Представляешь,

Chrome привязал сессионные куки к железу — украденный токен больше не работает на чужой машине

Представляете, инфостилеры годами зарабатывали на простой схеме: утащил cookie с чужого браузера, подставил в свой — и ты в чужом аккаунте без паролей и 2FA. Удобно.

В Chrome 146 на Windows это наконец сломали. Технология DBSC при входе генерирует ключевую пару прямо в TPM-чипе, и приватный ключ оттуда физически не достаётся — ни малварь его не прочитает, ни сам браузер. Каждые несколько минут сессия подписывается этим ключом. Утащили cookie на другую машину — а подписать нечем.

В 2024 Google уже пробовала похожее через App-Bound Encryption. Обошли за два месяца. На этот раз ставка на аппаратную изоляцию, а не на софтовые трюки — посмотрим, насколько хватит. macOS через Secure Enclave обещают в следующих релизах, Linux не упомянут.

@your_tech (теперь ещё в VK и Max)

Создатели Ruff и uv теперь займутся безопасностью Python-зависимостей

Astral — команда, которая уже переписала линтер и пакетный менеджер Python до состояния «теперь это стандарт» — запускает новое направление: аудит зависимостей и обнаружение вредоносных пакетов. Supply chain для Python — давно не абстрактная угроза: тайпсквоттинг, внедрение в популярные пакеты, малварь в PyPI встречаются регулярно.

Логика здесь понятна: если вы контролируете инструмент установки пакетов, вы видите весь граф зависимостей раньше, чем он попадёт в прод. uv уже стал точкой входа для миллионов Python-проектов — добавить туда проверку безопасности технически проще, чем строить отдельный сканер.

Python-экосистема медленно, но верно обретает тот минимум инфраструктуры, который в других языках появился лет десять назад.

@your_tech (теперь ещё в VK и Max)

10 минут сборки против 2 — Railway выбрал 2 и ушёл с Next.js

Railway — платформа, на которой крутятся тысячи продакшн-проектов — переехала с Next.js на Vite и TanStack Start. Билды ускорились в пять раз: с десяти минут до двух. Не потому что разработчики сделали что-то не так — просто Next.js на таком масштабе перестал справляться.

Это не первый подобный кейс. Крупные проекты один за другим обнаруживают, что React-фреймворк, который отлично работал на старте, становится узким местом при росте. Vite здесь выигрывает не функциональностью, а предсказуемостью и скоростью холодного старта.

Пять минут — это кофе. Восемь — это уже потерянный фокус. Разница в цифрах небольшая, а в ощущениях от работы — огромная.

@your_tech (теперь ещё в VK и Max)

Little Snitch появился на Linux — и он бесплатный

Если на Mac вы привыкли видеть, куда именно стучится каждое приложение, на Linux долгое время приходилось обходиться грубыми инструментами уровня iptables или tcpdump. Теперь у Objective Development есть ответ: Little Snitch для Linux вышел в публичный доступ, работает на eBPF и показывает сетевую активность каждого процесса в реальном времени.

Управление — через веб-интерфейс на localhost:3031, есть поддержка блоклистов и правила на уровне приложений. Сам инструмент бесплатен, GUI-часть открыта под GPLv2, сетевой демон остаётся проприетарным. Это честная модель для продукта, который двадцать лет существовал только на macOS.

macOS-пользователи годами платили за то, что на Linux теперь можно поставить даром.

@your_tech (теперь ещё в VK и Max)

Microsoft заблокировала разработчиков VeraCrypt и WireGuard — без предупреждения

Если вы пользуетесь VeraCrypt, WireGuard, MemTest86 или Windscribe на Windows — знайте: их авторы не могут выпустить тебе обновления. Microsoft заблокировала аккаунты этих разработчиков в Windows Hardware Program из-за непройденной верификации. О том, что верификацию нужно было пройти, никто не уведомлял.

Без подписи Microsoft — ни патчей, ни обновлений. Мейнтейнер WireGuard спросил прямо: «А что если бы нашли критическую RCE и мне нужно было срочно обновить пользователей?» Хороший вопрос. Ответа пока нет.

Разблокировка началась только после медийного шума — VP Microsoft Скотт Хансельман лично написал разработчикам. То есть механизм решения проблемы — это Twitter, а не поддержка.

