компрометацию и кражу моделей данных (42%), генерацию некорректных результатов (40%) и утечку обучающих данных (37%). Тревожит, что 33% команд не проводят регулярные проверки безопасности LLM-систем. Каждая третья обнаруженная уязвимость в ИИ-инструментах оценивается как критическая, но устраняется лишь пятая часть.
Среди проблем доминируют классические уязвимости вроде SQL-инъекций (19,4%), а также специфические риски ИИ: обход фильтров через prompts, перегрузка моделей и несанкционированный доступ к данным. Это требует новых подходов к тестированию безопасности.
Как отметил CTO Cobalt Гюнтер Оллман, несмотря на существующие риски, полный отказ от внедрения ИИ невозможен из-за его преимуществ для бизнеса. Однако системы безопасности должны развиваться синхронно с технологическим прогрессом, чтобы не допустить построения инновационных решений на устаревших принципах защиты.
#кибербезопасность #ИИ
Источник: https://eyes.etecs.ru/r/98091c
Infosecurity Magazine
Half of Security Pros Want GenAI Deployment Pause
Cobalt found that many security professionals believe a “strategic pause” in genAI deployment is necessary to recalibrate defenses
Forwarded from ССК: вопросы для подготовки (Alexander Dorofeev)
Лето в Москве: +11, но ощущается как +5. Вам необходимо попасть в офис и не простудиться. Какое действие будет соответствовать минимизации данного риска?
Anonymous Quiz
5%
а) надену шорты и кроксы
7%
б) попрошу коллегу поработать за двоих
48%
в) надену легкий пуховик
40%
г) отпрошусь на удаленку
Дорогие коллеги!
Мы создали для вас папку с полезными каналами по информационной безопасности! 📺
Хотите всегда быть в курсе свежих новостей, кейсов и инсайтов из мира кибербезопасности? Мы решили сделать эту задачу максимально простой и удобной для вас!
📂 Что внутри?
Новости ИБ: актуальные события, атаки, разбор инцидентов
Технические советы: лайфхаки по защите личных данных, обзоры инструментов, полезные решения
Обучение: курсы, вебинары, статьи для новичков и профессионалов
💡 Для чего вам папка?
Не нужно тратить время на поиски — мы уже отобрали лучшее для вашего профессионального роста и личной кибергигиены, а в качестве бонуса, папка регулярно будет пополняться полезными каналами по ИБ!
🔗 Добавить папку Инфобез!
Мы создали для вас папку с полезными каналами по информационной безопасности! 📺
Хотите всегда быть в курсе свежих новостей, кейсов и инсайтов из мира кибербезопасности? Мы решили сделать эту задачу максимально простой и удобной для вас!
📂 Что внутри?
Новости ИБ: актуальные события, атаки, разбор инцидентов
Технические советы: лайфхаки по защите личных данных, обзоры инструментов, полезные решения
Обучение: курсы, вебинары, статьи для новичков и профессионалов
💡 Для чего вам папка?
Не нужно тратить время на поиски — мы уже отобрали лучшее для вашего профессионального роста и личной кибергигиены, а в качестве бонуса, папка регулярно будет пополняться полезными каналами по ИБ!
🔗 Добавить папку Инфобез!
Forwarded from Новости информационной безопасности
Мессенджер Max заподозрили в утечках данных и использовании uCrop
30 июня. / ANTI-MALWARE /. Мессенджер Max, которого называют одним из главных претендентов на роль «национального мессенджера», оказался в центре скандала: его подозревают в слежке за пользователями, передаче данных за рубеж и использовании компонентов из недружественных стран. Кроме того, у разработчика отсутствуют лицензии ФСТЭК и ФСБ России.
Ещё на стадии обсуждения законопроекта о создании многофункционального цифрового сервиса с функцией мессенджера основным кандидатом сразу назвали Max от ВК. Ключевыми преимуществами сервиса называли локализацию данных и высокий уровень защищённости. Тем не менее, сам факт возможного доступа государственных структур к пользовательским данным сразу вызвал тревогу у части аудитории. А более серьёзные претензии появились после сообщений о том, что часть собираемой информации мессенджер отправляет на зарубежные серверы.
Кроме того, телеграм-канал Scamshot выяснил, что Max использует библиотеку uCrop, разработанную украинской компанией Yalantis. «А ещё этот мессенджер не только получил с последним обновлением полный доступ к буферу обмена, но и, если устанавливается через RuStore, зачем-то собирает информацию обо всех установленных приложениях на Android. Безопасный национальный мессенджер, дамы и господа, с привязкой к Госуслугам и утечкой данных прямиком в те самые днепровские офисы — чтобы им, надо полагать, было удобней», — критикует Max автор канала Scamshot. Согласно данным, опубликованным телеграм-каналом «Об ЭП и УЦ», компания «Коммуникационная платформа», являющаяся разработчиком Max, состоит всего из двух человек. У неё отсутствуют лицензии ФСБ на работу с криптографическими средствами, а также лицензия ФСТЭК на создание средств защиты информации.
30 июня. / ANTI-MALWARE /. Мессенджер Max, которого называют одним из главных претендентов на роль «национального мессенджера», оказался в центре скандала: его подозревают в слежке за пользователями, передаче данных за рубеж и использовании компонентов из недружественных стран. Кроме того, у разработчика отсутствуют лицензии ФСТЭК и ФСБ России.
