Kurgan-Telecom Ru | Информационные технологии

Исследователи Sysdig описали первую в истории полностью автономную атаку программы-вымогателя, выполненную AI-агентом без участия человека. Под катом разберем, как была построена цепочка компрометации, почему этот кейс важен для всех AI-агентов и какие меры помогут снизить риск подобных атак.

Эта идея появилась у меня давно.

Когда мы внедряли BI в крупном банке, я заметил одну вещь: больше всего внедрению радовались руководители. У них появлялись дашборды, графики, показатели, визуальная картина происходящего.

А вот люди, которые каждый день работали с данными, не всегда были в таком же восторге.

BI хорошо показывает, что что-то изменилось: появилась аномалия, просел показатель, выросло значение, изменилась динамика. Но после этого почти всегда возникает следующий вопрос: почему так произошло?

И вот тут уже приходится разбираться не с графиком, а с данными.

Причин может быть много: ошибка, поздняя загрузка, изменение записей задним числом, редкое событие, особенность расчёта. Чтобы это проверить, нужно смотреть строки, сравнивать выгрузки, пересчитывать показатели и иногда просто руками разбирать, что попало в отчёт.

У финансистов, которые занимались такими разборами, доступ к хранилищу был ограничен. Они не были техническими специалистами, и это нормально. Но при этом именно им нужно было проверять банковские показатели, сверять расчёты и понимать, что изменилось между вчерашней и сегодняшней выгрузкой.

Для таких задач пользователи всё равно часто уходили в Excel: добавляли формулы, сверяли расчёты, сравнивали текущую выгрузку с предыдущей.

Так появилась первая версия программы: она формировала отчёты в Excel и хранила на сервере историю выгрузок.

Про ARC, weak/unowned и retain cycle на русском написано столько, что добавить нечего. Про borrowing/consuming и ~Copyable (это, к слову, Swift 5.9, а не 6 - частая путаница) на английском тоже десятки разборов. И почти все они устроены одинаково: объясняют, что фича делает, на игрушечном примере с файловым дескриптором, и заканчивают выводом «так безопаснее и быстрее».

Мне захотелось зайти иначе. Я взял три «памятных» нововведения Swift 6.2, написал на них бенчмарки, прогнал на релизном тулчейне и полез в сгенерированный ассемблер. Вопрос меня занимал не «что это делает», а куда более практичный: дают ли эти фичи реальный выигрыш в цифрах - и в каких случаях оптимизатор Swift давно делает то же самое за вас, бесплатно и молча. Ответ оказался менее очевидным, чем их маркетинг.

Статью я старался написать так, чтобы её читал не только стафф. Поэтому по ходу я коротко объясняю базовые вещи - стек и кучу, ARC, copy-on-write. Если вы это и так знаете, просто пролистывайте врезки «на полях».

С ноября 2025 года я плотно начал заниматься темой ИИ. В частности, сначала было интересно собрать свой собственный арсенал для эффективного решения задач (проведение исследований, генерация отчетов, ведение медиа каналов и пр.). В январе 2026 го я устроился на новую работу и занялся плотно темой NLP -- LLM. 

Конечно же, на этом направлении, не обошлось без анализа регуляторки в области. Были проведены исследования стандартов, цепочка принятия решений по вопросам развития, регулирования ИИ в РФ. Анализ существующих институтов, образующих экосистему ИИ в стране. 

Не успел по этому поводу сформулировать материалы, хотя тоже было бы интересно обсудить. 

Сегодня я решил поделиться своими наблюдениями за новостями, которые не могут обойти стороной никого (ИИ-зация касается всех).

Июль 2026 года стал переломным для формирования государственной политики в сфере ИИ. Можно выделить два ключевых, взаимосвязанных процесса.

Пару лет назад мы масштабно столкнулись с совершенно новой технологией, которая пришла вместе с развитием агентов и LLM — MCP. Она заточена на то, чтобы дать модели интерфейс для общения с какой‑либо системой, программой или сервером.

Изначально MCP были локальными и скромными: «запусти калькулятор», «проверь календарь», «удали лишние фоточки из галереи». Но очень быстро они доросли до remote‑серверов: вставляешь в Claude адрес своего MCP, и он сразу понимает, что сервер умеет, куда подключаться и как с ним общаться. Большое спасибо за это протоколу, который в ноябре 2024 придумали в Anthropic. И как только MCP стал remote, аутентификация перестала быть опциональной. Именно про это сегодня и пойдет речь.

Ниже речь пойдет о том, как спроектировать и реализовать довольно гибкую систему авторизации для вашего проекта.

