Дневной обзор · AI-инфраструктура и кибербезопасность · 24.10.2026

Главное

PHP2Shell: ИИ ускоряет эксплуатацию уязвимостей

Команды Calif (в рамках программы OpenAI «Patch the Planet») и Wiz (Google Cloud) обнаружили две уязвимости удаленного выполнения кода в PHP (CVE-2026-109618, CVE-2026-109619), используя фронтир-модели GPT-5.6 Sol и Gemini 4 Argon. По оценкам, уязвимости затрагивают более 70% интернета, включая сайты Wikimedia Foundation, DeviantArt, BBC и японские банковские системы.

Патч был выпущен 21 октября, на день раньше запланированного срока, после случайной утечки информации пользователем petecooper на Hacker News 20 октября. Утечка содержала неверные оценки CVSS 10.0 (реальные — 9.2). AWS сообщила о попытках эксплуатации с 17 октября, до утечки, однако PHP Foundation заявляет, что успешных эксплойтов не зафиксировано. Cloudflare зафиксировал миллионы попыток эксплуатации в первые часы после публикации.

Инцидент демонстрирует сжатие времени от раскрытия уязвимости до активной эксплуатации до часов или минут. Это фундаментально меняет требования к управлению патчами для организаций, использующих PHP-инфраструктуру.

Стресс-тест финансовой модели Nvidia

Акции neocloud-компаний CoreWeave, Nebius и IREN упали более чем на 30% в октябре. Спреды кредитных дефолтных свопов (CDS) CoreWeave превысили 11%, что считается уровнем дистресса; доходность по ее облигациям 2031–2032 годов превысила 15%. Общая задолженность CoreWeave составляет около $51,6 млрд.

Nvidia имеет значительные внебалансовые обязательства: $36 млрд в соглашениях с neoclouds, гарантия на $105 млрд для дата-центра OpenAI в Огайо и $20 млрд в арендных обязательствах. По данным New Constructs, чистая приведенная стоимость внебалансовых обязательств Nvidia в 2026 финансовом году превышает $153 млрд. Акции Nvidia упали на 7,6% в октябре.

Аналитики Gartner прогнозируют, что к 2030 году 80% neocloud-компаний прекратят деятельность или будут поглощены. Ужесточение кредитных условий для neoclouds может привести к переоценке всей инфраструктуры ИИ, влияя на сроки строительства дата-центров и доступность GPU.

Kimi K3.1 Pro: открытая модель уровня frontier

Moonshot выпустила Kimi K3.1 Pro с контекстным окном в 1 млн токенов. Модель доступна через Kimi API, Kimi.ai и Kimi Work. Полные веса модели обещаны к 4 ноября 2026 года.

Цена составляет $2,00 за млн входных токенов и $10 за млн выходных — вдвое дешевле Claude Opus 5.5. На бенчмарке Terminal-Bench 4.0 модель набрала 65,7%, опередив GPT-6 Astra (58,2%) и уступая лишь Claude Opus 5.5 (66,4%). На Kimi Code Bench 3.0 Long-horizon результат составил 61,2% против 55,95% у предыдущей версии K3.

Artificial Analysis оценила Kimi в 55 баллов, что выше Claude Fable 5.1, GPT-6 Astra и Gemini 4 Argon (по 53 балла). Уровень галлюцинаций снижен с 23,4% до 8,3%. Это первая ситуация, когда модель с открытыми весами приближается к фронтир-показателям закрытых систем.

Изменение политики конфиденциальности Google

16 октября Google обновила политику конфиденциальности, удалив формулировку о том, что персонализированная реклама не показывается на основе содержимого Gmail, Drive и Photos. Новое положение допускает использование этих данных для рекламы, если пользователь подключил их к другим сервисам Google через функцию Personal Intelligence.

Personal Intelligence позволяет передавать данные из нескольких приложений в ИИ-продукты Google, включая Gemini и AI Mode. Google утверждает, что подключение полностью опционально, а чувствительная информация (раса, религия, здоровье) не используется для таргетинга. Однако Ars Technica отмечает, что при активном Personal Intelligence данные пользователя могут влиять на ответы ИИ-поиска, которые затем используются для таргетинга рекламы.