Ещё на стадии обсуждения законопроекта о создании многофункционального цифрового сервиса с функцией мессенджера основным кандидатом сразу назвали Max от ВК. Ключевыми преимуществами сервиса называли локализацию данных и высокий уровень защищённости. Тем не менее, сам факт возможного доступа государственных структур к пользовательским данным сразу вызвал тревогу у части аудитории. А более серьёзные претензии появились после сообщений о том, что часть собираемой информации мессенджер отправляет на зарубежные серверы.
Кроме того, телеграм-канал Scamshot выяснил, что Max использует библиотеку uCrop, разработанную украинской компанией Yalantis. «А ещё этот мессенджер не только получил с последним обновлением полный доступ к буферу обмена, но и, если устанавливается через RuStore, зачем-то собирает информацию обо всех установленных приложениях на Android. Безопасный национальный мессенджер, дамы и господа, с привязкой к Госуслугам и утечкой данных прямиком в те самые днепровские офисы — чтобы им, надо полагать, было удобней», — критикует Max автор канала Scamshot. Согласно данным, опубликованным телеграм-каналом «Об ЭП и УЦ», компания «Коммуникационная платформа», являющаяся разработчиком Max, состоит всего из двух человек. У неё отсутствуют лицензии ФСБ на работу с криптографическими средствами, а также лицензия ФСТЭК на создание средств защиты информации.
Уязвимость в Open VSX угрожала миллионам разработчиков
Исследователи обнаружили критическую уязвимость в open-vsx.org — открытом маркетплейсе расширений для VS Code. Проблема позволяла злоумышленникам публиковать вредоносные обновления для любых расширений, ставя под угрозу миллионы разработчиков, использующих такие форки как Cursor, VSCodium и Gitpod.
Уязвимость заключалась в утечке токена администратора через CI/CD-процесс автоматической публикации. Получив этот токен, злоумышленники могли модифицировать любые расширения на платформе. Поскольку расширения VS Code имеют широкие права доступа, это открывало возможности для кражи данных и внедрения вредоносного кода.
Open VSX используется более чем 8 миллионами разработчиков как альтернатива официальному маркетплейсу Microsoft. Проблема затрагивала популярные редакторы, включая Google Cloud Shell Editor и GitLab Web IDE.
Инцидент подчеркивает важность контроля за сторонними расширениями. Эксперты рекомендуют компаниям тщательно проверять устанавливаемые плагины и отслеживать их обновления, чтобы избежать подобных угроз в будущем.
#кибербезопасность
Источник: https://eyes.etecs.ru/r/ff1474
Исследователи обнаружили критическую уязвимость в open-vsx.org — открытом маркетплейсе расширений для VS Code. Проблема позволяла злоумышленникам публиковать вредоносные обновления для любых расширений, ставя под угрозу миллионы разработчиков, использующих такие форки как Cursor, VSCodium и Gitpod.
Уязвимость заключалась в утечке токена администратора через CI/CD-процесс автоматической публикации. Получив этот токен, злоумышленники могли модифицировать любые расширения на платформе. Поскольку расширения VS Code имеют широкие права доступа, это открывало возможности для кражи данных и внедрения вредоносного кода.
Open VSX используется более чем 8 миллионами разработчиков как альтернатива официальному маркетплейсу Microsoft. Проблема затрагивала популярные редакторы, включая Google Cloud Shell Editor и GitLab Web IDE.
Инцидент подчеркивает важность контроля за сторонними расширениями. Эксперты рекомендуют компаниям тщательно проверять устанавливаемые плагины и отслеживать их обновления, чтобы избежать подобных угроз в будущем.
#кибербезопасность
Источник: https://eyes.etecs.ru/r/ff1474
Medium
Marketplace Takeover: How We Could’ve Taken Over Every Developer Using a VSCode Fork; Putting Millions at Risk
TL;DR: We discovered a critical vulnerability in open-vsx.org — the open-source VS Code extension marketplace used by over 8,000,000…
Уже совсем скоро - завтра, 1-го июля в 13:00 (МСК), состоится онлайн-презентацию межсетевого экрана следующего поколения – «Рубикон Nova»!
«Рубикон Nova» — межсетевой экран нового поколения, предназначенный для комплексной защиты корпоративной инфраструктуры от внешних и внутренних угроз.
Функциональные возможности Рубикон Nova:
- Сетевые функции на уровне L2 и L3;
- Построение виртуальных туннелей (VPN);
- Функции защиты;
- DNS посредник с политиками фильтрации по доменным именам;
- Резервирование (VRRP, кластер);
- Интеграция с внешними системами с использованием стандартных протоколов.
Приглашаем всех желающих присоединиться к нам online во вторник 1-го июля в 13:00 (МСК).
Регистрация на мероприятие: https://etecs.ru/rubikon_nova_online/
«Рубикон Nova» — межсетевой экран нового поколения, предназначенный для комплексной защиты корпоративной инфраструктуры от внешних и внутренних угроз.
Функциональные возможности Рубикон Nova:
- Сетевые функции на уровне L2 и L3;
- Построение виртуальных туннелей (VPN);
- Функции защиты;
- DNS посредник с политиками фильтрации по доменным именам;
- Резервирование (VRRP, кластер);
- Интеграция с внешними системами с использованием стандартных протоколов.
Приглашаем всех желающих присоединиться к нам online во вторник 1-го июля в 13:00 (МСК).
Регистрация на мероприятие: https://etecs.ru/rubikon_nova_online/
Канада утвердила поэтапный переход на постквантовую криптографию для защиты государственных систем
Правительство Канады представило официальную дорожную карту по переводу всех федеральных IT-систем (за исключением систем с секретными материалами) на постквантовые криптографические стандарты к 2035 году. Мера призвана защитить данные от будущих угроз, связанных с квантовыми вычислениями, которые могут взломать современные алгоритмы шифрования.