Для начала неплохо было бы зафиксировать понятия. Далее по тексту под авторизацией понимается процесс проверки прав субъекта на доступ к определенному ресурсу, в том числе на совершение определенных действий, например, по модификации ресурса.

Ресурс - любой объект, служба, данные или программный компонент, доступ к которым его владелец хочет ограничить.

Субъект или актор - конкретный пользователь или система, который хочет получить доступ к ресурсу.

После того, как мы определились с ключевыми понятиями, можно приступить к проектированию системы.

Как следует из заголовка статьи авторизация будет проходить на основе политик, а значит будет логично описать интерфейс этой самой политики, но перед этим необходимо понять, что и как политика будет принимать и какой результат возвращать.

Снаружи китайский рынок AI Security не прозрачный, у половины продуктов нет даже английского лендинга, а внутри там за последнюю пару лет выросла полноценная индустрия, которая близка по зрелости к штатовским и израильским ИБ-игрокам.

Задача защиты ИИ в Китае ровно такая же, как везде. Нужны гардрейлы, которые проверяют вход и выход модели, нужны системы мониторинга, и нужна отдельная защита агентов, которые уже не просто отвечают текстом, а ходят по инструментам, файлам и корпоративным API. Модель угроз тоже знакомая: промпт-инъекции, утечки данных и секретов, неправильное использование инструментов, отравленные скиллы агентов. При схожей задаче различие кроется в контексте: суверенный стек железа и ОС, определяемое партией понимание безопасного AI и целая экосистема продуктов, о которых мы и не слышали. Об этих отличиях и поговорим.

Еще пару лет назад треки от нейросетей напоминали забавный, но кривой аттракцион. ИИ мог выдать либо странный электронный скрежет, либо вокал, похожий на пение робота-пылесоса, застрявшего в стиральной машине. Чтобы собрать что-то вменяемое, приходилось часами шаманить с промптами.

Еще в 2023 году, после всколыхнувшего индустрию ошеломительного успеха Baldur's Gate 3, трудяги из Larian Studios занялись разработкой новой части Divinity.

О том, что известно об игре уже сейчас, почему нас ждет именно Divinity 3, а не «Балда 4», и что представляет собой фэнтези-вселенная, в которой разворачивается действие — поговорим прямо сейчас!

Может ли ИИ собрать болванку Django-проекта из одного предложения? Несколько недель экспериментов, 200+ коммитов и разбор всего, что модель ломала по дороге — и как я вынес знания за пределы модели с помощью плагина seedkit.

Автотесты падают, а разбор занимает время: нужно открыть отчёт в системе управления тестами, понять причину падения, залезть в репозиторий, найти нужный тест и решить, где ошибка: в самом тесте или в приложении. Veai умеет забирать эту рутину на себя. Агент подключается к TMS (Test Management System), читает данные о падении по ссылке и предлагает правку прямо в открытом проекте.

В статье разберём, что такое TMS в контексте Veai, как подключить Allure TestOps и Test IT, и как агент разбирает причину падения автотеста: от инфраструктуры до флаков.

MIK32 Амур (К1948ВК018) — первый российский 32-битный микроконтроллер на ядре RISC-V от АО «Микрон». Для работы с ним разработчики предлагают связку VS Code + PlatformIO. Казалось бы, всё просто — но на практике сталкиваешься с множеством неочевидных шагов, которые нигде не собраны в одном месте. В этой статье я пошагово покажу, как развернуть полноценную среду разработки для MIK32 Амур на Windows.

Всем привет, меня зовут Олег. В прошлой статье я рассказывал, как генерить автотесты из Swagger и тест-кейсов при помощи OpenAPI Generator + Cursor AI / Claude Code и как с этого всего автоматически снимать покрытие через Swagger Coverage.

В этой статье я хочу рассказать, как мы разбираем упавшие автотесты при помощи интеграции ТестОпс с Яндекс Трекером, MCP TestOps, MCP Яндекс Трекера и Cursor AI / Claude Code.

Но начнем не с AI. Сначала расскажу про сам процесс: зачем нам дефекты в TestOps, как мы руками разбираем запуск автотестов, почему без matcher-правил это быстро превращается в рутину и что именно мы потом автоматизировали.

Телеком-кейс о том, как управленческая аналитика помогла руководителям увидеть потери в процессах, сократить издержки и вернуть бизнес к положительному финансовому результату

Последние несколько лет телеком-бизнес все больше похож на белку в колесе.

Снаружи компании продолжают расти: подключают новых абонентов, запускают дополнительные услуги, модернизируют сети, делают репрайсинг и расширяют продуктовую линейку. На уровне выручки все выглядит как движение вперед. Но внутри P&L картина часто оказывается куда менее радостной.

