Обнаженный периметр

Прикольная фишечка, если впадлу регать домен и прогревать его на проектах:

Можно использовать домены, через которые спамеры рассылают всякое. Почему-то некоторые веб-приложения через функционал contact отправляют просто дублирующее сообщение того, что вы им напишите, причем даже поддерживают html разметку.

Вот пример одного из таких - дальше надо обходить спам фильтры и прочее, но вот вам бесплатный способ тестировать по сути для spear phishing. То есть я тут слал на gmail, и письмо пришло, правда, в spam, но думаю, можно докрутить до inbox, если обойти спам фильтры.

https://x.com/albinowax/status/2085780973090668604?s=46&t=_oVId5tqlqvGcXEHMqbx7Q

welcome еще пачка дсинк атак

https://portswigger.net/research/can-ai-do-novel-security-research

В твиттаке форсят такую штуку, которая позволяет запустить GLM 5.2 на 25 гигах оперативы https://github.com/JustVugg/colibri

Бенчмарки меня просто забавляют
[Performance]: native Windows 11 (MinGW) — i5-12600K / 32 GB / WD SN770 → 0.08–0.14 tok/s (first native-Windows datapoint)

Benchmark: Mac Mini M4 Pro (48 GB) — 0.30 tok/s with Metal backend (PR #72), 0.18 CPU-only

[Performance]: M5 MAX 128GB with METAL - 1.83 tok/s

На эту тему мне вспомнился анекдот

Командир демонстрирует солдатам новую нейронку.
- Вот, товарищи бойцы, это новая нейронка GLM-5.2. Петров.
- Я!
- Запусти ее на маке с 25 гигами оперативы через колибри.
Петров тужится, пыжится, не запускается.
- Не поднять.
- Сидоров, помоги Петрову.
Пытаются вдвоем, подключили стационарник на 50 гигов, та же ситуация.
- Не поднять.
- Иванов, помогай.
Пыхтят втроем, врубили уже последний макбук М5 про макс 128гб оперативы. Поднять не могут, выдает только 0,16 токенов/c. Простое сообщение hi обрабатывается 152 секунды.
- Никак не поднять, товарищ командир!
- А хули вы хотели? 744B...1,8TB на жестком диске

вот и отрубили Fable 5, недолго музыка играла. Возможно она была НАСТОЛЬКО требовательная, что сжигала все токены и бабки инвесторов. По классике во всем обвинили третью сторону - "ну вот нам запретили ее давать кому-то за пределами USA"

Долгожданный выход модели Μythos

Я посидел в твиттере, чтоб вам не пришлось и вот, что я могу сказать по текущей ситуации.

Вчера вышла модель Mythos и ее "безопасная" версия Fable 5, в которой включены guardrails для того, чтоб не взломать интернет. Что известно на текущий момент:
• Mythos доступен только узкому кругу лиц, которые входят в project Glasswing (тот самый, где нашли сотни уязвимостей в популярном ПО)
• По бенчмаркам от самих антропиков mythos в кибербезе 88% перформит лучше, чем Opus 4.8 8%
• Пользователи, которым удалось потестировать Mythos говорят, что им практически невозможно пользоваться из-за включенных guardrails
• Утек системный промпт Fable 5 (120к слов)
• Выяснилось, что модели, например, Fable 5 тайно от пользователей понижают свою эффективность в вопросах построения своих AI моделей, файн тюнинга и прочих AI developement релейтед вопросах
• Антропики в открытую сказали, что будут хранить в течение 30 дней весь пользовательский трафик к Mythos-class моделям
• Fable 5 будет доступна пользователям с pro подпиской только до 22 июня, потом будет token based billing. Это начинающийся тренд, что для использования фронтир моделей придется раскошеливаться на токены, которые сейчас сильно субсидированы инвестициями, но пора компании начинать зарабатывать, что приближает крах ИИ пузыря

Как и ожидалось, интернет не был сломан, модель очень хороша в N-day ресерчах, то есть сильно поменялась скорость доставки эскплоитов после выхода патчей, что делает патч менеджмент критически важным направлением. Если раньше все заканчивалось фразами "ну паблик эксплоита нет", то теперь у каждого человека, который не знает, что такое душ и мыться есть своя ИИ-лаба из агентов, которые быстро наклепают эксплоит.

Развернутый комментарий про mythos: https://x.com/zekramu/status/2064131568495677490?s=20
промпт для Fable 5: https://x.com/elder_plinius/status/2064478648057610422?s=20

ИИ-индустрия потратила $1,4 трлн и до сих пор не вышла в прибыль

Сайт https://isaiprofitable.com отслеживает экономику бума ИИ, чтобы понять, приносит ли она прибыль. Ответ - нет.