Согласно документу, опубликованному Канадским центром кибербезопасности (Canadian Centre for Cyber Security), все ведомства должны представить первоначальные планы по переходу до апреля 2026 года. Критически важные системы необходимо перевести на новые стандарты к 2031 году, а полный переход должен быть завершен к 2035 году. Требования распространяются как на внутренние IT-системы, так и на решения, предоставляемые сторонними поставщиками, включая облачные сервисы.
В дорожной карте отдельно отмечается, что злоумышленники (включая враждебно настроенные государства) уже могут собирать зашифрованные данные, чтобы расшифровать их в будущем с помощью квантовых компьютеров. Эта стратегия известна как "harvest now, decrypt later" ("собрать сейчас, расшифровать позже").
Канада синхронизирует свои действия с глобальными стандартами NIST, которые в настоящее время находятся на стадии завершения. Данная инициатива также является частью Национальной квантовой стратегии страны (National Quantum Strategy). Центр кибербезопасности будет предоставлять ведомствам технические руководства и отслеживать прогресс через платформу GCxchange.
#кибербезопасность #квантовыетехнологии
Источник: https://eyes.etecs.ru/r/c3f49a
Правительство Канады представило официальную дорожную карту по переводу всех федеральных IT-систем (за исключением систем с секретными материалами) на постквантовые криптографические стандарты к 2035 году. Мера призвана защитить данные от будущих угроз, связанных с квантовыми вычислениями, которые могут взломать современные алгоритмы шифрования.
Согласно документу, опубликованному Канадским центром кибербезопасности (Canadian Centre for Cyber Security), все ведомства должны представить первоначальные планы по переходу до апреля 2026 года. Критически важные системы необходимо перевести на новые стандарты к 2031 году, а полный переход должен быть завершен к 2035 году. Требования распространяются как на внутренние IT-системы, так и на решения, предоставляемые сторонними поставщиками, включая облачные сервисы.
В дорожной карте отдельно отмечается, что злоумышленники (включая враждебно настроенные государства) уже могут собирать зашифрованные данные, чтобы расшифровать их в будущем с помощью квантовых компьютеров. Эта стратегия известна как "harvest now, decrypt later" ("собрать сейчас, расшифровать позже").
Канада синхронизирует свои действия с глобальными стандартами NIST, которые в настоящее время находятся на стадии завершения. Данная инициатива также является частью Национальной квантовой стратегии страны (National Quantum Strategy). Центр кибербезопасности будет предоставлять ведомствам технические руководства и отслеживать прогресс через платформу GCxchange.
#кибербезопасность #квантовыетехнологии
Источник: https://eyes.etecs.ru/r/c3f49a
Quantum Insider
Canada Sets Timeline to Shield Government Systems from Quantum Threat
Canada has launched a formal roadmap to migrate all federal non-classified IT systems to post-quantum cryptography by 2035.
Яндекс открыл бесплатный доступ к YandexGPT 5 Pro
Компания Яндекс объявила о переходе на полностью бесплатную модель для своей нейросети «Чат с Алисой» на базе YandexGPT 5 Pro.
Теперь пользователи могут бесплатно генерировать тексты в разных стилях, создавать изображения через YandexART 2.5, работать с документами в форматах PDF, DOC и TXT, а также использовать продвинутый режим рассуждений для решения сложных задач. Нейросеть доступна на сайте alice.yandex.ru, в мобильных приложениях «Яндекс» и «Алиса», а также в Яндекс Браузере для Android с последующим выходом на другие платформы.
При этом Яндекс сохранит платную премиум-версию с расширенными функциями: персонализацией общения, улучшенным тренажером английского языка, режимом «умной» камеры Live и специальными детскими образовательными сценариями.
Этот шаг направлен на привлечение как новых пользователей, так и аудитории зарубежных сервисов вроде ChatGPT и Claude. Эксперты отмечают, что российские нейросети имеют преимущество в работе с русским языком, а бесплатный доступ стал необходимым условием конкуренции на глобальном рынке ИИ.
В периоды высокой нагрузки система будет автоматически переключаться на облегченную модель YandexGPT 5 Lite для обеспечения стабильной работы. Компания рассматривает различные варианты монетизации в будущем, включая премиум-функции и рекламные модели, делая ставку на массовое распространение технологии.
#ИИ
Источник: https://eyes.etecs.ru/r/cca81f
Компания Яндекс объявила о переходе на полностью бесплатную модель для своей нейросети «Чат с Алисой» на базе YandexGPT 5 Pro.
Теперь пользователи могут бесплатно генерировать тексты в разных стилях, создавать изображения через YandexART 2.5, работать с документами в форматах PDF, DOC и TXT, а также использовать продвинутый режим рассуждений для решения сложных задач. Нейросеть доступна на сайте alice.yandex.ru, в мобильных приложениях «Яндекс» и «Алиса», а также в Яндекс Браузере для Android с последующим выходом на другие платформы.
При этом Яндекс сохранит платную премиум-версию с расширенными функциями: персонализацией общения, улучшенным тренажером английского языка, режимом «умной» камеры Live и специальными детскими образовательными сценариями.
Этот шаг направлен на привлечение как новых пользователей, так и аудитории зарубежных сервисов вроде ChatGPT и Claude. Эксперты отмечают, что российские нейросети имеют преимущество в работе с русским языком, а бесплатный доступ стал необходимым условием конкуренции на глобальном рынке ИИ.