Издержки растут быстрее выручки. Увеличивается ФОТ, сеть требует новых инвестиций, новые услуги создают новые бизнес-процессы, а каждый новый процесс почти неизбежно приносит с собой дополнительные затраты. Чем сложнее становится компания, тем больше внутри нее мест, где деньги незаметно застревают, расползаются или теряются.

Для телеком-рынка это особенно болезненно.

Закон Яровой, СОРМ-2, СОРМ-3, антифрод — для человека со стороны это просто набор отраслевых аббревиатур. Для тех, кто работает в телекоме, за каждой из них стоят новые обязательные расходы. Это не инвестиции в рост и не развитие продукта, а затраты, которые нужно нести просто для того, чтобы продолжать работать.

В итоге многие телеком-компании попадают в неприятную ловушку: абонентская база растет, выручка растет, продукты развиваются, а прибыль не появляется. Иногда компания формально становится больше, но финансово чувствует себя хуже. Рост базы, репрайсинг и выручка от новых услуг не перекрывают рост издержек.

Подготовили свежий дайджест об изменениях в регулировании вопросов защиты информации. В этот раз расскажем о проектах и инициативах, которые появились в апреле-июне 2026.

В данной статье рассмотрим функциональность Engee для построения моделей электропривода из физических блоков (не используя блоки с переменной Лапласа и математические блоки). В качестве нагрузки для инвертора выбрано параллельное включение резистора и асинхронного двигателя, асинхронный двигатель вращает маховик через понижающий редуктор, на каждом этапе проводятся измерения угловых скоростей. Исследуемую схему можно условно разбить на части: постоянное напряжение (источник постоянного напряжения), переменное напряжение (инвертор, трансформатор, асинхронный двигатель), механическое вращение (ротор двигателя, редуктор, маховик). Построение схемы начну с настройки инвертора, для его настройки не буду сразу подключать всю запланированную нагрузку, вместо этого будет использоваться чисто активная нагрузка, это ускорит процесс моделирования и сделает минимальными переходные процессы в схеме

Микроэлектромеханические системы, или сокращённо МЭМС, представляют собой удивительный гибрид, в котором на одном крошечном кристалле соединяются электронные микросхемы и крошечные движущиеся механизмы. По сути, это «умные» микромашины, способные чувствовать, измерять и даже действовать, занимая при этом площадь в несколько квадратных миллиметров. Сегодня они незаметно, но прочно вошли в нашу повседневную жизнь. О них сегодня мы и поговорим.

8 июля у PostgreSQL юбилей — ей исполняется 30 лет. В 1996 году Марк Фурнье из компании Networking Services предоставил первый внешний сервер для разработки опенсорсного проекта Postgres. До этого СУБД разрабатывали на мощностях Калифорнийского университета в Беркли .

В день рожденья PostgreSQL мы публикуем перевод статьи, которая послужила основой СУБД. Кстати, у неё тоже юбилей — 40 лет с момента выхода.

1 июля компания runZero сообщила об обнаружении семи уязвимостей в библиотеке FatFs. Это свободно распространяемое ПО, предназначенное для использования преимущественно во встраиваемых устройствах с ограниченной производительностью. По этой причине важной особенностью данной истории является не столько серьезность уязвимостей, сколько варианты их последующего устранения. В любом случае, обнаруженные проблемы на момент подготовки этой статьи остаются незакрытыми — разработчик библиотеки не отреагировал на сообщения исследователей, а те решили не задерживать публикацию, так как, по их словам, с помощью ИИ данные проблемы скоро обязательно найдет кто-нибудь еще.

FatFs зачастую интегрируется непосредственно в код проектов встраиваемых устройств и повсеместно используется там, где требуется чтение/запись с карты памяти, флешки и вообще любого съемного носителя данных. Библиотека также имеется в крупных embedded-платформах и проектах, таких как Espressif ESP-IDF, STMicroelectronics STM32Cube, Zephyr RTOS, ArduPilot, Samsung TizenRT и других. Напрямую или опосредованно она попадает в конечные устройства — будь то любительские изделия или готовые промышленные микроконтроллеры.

У кого дома стоит старый, но ещё вполне живой ПК, тот последний год точно провёл на нервах. Windows 10 с поддержки сняли, обновления безопасности для нее выпускать перестали, а возможностей для обновления не дали. Windows 11 старый компьютер не проходит по требованиям, а купить новый сейчас – тот еще квест, учитывая, сколько стоит оперативная память. И вот, когда деваться уже было некуда, Microsoft возьми да и подкинь таким людям ещё год форы.