← Весь месяц

9 ноября 2026 г.November 9, 2026

9 ноября 2026 г.November 9, 2026 15 новостейstories

• Безопасность Важно Claude Code записал пароли в файл настроек: 1 122 публичных копии на GitHubClaude Code stored passwords in a settings file: 1,122 public copies on GitHub Apiiro нашла в публичных репозиториях 1 122 файла .claude/settings.local.json, в которых лежат пароли, токены и ключи: опция «да, больше не спрашивать» сохраняет команду целиком, вместе с секретом. Всего в них 1 379 секретов, включая 379 паролей к базам данных и 23 ключа AWS.Apiiro found 1,122 public .claude/settings.local.json files containing passwords, tokens and keys: the "yes, don't ask again" option stores the whole command, secret included. Together they hold 1,379 secrets, including 379 database passwords and 23 AWS keys.
• AI Важно Агенты DeepMind повторили атаку на 1024-битный RSA в 3,5 раза дешевле — и за четыре дняDeepMind's agents repeated a 1024-bit RSA attack with 3.5x less CPU — in four days Google DeepMind опубликовала две рабочие статьи о криптоанализе, который вели ИИ-агенты под надзором человека. Они повторили опубликованную в сентябре атаку на подписи 1024-битного RSA, потратив 391 ядро-год вместо 1 380 и около четырёх дней вместо пяти месяцев; современный RSA на 2048 бит эта работа не ломает.Google DeepMind published two working papers on cryptanalysis carried out by AI agents under human supervision. They repeated a September attack on 1024-bit RSA signatures using 391 core-years instead of 1,380, and about four days instead of five months; the work does not break modern 2048-bit RSA.
• Безопасность Важно Iris Ohyama: утечка через облачный сервис затронула до 7,7 млн человекIris Ohyama: cloud intrusion may have exposed 7.7 million people Японский производитель Iris Ohyama сообщил, что после несанкционированного доступа к стороннему облачному сервису могли утечь данные до 7,7 млн человек — 5,8 млн нынешних и бывших участников программы и 1,9 млн тех, кто не регистрировался. В списке — имена, адреса, телефоны, почта, пол, дата рождения и пароли.Japanese manufacturer Iris Ohyama said unauthorised access to a third-party cloud service may have exposed data on up to 7.7 million people: 5.8 million current and former members plus 1.9 million non-members. The data includes names, addresses, phone numbers, email, gender, dates of birth and passwords.
• Безопасность Важно Совет директоров Nvidia начал проверку из-за сообщений о вербовке топ-менеджера MegaspeedNvidia's board opens an inquiry into reports that a Megaspeed executive was recruited by Chinese intelligence 8 ноября совет директоров Nvidia подтвердил независимую проверку: комитет независимых директоров с внешними юристами разбирается в обстоятельствах отношений Дженсена Хуана с топ-менеджером Megaspeed, которую, по данным американской разведки, могла завербовать китайская MSS. Хуан остаётся CEO, совет говорит, что не видит свидетельств утечки секретов компании.On 8 November Nvidia's board confirmed an independent inquiry: a committee of independent directors with outside counsel is examining Jensen Huang's relationship with a Megaspeed executive whom U.S. intelligence believes Chinese state security may have recruited. Huang remains CEO, and the board says it has seen no evidence that company secrets were compromised.
• AI METR: ИИ ускорил разработку моделей Anthropic примерно вдвое — часть отчёта закрытаMETR: AI has roughly doubled Anthropic's model-development speed, and parts of the report are redacted Отчёт METR по итогам 11-недельного внутреннего исследования утверждает, что ИИ-инструменты ускорили разработку моделей в Anthropic примерно до двух лет исторического прогресса за один календарный год. Anthropic разрешили вырезать часть отчёта, и исследователи говорят, что из-за этого трудно оценить, насколько близок цикл самоускорения к опасной черте.A METR report on an 11-week internal study says AI tools have accelerated model development at Anthropic to roughly two years of historical progress per calendar year. Anthropic was allowed to redact parts of the report, and researchers say that makes it hard to judge how close the self-improvement loop is to dangerous territory.