В периоды высокой нагрузки система будет автоматически переключаться на облегченную модель YandexGPT 5 Lite для обеспечения стабильной работы. Компания рассматривает различные варианты монетизации в будущем, включая премиум-функции и рекламные модели, делая ставку на массовое распространение технологии.
#ИИ
Источник: https://eyes.etecs.ru/r/cca81f
РБК
«Яндекс» отменил плату за большинство функций нейросети «Алиса»
«Яндекс» сделал бесплатной свою нейросеть «Чат с «Алисой». Компания рассчитывает, что это позволит переманить пользователей иностранных нейросетей и привлечь еще не освоивших технологию
Microsoft не будет исправлять ошибку в дате выпуска июньского обновления Windows
Microsoft подтвердила проблему, из-за которой обновления безопасности Windows за июнь 2025 года задерживаются. Причина — некорректная временная метка в метаданных. Ошибка затрагивает Windows 10 и Windows 11 в средах, где используются политики отсрочки качественных обновлений (Quality Update, QU).
Компания пояснила, что, хотя обновление было выпущено 10 июня, в метаданных указана дата 20 июня. Это приводит к задержке получения обновлений на устройствах с настроенной отсрочкой. Microsoft не станет исправлять метаданные и предлагает администраторам временные решения: создать политику ускоренного развёртывания или изменить настройки отсрочки.
Проблема не влияет на качество обновлений, но увеличивает риски для безопасности, так как исправления приходят позже запланированного срока.
Это не первая проблема с обновлениями Windows в 2025 году. В январе сбой в KB5050009 нарушил работу Bluetooth и USB-ЦАП, в феврале USB-принтеры начали печатать случайный текст, в марте Copilot самопроизвольно удалялся, в апреле перестала работать Windows Hello, а в мае обновление KB5058405 привело к сбоям загрузки Windows 11 в виртуальных средах.
Microsoft продолжает развивать «Центр обновления Windows», планируя сделать его платформой для обновления сторонних приложений. Однако эксперты опасаются, что это приведёт к новым проблемам.
#кибербезопасность #ПО
Источник: https://eyes.etecs.ru/r/fbd483
Microsoft подтвердила проблему, из-за которой обновления безопасности Windows за июнь 2025 года задерживаются. Причина — некорректная временная метка в метаданных. Ошибка затрагивает Windows 10 и Windows 11 в средах, где используются политики отсрочки качественных обновлений (Quality Update, QU).
Компания пояснила, что, хотя обновление было выпущено 10 июня, в метаданных указана дата 20 июня. Это приводит к задержке получения обновлений на устройствах с настроенной отсрочкой. Microsoft не станет исправлять метаданные и предлагает администраторам временные решения: создать политику ускоренного развёртывания или изменить настройки отсрочки.
Проблема не влияет на качество обновлений, но увеличивает риски для безопасности, так как исправления приходят позже запланированного срока.
Это не первая проблема с обновлениями Windows в 2025 году. В январе сбой в KB5050009 нарушил работу Bluetooth и USB-ЦАП, в феврале USB-принтеры начали печатать случайный текст, в марте Copilot самопроизвольно удалялся, в апреле перестала работать Windows Hello, а в мае обновление KB5058405 привело к сбоям загрузки Windows 11 в виртуальных средах.
Microsoft продолжает развивать «Центр обновления Windows», планируя сделать его платформой для обновления сторонних приложений. Однако эксперты опасаются, что это приведёт к новым проблемам.
#кибербезопасность #ПО
Источник: https://eyes.etecs.ru/r/fbd483
BleepingComputer
Microsoft warns of Windows update delays due to wrong timestamp
Microsoft has confirmed a new known issue causing delivery delays for June 2025 Windows security updates due to an incorrect metadata timestamp.
Австралия внедряет высокотехнологичную систему защиты от акул
В Австралии на пляжах Голд-Коста появились предупреждающие таблички о дронах, патрулирующих побережье. Эти беспилотники с искусственным интеллектом способны за доли секунды отличить серфингиста от акулы. При обнаружении угрозы дрон немедленно оповещает спасателей, которые эвакуируют людей из воды. Программа SharkSmart Drone Trial уже работает на 50 пляжах Нового Южного Уэльса и является первой в мире системой такого масштаба.
Система мониторинга включает не только дроны. Вдоль побережья установлены 37 станций, отслеживающих меченых акул с помощью акустических сигналов. Данные о перемещениях хищников публикуются в приложении SharkSmar. Также используются SMART-драмлайны — высокотехнологичные ловушки с GPS. При попадании акулы срабатывает сигнал, и специалисты отвозят ее в открытое море, предварительно пометив. С начала программы было помечено 1600 белых, 548 тигровых и 114 бычьих акул.
Эти меры не только повышают безопасность, но и помогают ученым изучать миграцию и поведение акул.
#ИИ
Источник: https://eyes.etecs.ru/r/3d7328
В Австралии на пляжах Голд-Коста появились предупреждающие таблички о дронах, патрулирующих побережье. Эти беспилотники с искусственным интеллектом способны за доли секунды отличить серфингиста от акулы. При обнаружении угрозы дрон немедленно оповещает спасателей, которые эвакуируют людей из воды. Программа SharkSmart Drone Trial уже работает на 50 пляжах Нового Южного Уэльса и является первой в мире системой такого масштаба.