Для организаций и пользователей в ЕС и Швейцарии, использующих Google Workspace, это изменение имеет прямые последствия для соответствия требованиям к защите данных.

Кибербезопасность: патчи и инциденты

GitLab выпустила критические патчи для версий 19.4.2–19.5.1 и более ранних, исправляющие уязвимости максимального уровня (CVE-2026-110264), связанные с переполнением целых чисел при парсинге регулярных выражений. Уязвимости обнаружены шведским исследователем Johan Carlsson.

Библиотека musl libc получила патч для CVE-2026-107891 — множественных переполнений в regcomp, ведущих к отказу в обслуживании или выполнению кода. Уязвимость затрагивает встроенные системы и контейнеры.

LiteLLM подверглась второму за год компрометации через вредоносные пакеты на PyPI и Docker-образы. Wiz обнаружила в пейлоаде признаки разработки с помощью ИИ: избыточные имена переменных, защитная обработка ошибок. Атакующий получил доступ к учетным данным GitHub CLI.

eMudhra покидает бизнес глобальных SSL/TLS-сертификатов после того, как анонимный исследователь «Wayne» обнаружил слабые ключи, связанные с восемью промежуточными центрами сертификации. Слабость возникла из-за ошибки скрипта при генерации ключей 30 апреля 2025 года и просуществовала около 18 месяцев.

Регуляторные и инфраструктурные инициативы

Великобритания выделила £100 млн на создание национальной лаборатории ИИ-биобезопасности (AIBL), а также £120 млн Институту безопасности ИИ, £60 млн на «Национальный киберщит» и £70 млн на центр обнаружения уязвимостей NERV. OpenAI и Anthropic предоставят £200 млн кредитов на ИИ-модели для лаборатории.

ЕЦБ запустила второй конкурс проектов для цифрового евро, подтвердив пилот в 2027 году и запуск в 2029-м. Более 70 операторов работают с ЕЦБ над инновационными программами. Цифровой евро будет поддерживать офлайн-платежи между устройствами без интернета.

Vercel требует от вендоров Marketplace перехода на OIDC и краткосрочные токены к январю 2027 года. Опрос более 1000 SaaS-вендоров показал, что только 8,4% поддерживают безопасные методы аутентификации. К 30 ноября интеграции без соответствующей аутентификации получат метку «Небезопасно».

OKXICE столкнулся с 22 возражениями эмитентов (включая Wells Fargo, Cisco, Arm) против плана токенизированных акций. SEC предоставила пятилетнее исключение для тестирования торговли токенизированных ценных бумаг через AMM.

Наша оценка

Сочетание инцидента с PHP2Shell и запуска AWS Continuum (89% успеха в исправлении уязвимостей) показывает, что ИИ стал двусторонним инструментом: он ускоряет как обнаружение, так и эксплуатацию уязвимостей. Командам безопасности необходимо перейти от реактивного патчинга к проактивному мониторингу с использованием ИИ-агентов.

Финансовый стресс neoclouds и внебалансовые обязательства Nvidia создают риск каскадного переоценки стоимости ИИ-инфраструктуры. Если кредитные условия для neoclouds ужесточатся, это затронет сроки строительства дата-центров и доступность GPU для разработчиков ИИ.

Выпуск Kimi K3.1 Pro с открытыми весами и ценой вдвое ниже фронтир-моделей меняет экономику построения агентных пайплайнов. Архитекторам стоит оценить варианты self-hosting до 4 ноября, когда станут доступны полные веса.

Изменение политики Google по Gmail/Photos создает новый вектор риска для соответствия GDPR и других регуляторных требований в ЕС. Организациям, использующим Google Workspace, необходимо пересмотреть настройки Personal Intelligence и уведомить пользователей о новых условиях обработки данных.

Материал подготовлен автоматически системой на основе больших языковых моделей по открытым источникам, перечисленным ниже; это AI-генерированный контент, в нём возможны неточности — проверяйте факты по первоисточникам.

Источники