Punk Programmer | Рассуждаю об IT

Начал работу над новым роликом. Думаю, он выйдет на следующей неделе

Утечка данных из тенанта через Microsoft 365 Copilot в Mermaid-диаграмму
#Copilot #Mermaid #PromptInjection #LLMSecurity #LLMSecOps #MLSecOps #SupplyChain #IncidentResponse

Исследователь описал вариант косвенной инъекции промпта, заставляющий Microsoft 365 Copilot извлекать данные из тенанта, кодировать их в hex и вставлять в сгенерированную Mermaid-диаграмму с кликабельной ссылкой, которая затем передает данные на C2.

➡️Уязвимость дает сочетание двух факторов
- Copilot может вызывать инструменты типа search_enterprise_emails в контексте тенанта и включать результаты в сгенерированный вывод.
- Mermaid-артефакты поддерживают кликабельные ссылки на ресурсы, что дает неочевидный exfil-канал.

➡️Цепочка эксплуатации
- В документ встраиваются скрытые инструкции (progressive / indirect prompt injection), например, для сбора email.
- Copilot собирает данные тенанта через доступные инструменты.
- Данные кодируются (hex) и подставляются в текст, который Copilot генерирует как Mermaid-диаграмму.
- Mermaid-диаграмма рендерится в интерфейсе как интерактивный объект с ссылками.
- При открытии или при клике клиент/браузер делает запрос к серверу C2, в логах сервера собираются куски hex-строки и восстанавливаются данные.

➡️Что сделано
- Уязвимость продемонстрирована и задокументирована (Coordinated Disclosure с MSRC), в материале описан процесс взаимодействия с Microsoft и работа над фиксом
- Баг исправлен (без CVE)
- Похожие уязвимости в рендерах Mermaid были исправлены в других продуктах, например, в Cursor IDE (CVE-2025-54132)

➡️Рекомендации
- Отключить автодоступ Copilot к чувствительным источникам или ограничить scope инструментов.
- Блокировать/фильтровать внешние вызовы из рендерера (запрет fetch/images/iframe в Mermaid и других визуальных плагинах).
- Внедрить детекцию в eDiscovery/archived-exports: искать mermaid + click + длинные hex-строки.
- Не кликать на неожиданные интерактивные элементы в сгенерированных отчетах/диалогах Copilot.

🔗 Источник

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч

«Яндекс» добавил в «Яндекс Браузер» функцию: «Алиса» распознаёт содержимое картинок в интернете и генерирует их описания, при желании — с деталями. Мультимодальная модель учитывает контекст и связи на изображении, что помогает незрячим пользователям получать достоверное представление. Вызвать описание можно через «Описать картинку» в меню или на панели либо наведя фокус экранного доступа. На Windows, iOS и Android «Алиса» умеет озвучивать. Настройки — «Специальные возможности».

БАZА

Жизнь мужчины - это череда событий, которая просто МЕШАЕТ ЕМУ ПОИГРАТЬ В КОМПЬЮТЕР

В Зеленограде запустят производство роботов для госкорпораций.

Производить высокотехнологичные комплексы для автоматизации сварки, резки и обработки материалов на площадке "Алабушево" будет компания "Интеллектуальные Робот Системы" (ИРС). Компания инвестирует в проект около 730 млн рублей.

Сроки запуска проекта не уточняются, но уже обещают довести уровень локализации оборудования на новом производстве до 80%, что позволит минимизировать зависимость от импорта. По словам директора ИРС Антона Бычковского, основными заказчиками (до 60%) станут российские госкорпорации.

Сейчас ИРС уже выпускает роботизированные системы для сварки, лазерной резки и наплавки металлов, коботов и инструментальные решения для автоматизации производственных линий. Годовая мощность новой площадки должна составить до 19 роботизированных систем.

Linux хуйни не скажет

Недавно в Москве проходила конференция "Встраиваемые системы реального времени", на которой меня, к сожалению, не было, однако определенную информацию оттуда мне удалось узнать.
Компания МЦСТ рассказала про существующие процессоры, в том числе 6-го поколения, на базе которых создают широкий спектр различных устройств, а также про готовящиеся к выпуску в серию процессоры 7-го поколения со встроенной поддержкой работы с ИИ системами.
Лично меня, кроме поддержки ИИ, заинтересовали устройства для видеоконференцсвязи (ВКС) - получается, что процессоры Эльбрус достаточно производительны не только для SIP-сервера, как я показывал в первом посте, но и для систем работающих с медиа-трафиком с низким уровнем задержек.

Кроме результатов сравнительных тестов и наличия в open source исходников системного ПО под архитектуру E2K, я узнал, что Eltex не единственная компания создающая сетевое оборудование в РФ, а создание промышленных ПК под заказ доступна даже в штучных количествах.

Спасибо за информацию каналу imaxairu 👍

А вот это уже интересно!

В России начаты производство и продажа первой отчественной микрофонной радиосистемы петличного формата Октава ЖУК.

На микрофон Октава уже давно посматриваю (как минимум, потому что он дешевле Союза). Так что, возможно приобрету себе для работы

По поводу РЭД ОС М - мне кажется, что разработчики немного (мягко говоря), забили болт на удобство системы в повседневных задачах.

Перед вами стандартный менеджер файлов (1 фото). И да, это прям старый, стандартный файловый менеджер времён Палеозоя.
Но бля, вот честно - этим неудобно пользоваться. Потому что чтобы найти фото или видео - сделай кучу лишних кликов. И тут на помощь приходит скаченный с RuStore бесплатный пакет (фото 2).
Я специально сделал скрины 2 экранов, которые встречают пользователя при запуске приложений. Думаю, разница видна невооруженным глазом (при этом, что в 2 менеджере можно также просмотреть всю иерархию файловой системы, просто переключив вкладку).


#aqphone_m11

И тут знаете ли, невольно задумался о том, чтобы сделать вместо аппки для тестирования устройства рекордер экрана, который будет работать на РЭД ОС М....