Система мониторинга включает не только дроны. Вдоль побережья установлены 37 станций, отслеживающих меченых акул с помощью акустических сигналов. Данные о перемещениях хищников публикуются в приложении SharkSmar. Также используются SMART-драмлайны — высокотехнологичные ловушки с GPS. При попадании акулы срабатывает сигнал, и специалисты отвозят ее в открытое море, предварительно пометив. С начала программы было помечено 1600 белых, 548 тигровых и 114 бычьих акул.
Эти меры не только повышают безопасность, но и помогают ученым изучать миграцию и поведение акул.
#ИИ
Источник: https://eyes.etecs.ru/r/3d7328
Forbes
Can Drones And Artificial Intelligence Keep Us Safe From Sharks?
Australian surf lifesavers are increasingly using drones to spot sharks at the beach before they get too close for comfort. Can AI help them with identifying dangerous species?
Критическая уязвимость в MCP Inspector Anthropic позволяет взламывать компьютеры разработчиков
Исследователи кибербезопасности обнаружили критическую уязвимость (CVE-2025-49596 с оценкой CVSS 9.4) в инструменте MCP Inspector от компании Anthropic. Уязвимость позволяет злоумышленникам выполнять произвольный код на компьютерах разработчиков через цепочку из двух уязвимостей: проблемы в современных браузерах (известной как 0.0.0.0 Day) и отсутствия аутентификации в MCP Inspector (CVE-2025-49596).
MCP Inspector - это отладочный инструмент для работы с серверами Model Context Protocol (MCP). По умолчанию он не требует аутентификации между клиентом и прокси-сервером, что позволяет отправлять несанкционированные команды. Особую опасность представляет то, что атака возможна даже при работе сервера только на localhost - благодаря уязвимости 0.0.0.0 Day в браузерах и технике DNS rebinding злоумышленник может выполнить код через простое посещение вредоносной веб-страницы.
Anthropic выпустила исправление в версии 0.14.1, добавив проверку токенов сессии и валидацию заголовков HTTP. Однако многие разработчики продолжают использовать уязвимые версии. Параллельно были обнаружены другие проблемы в экосистеме MCP, включая SQL-инъекцию в SQLite MCP сервере (который был заархивирован в мае 2025 года без исправления) и уязвимость NeighborJack, когда MCP-серверы остаются доступными в локальной сети.
Эксперты рекомендуют немедленно обновить MCP Inspector и настроить дополнительные меры защиты, такие как ограничение доступа к серверам и фильтрацию входящих данных.
#кибербезопасность #уязвимость
Источник: https://eyes.etecs.ru/r/2629f5
Исследователи кибербезопасности обнаружили критическую уязвимость (CVE-2025-49596 с оценкой CVSS 9.4) в инструменте MCP Inspector от компании Anthropic. Уязвимость позволяет злоумышленникам выполнять произвольный код на компьютерах разработчиков через цепочку из двух уязвимостей: проблемы в современных браузерах (известной как 0.0.0.0 Day) и отсутствия аутентификации в MCP Inspector (CVE-2025-49596).
MCP Inspector - это отладочный инструмент для работы с серверами Model Context Protocol (MCP). По умолчанию он не требует аутентификации между клиентом и прокси-сервером, что позволяет отправлять несанкционированные команды. Особую опасность представляет то, что атака возможна даже при работе сервера только на localhost - благодаря уязвимости 0.0.0.0 Day в браузерах и технике DNS rebinding злоумышленник может выполнить код через простое посещение вредоносной веб-страницы.
Anthropic выпустила исправление в версии 0.14.1, добавив проверку токенов сессии и валидацию заголовков HTTP. Однако многие разработчики продолжают использовать уязвимые версии. Параллельно были обнаружены другие проблемы в экосистеме MCP, включая SQL-инъекцию в SQLite MCP сервере (который был заархивирован в мае 2025 года без исправления) и уязвимость NeighborJack, когда MCP-серверы остаются доступными в локальной сети.
Эксперты рекомендуют немедленно обновить MCP Inspector и настроить дополнительные меры защиты, такие как ограничение доступа к серверам и фильтрацию входящих данных.
#кибербезопасность #уязвимость
Источник: https://eyes.etecs.ru/r/2629f5
Как видят будущее кибербезопасности модели ИИ?
В последнее время стало модно спрашивать ИИ-ассистентов обо всем, как будто они обладают мышлением, а не генерируют тексты на основе тех данных, на которых были обучены их LLM-модели. Мы решили посмотреть, какие оптимистичные и негативные сценарии развития кибербезопасности на ближайшие 15 лет сгенерируют наиболее популярные модели, и обобщили, сформировав следующие варианты.
Сценарий 1. Благодаря всеобщей прозрачности интернет-киберпространство становится глобальным «общественным благом», как предсказывали ученые-утописты 20-го века. К 2040 году страны и корпорации приходят к единым международным соглашениям о безопасности (аналог ООН для интернета). Создаются прозрачные стандарты и коллаборативные платформы обмена данными о киберугрозах. Инновации (ИИ, квантовая криптография, кибериммунитет) активно развиваются: мы видим надёжные системы by design. Искусственный интеллект и автоматизация помогут эффективно обнаруживать и блокировать угрозы в режиме реального времени. Доверие к цифровым сервисам высоко, фейковые новости и кибератаки сведены к локальным инцидентам.