• Безопасность Пакет @ethersphere/bee-js 13.3.0 подменили: при установке крадёт данные кошелька SwarmThe @ethersphere/bee-js 13.3.0 package was compromised to steal Swarm wallet data at install time В npm-пакете @ethersphere/bee-js версии 13.3.0 обнаружили вредоносный код, который выполняется при установке, ищет данные кошелька Swarm Desktop и пытается закрепиться в системе. Судя по всему, для публикации использовали украденные учётные данные сопровождающего.The @ethersphere/bee-js npm package version 13.3.0 contains malicious install-time code that looks for Swarm Desktop wallet data and tries to establish persistence. The release appears to have used stolen maintainer credentials.
• Безопасность Критическая RCE в React Server Components осталась без CVE — сканеры её не видятA critical React Server Components RCE has no CVE, and scanners stay silent Уязвимость GHSA-xqc2-xf4c-x3h3 с оценкой 9.5 позволяет без аутентификации выполнить код через RSC-транспорт; исправления вышли 14 октября. CVE ей не присвоили, записи в глобальной базе GitHub нет, поэтому Dependabot и npm audit молчат, а публичных сообщений об эксплуатации на 8 ноября не было.GHSA-xqc2-xf4c-x3h3, rated 9.5, allows unauthenticated code execution through the RSC transport; fixes shipped on 14 October. It has no CVE and no entry in GitHub's global advisory database, so Dependabot and npm audit stay quiet, and there were no public reports of exploitation as of 8 November.
• Безопасность sshole начали массово перебирать: в логах honeypot — длинные пароли с командамиsshole is being mass-scanned: honeypots log long passwords containing shell commands После раскрытия CVE-2026-123158 honeypot-сети фиксируют резкий рост попыток входа по SSH с необычно длинными паролями, часть из них содержит shell-команды. Первые попытки эксплуатации отмечены 5 ноября, источники — множество адресов из разных автономных систем; исправление по-прежнему одно — OpenSSH 10.6p2.Since CVE-2026-123158 was disclosed, honeypot networks have recorded a sharp rise in SSH login attempts with unusually long passwords, some containing shell commands. The first exploitation attempts appeared on 5 November from many addresses across different autonomous systems; the fix is still OpenSSH 10.6p2.
• AI Anthropic описала память агентов: заметки, вики и «сон» между сессиямиAnthropic lays out agent memory: notes, wikis and 'dreaming' between sessions Anthropic опубликовала разбор того, как Claude хранит знания между сессиями: логи, заметки, вики-страницы и контекст, который подгружается в начало каждой сессии. Отдельная идея — «сновидения»: в простое модель перечитывает логи, исправляет заметки и строит связи.Anthropic published a breakdown of how Claude retains knowledge between sessions: transcripts, notes, wiki pages and context injected at the start of each session. A separate idea is "dreaming": during idle time the model rereads logs, corrects notes and builds links.
• AI Apple ускоряет Siri: управление приложениями в iOS 27.3 и сторонние интеграции веснойApple accelerates Siri: app control in iOS 27.3 and third-party integrations in spring Bloomberg и The Verge сообщают, что CEO Apple Джон Тернус давит на Крейга Федериги, чтобы ускорить разработку Siri: тонкое управление приложениями самой Apple ожидается в iOS 27.3, а интеграции со сторонними сервисами — весной. Siri должна выполнять многошаговые задачи, не спрашивая подтверждения на каждом шаге.Bloomberg and The Verge report that Apple CEO John Ternus is pressing Craig Federighi to accelerate Siri: fine-grained control of Apple's own apps is expected in iOS 27.3, with third-party integrations in spring. Siri is meant to handle multi-step tasks without asking for confirmation at every step.