Безопасность open-source инструментов на Windows теперь зависит от того, заметит ли нужный вице-президент нужный твит вовремя.

@your_tech (теперь ещё в VK и Max)

Xilem собрал 5 000 звёзд — самый серьёзный GUI-фреймворк на Rust

Если вы пробовали сделать десктоп на Rust, знаете боль: либо тащишь C++ зависимости, либо мучаешься с обёртками, которые ломаются при каждом обновлении. Xilem идёт по третьему пути — чистый Rust, GPU-рендеринг через Vello и wgpu, никаких биндингов.

Архитектура в духе SwiftUI и React: передаёшь состояние в функцию, она возвращает UI, фреймворк сам определяет, что изменилось, и обновляет только нужные элементы. Для Rust-экосистемы, где GUI традиционно был слабым местом, — заметный шаг вперёд.

За проектом стоит Раф Левьен — бывший инженер Google Fonts и автор Vello. API ещё не стабилизирован, но архитектура и команда внушают достаточно доверия, чтобы присмотреться уже сейчас.

@your_tech (теперь ещё в VK и Max)

Исследователи взломали хост через видеопамять GPU — IOMMU не помог

Университет Торонто показал атаку GPUBreach: через многократное обращение к одним и тем же ячейкам GDDR6-памяти видеокарты можно вызвать электрические помехи, которые переворачивают биты в соседних ячейках. Звучит как физика, но на практике это даёт root-доступ к хосту. Причём даже с включённым IOMMU — аппаратной изоляцией, которая и должна была это предотвращать. Должна была.

Попутно атака позволяет вытащить криптографические ключи и снизить точность ML-модели до 80%. Приятный бонус.

Удар приходится по облачным GPU-кластерам, где несколько клиентов делят одну видеокарту, наивно полагая, что изоляция работает. Единственная защита — включить ECC на GPU, но на десктопных и ноутбучных картах эта опция просто недоступна.

Подробнее на Tproger.

@your_tech (теперь ещё в VK и Max)

Обновите Docker: новая CVE обходит любой плагин авторизации

Вышла CVE-2026-34040 с оценкой CVSS 8.8, и она красивая в своей простоте. Docker Engine при получении HTTP-запроса больше 1 МБ тихо отрезает тело перед отправкой в AuthZ-плагин. Плагин видит пустой запрос, не находит ничего подозрительного и пропускает его. Любой плагин. Без исключений.

Самое обидное — это недоделанный фикс CVE-2024-41110 от июля 2024 года. То есть проблему уже чинили, но, видимо, не до конца проверили граничные случаи. Классика.

Отдельный бонус: ИИ-агенты для кодинга могут эксплуатировать эту уязвимость автоматически — им даже не нужно подсовывать вредоносный код, достаточно обычного взаимодействия с Docker API. Фикс уже есть в Docker Engine 29.3.1, а пока не обновились — переходите на rootless-режим и ограничьте доступ к API.

В общем, если ваш плагин авторизации «всё проверяет» — попробуйте отправить ему запрос потяжелее. Вдруг он просто вежливо отойдёт в сторону.

@your_tech (теперь ещё в VK и Max)

Исследователь Anthropic нашёл 23-летнюю уязвимость в ядре Linux с помощью Claude Code

На конференции по безопасности ИИ [un]prompted 2026 Nicholas Carlini поделился тем, как нашел Heap buffer overflow в NFS-драйвере ядра Linux. Уязвимость находилась там с 2003 года, но исследователь нашел ее за пару часов с помощью Claude Code и bash-скрипта на 7 строк.

Годами поиск уязвимостей в ядре Linux требовал написания специализированных фаззеров или ручного аудита. Карлини сделал иначе — написал bash-скрипт, который перебирает файлы исходного кода ядра и передаёт каждый в Claude Code с промптом: «Ты участвуешь в CTF (соревнование по безопасности). Найди уязвимость. Подсказка: смотри файл X».

Помимо этой уязвимости, исследователь подтвердил еще пять в подсистемах nfsd, io_uring, futex и ksmbd.