Сценарий 2. К 2040 году интернет фрагментируется. В результате нескольких крупных глобальных атак цифровая инфраструктура «расколота» на национальные и народные сегменты. Цифровая сфера в целом находится в состоянии нестабильности. Страны следуют собственным правилам (локализация данных, жёсткий контроль мессенджеров), отсутствуют единые принципы безопасности. Угрозы приобретают «тотальный» характер: государства и преступники активно используют ИИ и квантовые технологии в скрытых атаках, межгосударственная конкуренция еще активнее переходит в киберпространство. Малые игроки и уязвимые государства сильно страдают от постоянных атак. Киберпреступность не исчезает, а эволюционирует. Организации столкнутся с нехваткой квалифицированных специалистов и не смогут обеспечить достаточный уровень защиты своих систем.
#Кибербезопасность #Прогнозы
В последнее время стало модно спрашивать ИИ-ассистентов обо всем, как будто они обладают мышлением, а не генерируют тексты на основе тех данных, на которых были обучены их LLM-модели. Мы решили посмотреть, какие оптимистичные и негативные сценарии развития кибербезопасности на ближайшие 15 лет сгенерируют наиболее популярные модели, и обобщили, сформировав следующие варианты.
Сценарий 1. Благодаря всеобщей прозрачности интернет-киберпространство становится глобальным «общественным благом», как предсказывали ученые-утописты 20-го века. К 2040 году страны и корпорации приходят к единым международным соглашениям о безопасности (аналог ООН для интернета). Создаются прозрачные стандарты и коллаборативные платформы обмена данными о киберугрозах. Инновации (ИИ, квантовая криптография, кибериммунитет) активно развиваются: мы видим надёжные системы by design. Искусственный интеллект и автоматизация помогут эффективно обнаруживать и блокировать угрозы в режиме реального времени. Доверие к цифровым сервисам высоко, фейковые новости и кибератаки сведены к локальным инцидентам.
Сценарий 2. К 2040 году интернет фрагментируется. В результате нескольких крупных глобальных атак цифровая инфраструктура «расколота» на национальные и народные сегменты. Цифровая сфера в целом находится в состоянии нестабильности. Страны следуют собственным правилам (локализация данных, жёсткий контроль мессенджеров), отсутствуют единые принципы безопасности. Угрозы приобретают «тотальный» характер: государства и преступники активно используют ИИ и квантовые технологии в скрытых атаках, межгосударственная конкуренция еще активнее переходит в киберпространство. Малые игроки и уязвимые государства сильно страдают от постоянных атак. Киберпреступность не исчезает, а эволюционирует. Организации столкнутся с нехваткой квалифицированных специалистов и не смогут обеспечить достаточный уровень защиты своих систем.
#Кибербезопасность #Прогнозы
Какой из двух приведенных сценариев наиболее вероятен по вашему мнению?
Anonymous Poll
16%
Сценарий 1. Оптимистичный
84%
Сценарий 2. Негативный
Microsoft тайно устанавливает обновление KB5001716 на компьютеры с Windows 10 и 11
Компания Microsoft начала автоматическую установку обновления KB5001716 на устройства с Windows 10 и 11 без явного уведомления пользователей. Как сообщает Neowin, патч уже появился на части компьютеров.
KB5001716 представляет собой не стандартное обновление, а служебный модуль для механизма Windows Update. Согласно официальной документации, он выполняет две ключевые функции: автоматически загружает функциональные обновления при приближении даты окончания поддержки текущей версии ОС и регулярно напоминает пользователям о необходимости обновления системы, если их оборудование не соответствует новым требованиям.
Особую значимость это обновление приобретает в контексте прекращения поддержки Windows 10. Несмотря на недавнее решение Microsoft о продлении бесплатных обновлений безопасности на дополнительный год для некоторых редакций, система продолжает активно напоминать пользователям о скором окончании поддержки.
Обновление затрагивает устаревшие версии Windows 10 (21H2, 22H2) и первоначальную сборку Windows 11 (21H2). Факт появления KB5001716 свидетельствует о том, что используемая версия ОС вскоре перестанет получать поддержку.
#кибербезопасность
Источник: https://eyes.etecs.ru/r/13e003
Компания Microsoft начала автоматическую установку обновления KB5001716 на устройства с Windows 10 и 11 без явного уведомления пользователей. Как сообщает Neowin, патч уже появился на части компьютеров.
KB5001716 представляет собой не стандартное обновление, а служебный модуль для механизма Windows Update. Согласно официальной документации, он выполняет две ключевые функции: автоматически загружает функциональные обновления при приближении даты окончания поддержки текущей версии ОС и регулярно напоминает пользователям о необходимости обновления системы, если их оборудование не соответствует новым требованиям.
Особую значимость это обновление приобретает в контексте прекращения поддержки Windows 10. Несмотря на недавнее решение Microsoft о продлении бесплатных обновлений безопасности на дополнительный год для некоторых редакций, система продолжает активно напоминать пользователям о скором окончании поддержки.
Обновление затрагивает устаревшие версии Windows 10 (21H2, 22H2) и первоначальную сборку Windows 11 (21H2). Факт появления KB5001716 свидетельствует о том, что используемая версия ОС вскоре перестанет получать поддержку.
#кибербезопасность
Источник: https://eyes.etecs.ru/r/13e003
Neowin
Microsoft quietly installs KB5001716 on your Windows 11 and 10 PCs
It is that time of the year again. Microsoft is now quietly installing the KB5001716 update on users' Windows 10 and 11 systems.
ИИ решил за два дня то, над чем ученые бились десять лет
Сложную задачу, на решение которой у микробиологов ушло десять лет, новый инструмент искусственного интеллекта (ИИ) от Google решил всего за 48 часов.