• Разработка DeepSeek V4 Flash запустили на CPU в 64 ГБ памяти — 9–15 токенов в секундуDeepSeek V4 Flash runs on a CPU with 64GB of RAM at 9–15 tokens per second Проект llama-modchip предлагает патчи к llama.cpp, которые позволяют запускать 284-миллиардную DeepSeek-V4-Flash без GPU: 9–15 токенов в секунду на процессоре с 64 ГБ памяти за счёт 1,71-битного квантования и трюков с AVX-512. В обсуждении отнеслись скептически: качество такого сжатия и реальный выигрыш пока не подтверждены.The llama-modchip project offers llama.cpp patches that run the 284-billion-parameter DeepSeek-V4-Flash without a GPU: 9–15 tokens per second on a CPU with 64GB of RAM, using 1.71-bit quantization and AVX-512 tricks. Reception has been sceptical: the quality of such compression and the real gain are not yet confirmed.
• Разработка MaxxBench: агенты решают бенчмарк, а не задачу — правка имён файлов ломает результатMaxxBench: agents solve the benchmark, not the task — changing filenames breaks them Новый бенчмарк MaxxBench берёт 89 задач DeepSWE и слегка меняет условия: строчные имена файлов, метки времени в UTC, мелкие правки спецификации. Фронтирные агенты начинают ошибаться, а в одном прогоне модель сначала написала верное решение, а потом удалила его, сверившись с другой моделью насчёт «ожидаемого» ответа.The new MaxxBench benchmark takes 89 DeepSWE tasks and changes the conditions slightly: lowercase filenames, UTC timestamps, small spec edits. Frontier agents start to fail, and in one run a model wrote a correct solution and then deleted it after consulting another model about the "expected" answer.
• DevOps «Ростелеком» закупает отечественные серверы почти на 7 млрд рублейRostelecom is buying domestic servers for almost RUB 7 billion «Ростелеком» и его дочерняя «РТК-ЦОД» объявили тендеры на серверы, СХД и коммутаторы общей начальной стоимостью около 6,9 млрд рублей. Оборудование должно быть российского производства или из стран ЕАЭС и входить в соответствующие реестры; заявки принимают до 9 ноября, первые поставки ожидаются в ноябре–декабре.Rostelecom and its subsidiary RTK-COD have announced tenders for servers, storage and switches with a combined starting value of about RUB 6.9 billion. The equipment must be made in Russia or an EAEU country and be listed in the relevant registries; bids close on 9 November, with first deliveries expected in November–December.
• DevOps Сбои 9 ноября: 25 регионов, больше всего жалоб на «Ростелеком», GitHub и SteamOutages on 9 November: 25 regions, with most complaints about Rostelecom, GitHub and Steam Утром 9 ноября Downdetector фиксировал жалобы на связь из 25 регионов России. Больше всего — на «Ростелеком»: более 1,4 тыс. сообщений за сутки, чаще всего из Краснодарского края, где жаловались на интернет и цифровое ТВ. Отдельно почти 3 тыс. жалоб на GitHub и около 500 на Steam; причины не раскрываются.On the morning of 9 November, Downdetector recorded connectivity complaints from 25 Russian regions. Most were about Rostelecom: more than 1,400 reports in 24 hours, mostly from Krasnodar Krai, where users reported internet and digital TV failures. Separately, almost 3,000 complaints concerned GitHub and about 500 Steam; causes have not been disclosed.
• Запуски «Т-Технологии» предложили выкупить «Циан» с премией 29,3% — до 77,1 млрд рублейT-Technologies bids for Cian at a 29.3% premium, valuing it at up to RUB 77.1 billion Головная структура Т-Банка направила в Банк России предложение о выкупе до 100% акций «Циана» по 993,05 рубля за бумагу. При 77,67 млн акций весь «Циан» оценивается примерно в 77,1 млрд рублей, премия к рынку — 29,3%, сделка может закрыться в первом квартале 2027 года.T-Bank's parent company has filed a proposal with the Bank of Russia to buy up to 100% of Cian at RUB 993.05 per share. With 77.67 million shares outstanding, that values Cian at about RUB 77.1 billion, a 29.3% premium, with the deal potentially closing in the first quarter of 2027.