По состоянию на май 2026 года индустрия искусственного интеллекта потратила примерно 1,4 триллиона долларов на разработку моделей, дата-центры, чипы, networking и другую инфраструктуру ИИ. За тот же период она получила около 613 миллиардов долларов выручки.


Самые большие убытки у ведущих компаний:
Amazon: −291 млрд $
Google: −262 млрд $
Microsoft: −235 млрд $
Meta: −227 млрд $
Oracle: −39 млрд $
OpenAI: −27 млрд $
Anthropic: −26,5 млрд $
xAI: −19,2 млрд $

Прибыльной является только одна компания — Nvidia.
По данным дашборда, Nvidia получила примерно 478 млрд $ выручки от ИИ при расходах в 225 млрд $, что даёт прибыль около 253 млрд $.

Цифры собраны из публичных отчётов, отчётов о прибылях, оценок аналитиков, утечек и отраслевых публикаций.

Оценки также не учитывают косвенные выгоды от ИИ, такие как улучшение поиска, рекламы и продаж программного обеспечения.

Признаки того, что AI-пузырь начинает лопаться

Uber и Microsoft сокращают использование AI из-за взрывных затрат: Uber потратил весь годовой бюджет на AI-кодинг (Claude/Cursor) уже к апрелю. Сотрудники сжигали $500–2000 в месяц на токены. Microsoft якобы ограничивает внутреннее использование Claude из-за неконтролируемых счетов. Ссылка
CDS-спреды (стоимость страхования от дефолта) Oracle и Microsoft почти удвоились с сентября 2025 - рынок уже закладывает повышенные риски по их долгам.
AI-сектор привлёк $202 млрд венчурного капитала в 2025 (+75% к 2024).
Goldman Sachs поднял прогноз capex на 2026 с $465 млрд до $527 млрд. Это уже 0,8% ВВП США (для сравнения - в прошлых tech-бумax было до 1,5%).

Circular financing (круговое финансирование / самокредитование):
Деньги крутятся внутри одной экосистемы:
Oracle лоббирует $300 млрд на Stargate для OpenAI → Nvidia поставляет чипы → Nvidia инвестирует $100 млрд в OpenAI → CoreWeave (инвестор Nvidia) покупает чипы у Nvidia и сдаёт облако Oracle/Microsoft/Meta и т.д.

Система закредитована сама на себя. Она слишком капиталоёмкая, чтобы финансироваться только из прибыли компаний - нужны постоянные новые долги и перекрёстные инвестиции. Нет "exit optionality" - все завязаны друг на друга.

Пузырь лопнет, если:
AI застрянет на мелких улучшениях без реального роста продуктивности и без избавления от "галлюцинаций".
Тогда эффект Жевонса сломается: эффективность не будет порождать ещё больший спрос, а перестроенные мощности окажутся избыточными
Ссылка

Очередная атака на NPM пакеты 'mini' shai-hulud, все началось с TanStack а продолжилось на ряд других пакетов npm и PyPI от TanStack, UiPath, Mistral AI, OpenSearch и Guardrails AI.

У кого-то все еще есть сомнения переезжать на внутренний реестр пакетов?

вы видели рофл, что на pwn2own переполнение заявок и многие ресерчеры начинают сливать в паблик, какие вулны они нашли?)) А еще в целом время присуждения CVE и триажа сильно увеличилось, в связи с чем, челики думают что они делают responsible disclosure мол вендор в срок не ответил

антропики показали всем, как можно фаззить при помощи ллм и находить memory related уязвимости. Как только все это найдут - поток цве потихоньку начнет падать

челик просто перепутал фамилии, а я чуть не подох от смеха

Why Mythos doesn't matter (for us)

Зачем есть капусту, если есть картошка? Применение mythos, как дорогостоящей модели показало свою неэффективность перед использованием мультиагентной системы дешевых моделей и подключением такого гиганта только для ризонинга. Находить уязвимости при помощи моделей стало еще проще, но пока все упирается в фаззинг и простые эксплуатация уязвимостей с памятью.

Читать полностью:
https://www.hacktron.ai/blog/i-let-claude-opus-to-write-me-a-chrome-exploit

Как сделать мультиагентную систему для поиска 0day и заставить ее работать

Пока индустрия спорит, заменит ли ИИ программистов, корейский студент из клуба CyKor уже нашел при помощи AI целую пачку подтвержденных 0-day в Grafana, Nextcloud, Airflow и Discourse.
В чем суть метода? Вместо того чтобы скармливать код одной дорогой модели типа GPT-4, автор создал многоагентный воркфлоу, который работает как конвейер:

Читать полностью:
https://blog.cykor.kr/2026/02/How-I-Found-Open-Source-0-days-with-an-LLM-Multi-Agent-Workflow