Профессор Хосе Р. Пенадес и его команда из Имперского колледжа Лондона годами изучали, почему некоторые супербактерии устойчивы к антибиотикам и как они передаются между видами. Их гипотеза заключалась в том, что бактерии используют "хвосты" вирусов для перемещения.
Ученый дал ИИ-инструменту Google краткое описание проблемы — и система пришла к тем же выводам, что и исследователи. Пенадес признался, что был шокирован, поскольку его работа еще не опубликована, а значит, ИИ не мог найти ответ в открытых источниках.
Полное исследование заняло у ученых десять лет, включая годы на проверку гипотезы. Однако если бы у них было это предположение в начале проекта, оно сэкономило бы годы работы. Более того, ИИ предложил еще четыре правдоподобные гипотезы, одна из которых ранее не рассматривалась учеными. Сейчас команда проверяет и эту версию.
Пенадес считает, что подобные ИИ-инструменты изменят науку, ускорив открытия. Хотя некоторые опасаются, что технологии заменят ученых, профессор видит в них мощный инструмент для исследований.
#ИИ
Источник: https://eyes.etecs.ru/r/7fc4d1
Сложную задачу, на решение которой у микробиологов ушло десять лет, новый инструмент искусственного интеллекта (ИИ) от Google решил всего за 48 часов.
Профессор Хосе Р. Пенадес и его команда из Имперского колледжа Лондона годами изучали, почему некоторые супербактерии устойчивы к антибиотикам и как они передаются между видами. Их гипотеза заключалась в том, что бактерии используют "хвосты" вирусов для перемещения.
Ученый дал ИИ-инструменту Google краткое описание проблемы — и система пришла к тем же выводам, что и исследователи. Пенадес признался, что был шокирован, поскольку его работа еще не опубликована, а значит, ИИ не мог найти ответ в открытых источниках.
Полное исследование заняло у ученых десять лет, включая годы на проверку гипотезы. Однако если бы у них было это предположение в начале проекта, оно сэкономило бы годы работы. Более того, ИИ предложил еще четыре правдоподобные гипотезы, одна из которых ранее не рассматривалась учеными. Сейчас команда проверяет и эту версию.
Пенадес считает, что подобные ИИ-инструменты изменят науку, ускорив открытия. Хотя некоторые опасаются, что технологии заменят ученых, профессор видит в них мощный инструмент для исследований.
#ИИ
Источник: https://eyes.etecs.ru/r/7fc4d1
Bbc
AI cracks superbug problem in two days that took scientists years
The lead researcher has told the BBC he was so astounded he assumed his computer had been hacked.
Forwarded from ССК: вопросы для подготовки (Alexander Dorofeev)
CEO Петр хранит SSD с бэкапом 1С в сейфе на даче за четырехметровым забором. На лето Петр планирует заполнить водой ров вокруг дачи и запустить аллигаторов. Что это за подход?
Anonymous Quiz
12%
б) нулевого доверия
2%
а) полного доверия
76%
в) эшелонированной обороны
10%
г) подход Греты Тунберг
ИИ рекомендует фишинговые сайты: как чат-боты вводят пользователей в заблуждение
Исследователи Netcraft выявили опасную уязвимость в крупных языковых моделях (LLM): при запросе официальных сайтов для входа в системы известных брендов ИИ в 34% случаев предлагал поддельные, несуществующие или принадлежащие посторонним компаниям домены. В эксперименте использовались обычные пользовательские запросы вроде «Где войти в аккаунт [бренда]?». Из 131 предложенного ИИ домена 29% оказались незарегистрированными или неактивными, а 5% вели к сторонним ресурсам.
Особую угрозу представляет интеграция ИИ в поисковые системы. Например, Perplexity по запросу о входе в Wells Fargo выдала фишинговый сайт на Google Sites, замаскированный под официальную страницу. Такие ошибки особенно опасны для малых брендов — их реже включают в обучающие данные ИИ, что увеличивает риск «галлюцинаций».
Злоумышленники уже адаптируют атаки под ИИ, создавая контент, оптимизированный для чат-ботов. Обнаружены тысячи сгенерированных ИИ фишинговых GitBook-страниц и даже вредоносные API, продвигаемые через фейковые GitHub-репозитории. Попытки заранее регистрировать все возможные домены бесполезны — ИИ генерирует бесконечные вариации.
Эксперты рекомендуют комбинировать машинное обучение с ручными правилами для точного определения угроз. Пока ИИ остается ненадежным источником критически важной информации, пользователям следует перепроверять URL через официальные каналы брендов.
#ИИ #кибербезопасность
Источник: https://eyes.etecs.ru/r/d959a2
Исследователи Netcraft выявили опасную уязвимость в крупных языковых моделях (LLM): при запросе официальных сайтов для входа в системы известных брендов ИИ в 34% случаев предлагал поддельные, несуществующие или принадлежащие посторонним компаниям домены. В эксперименте использовались обычные пользовательские запросы вроде «Где войти в аккаунт [бренда]?». Из 131 предложенного ИИ домена 29% оказались незарегистрированными или неактивными, а 5% вели к сторонним ресурсам.
Особую угрозу представляет интеграция ИИ в поисковые системы. Например, Perplexity по запросу о входе в Wells Fargo выдала фишинговый сайт на Google Sites, замаскированный под официальную страницу. Такие ошибки особенно опасны для малых брендов — их реже включают в обучающие данные ИИ, что увеличивает риск «галлюцинаций».
Злоумышленники уже адаптируют атаки под ИИ, создавая контент, оптимизированный для чат-ботов. Обнаружены тысячи сгенерированных ИИ фишинговых GitBook-страниц и даже вредоносные API, продвигаемые через фейковые GitHub-репозитории. Попытки заранее регистрировать все возможные домены бесполезны — ИИ генерирует бесконечные вариации.
Эксперты рекомендуют комбинировать машинное обучение с ручными правилами для точного определения угроз. Пока ИИ остается ненадежным источником критически важной информации, пользователям следует перепроверять URL через официальные каналы брендов.
#ИИ #кибербезопасность
Источник: https://eyes.etecs.ru/r/d959a2
Netcraft
LLMs Are Recommending Phishing Sites—Here’s Why That’s Dangerous
What happens when AI chatbots send users to phishing links? Netcraft’s latest research reveals that over one-third of LLM-suggested login URLs aren’t owned by the brand—posing a growing threat to online safety. Learn what’s happening and how to protect your…
Google оштрафована на $314 млн за скрытый сбор данных пользователей Android
Калифорнийский суд вынес решение оштрафовать Google на $314 млн за незаконное использование мобильного трафика пользователей. Иск был подан ещё в 2019 году, но только сейчас получил окончательное решение.
Согласно материалам дела, Android-устройства продолжали передавать данные на серверы Google даже в режиме ожидания. При этом компания специально не ограничивала передачу данных только Wi-Fi-соединениями, позволяя расходовать мобильный трафик пользователей без их ведома.
Экспертиза показала, что даже заблокированный смартфон Samsung Galaxy S7 ежедневно отправлял около 9 МБ служебной информации. Примечательно, что эти данные не требовали немедленной передачи и могли ожидать подключения к Wi-Fi, но Google сознательно не предоставила пользователям такой возможности.
Это уже не первый крупный штраф для IT-гиганта. Всего два месяца назад компания заплатила $1,4 млрд за незаконный сбор геолокационных данных.
#конфиденциальность
Источник: https://eyes.etecs.ru/r/9af07d
Калифорнийский суд вынес решение оштрафовать Google на $314 млн за незаконное использование мобильного трафика пользователей. Иск был подан ещё в 2019 году, но только сейчас получил окончательное решение.
Согласно материалам дела, Android-устройства продолжали передавать данные на серверы Google даже в режиме ожидания. При этом компания специально не ограничивала передачу данных только Wi-Fi-соединениями, позволяя расходовать мобильный трафик пользователей без их ведома.
Экспертиза показала, что даже заблокированный смартфон Samsung Galaxy S7 ежедневно отправлял около 9 МБ служебной информации. Примечательно, что эти данные не требовали немедленной передачи и могли ожидать подключения к Wi-Fi, но Google сознательно не предоставила пользователям такой возможности.
Это уже не первый крупный штраф для IT-гиганта. Всего два месяца назад компания заплатила $1,4 млрд за незаконный сбор геолокационных данных.
#конфиденциальность
Источник: https://eyes.etecs.ru/r/9af07d
Мошенники крадут деньги через фальшивые полисы ОСАГО
В МВД России предупредили о новой схеме мошенничества, связанной с продажей поддельных электронных полисов ОСАГО. Злоумышленники создают фишинговые сайты, имитирующие страницы известных страховых компаний, и обманывают россиян, похищая их персональные данные и деньги.
Аферисты регистрируют домены, содержащие слово osago или похожие на адреса реальных страховщиков. На этих сайтах предлагается рассчитать стоимость полиса, для чего требуется ввести личные данные: ФИО, дату рождения, номер водительского удостоверения, сведения об автомобиле, телефон и email. После заполнения анкеты пользователю предлагают оплатить полис банковской картой, введя её реквизиты, включая CVC/CVV-код.
Затем жертву перенаправляют на поддельную страницу подтверждения платежа, где просят ввести код из SMS. Это позволяет мошенникам обойти двухфакторную аутентификацию и списать деньги. В МВД призвали граждан быть осторожными и оформлять полисы только через официальные сайты страховых компаний или проверенные сервисы.
#мошенничество
Источник: https://eyes.etecs.ru/r/25989f
В МВД России предупредили о новой схеме мошенничества, связанной с продажей поддельных электронных полисов ОСАГО. Злоумышленники создают фишинговые сайты, имитирующие страницы известных страховых компаний, и обманывают россиян, похищая их персональные данные и деньги.
Аферисты регистрируют домены, содержащие слово osago или похожие на адреса реальных страховщиков. На этих сайтах предлагается рассчитать стоимость полиса, для чего требуется ввести личные данные: ФИО, дату рождения, номер водительского удостоверения, сведения об автомобиле, телефон и email. После заполнения анкеты пользователю предлагают оплатить полис банковской картой, введя её реквизиты, включая CVC/CVV-код.
Затем жертву перенаправляют на поддельную страницу подтверждения платежа, где просят ввести код из SMS. Это позволяет мошенникам обойти двухфакторную аутентификацию и списать деньги. В МВД призвали граждан быть осторожными и оформлять полисы только через официальные сайты страховых компаний или проверенные сервисы.
#мошенничество
Источник: https://eyes.etecs.ru/r/25989f
TACC
Мошенники внедрили схему хищения денег под видом продажи онлайн полисов ОСАГО
Аферисты регистрируют доменное имя, которое содержит в названии слово osago или напоминает доменное имя одной из известных страховых компаний, и размещают там фишинговый сайт, уточнили в МВД России