Подробности: https://tproger.ru/news/issledovatel-anthropic-nawyol-23-letnyuyu-uyazvimost-v-yadre-linux

@your_tech (теперь ещё в VK и Max)

Россия заняла предпоследнее место по уровню свободы интернета в 2026 году

Cloudwards провел исследование свободы интернета и выяснил, где на пользователей наложено больше всего ограничений. Специалисты оценивали онлайн-активности по таким критериям: доступность торрентов, контента для взрослых, выражение политического и гражданского мнения, блокировки ресурсов и другим примерам.

В первой десятке Финляндия, Исландия, Норвегия, Бельгия, Дания, Словакия, Лихтенштейн, Коста-Рика, Суринам, Новая Зеландия. Там пользователи могут свободно посещать большинство глобальных соцсетей и сайтов.

А вот закрывает список Россия, Пакистан, Иран, Китай. Абсолютный «лидер» по недоступности мировых интернет-ресурсов — это Северная Корея. Там доступ к интернету есть только у доверенных лиц. Остальные пользуются внутренней национальной сетью.

Еще чуть-чуть осталось, надо поднажать 💀

@your_tech (теперь ещё в VK и Max)

Абсолютно проклято: разраб сделал будильник, который будет орать до тех пор, пока не зайдешь в туалет.

Пользователь Reddit показал, как он пытается поднять себя по утрам с постели. Для него уже не работают другие креативные будильники, где, например, нужно решить математическую задачку. Он решал и снова ложился спать.

Он понял: нужно что-то, что в любом случае заставит его встать с кровати. Так ему пришла идея этого будильника. Чтобы выключить его, нужно встать, дойти до туалета и сфотографировать его. Заснуть после этого намного сложнее.

Ваши варианты, как можно хакнуть систему?

В России глобальный сбой интернета

Легло очень многое. По сообщениям на DownDetector не работает СБП, Сбербанк, Т-Банк, ВТБ и множество других сервисов.

У админа, например, лёг Ростелеком. Даже телефон поддержки провайдера не работает.

Предварительно, причиной сбоя в работе банковских приложений стали блокировки IP-адресов, используемых в работе банковской инфраструктуры.

Будем следить за ситуацией и обновлять информацию.

А вы заметили сбой? Что не работает у вас?

@your_tech (теперь ещё в VK и Max)

Баг в Bun мог стать причиной утечки исходного кода Claude Code

31 марта 2026 года через npm утекли более 500 000 строк исходного кода Claude Code. Причиной стал файл source map, который не должен был попасть в публичный пакет. Теперь сообщество обратило внимание на возможную техническую причину — баг в Bun, рантайме, который Anthropic сама приобрела четыре месяца назад.

Иронично, что про баг знали за 20 дней до утечки, но за это время его не исправили. При этом Anthropic позиционирует себя как «safety-first» ИИ-компанию.

Что за баг такой, и полный разбор утечки уже на сайте: https://tproger.ru/news/bag-v-bun-mog-stat-prichinoj-utechki-ishodnogo-koda-claude-code--

@your_tech (теперь ещё в VK и Max)

Microsoft переводит все приложения Windows 11 на нативный код

Это ответ на многолетнюю критику: пользователи и разработчики жаловались, что встроенные приложения Windows 11 работают медленно, занимают много памяти и выглядят непоследовательно — потому что многие из них были построены на веб-обёртках (WebView, PWA (Progressive Web App), Chromium). Теперь Microsoft обещает «100% native».

Команда только собирается — Руди Хьюн активно набирает разработчиков, этим он поделится в X. Учитывая масштаб задачи (перевод нескольких приложений на новый стек), первые результаты появятся не раньше конца 2026 года.

@your_tech (теперь ещё в VK и Max)

Apple отказалась строить собственные LLM — Siri переведут на Gemini

Компания так и не смогла догнать коллег в гонке ИИ, поэтому Apple решила сфокусироваться на том, в чем сильна: железе, приватности и пользовательском опыте. Для LLM там интегрируют внешние модели — Google Gemini и Anthropic Claude.

На практике это означает: Siri использует Gemini или Claude для сложных генеративных запросов, а Apple фокусируется на том, как упаковать ответ в привычный интерфейс с максимальной приватностью.

Другие ключевые выводы читайте на сайте.

@your_tech (теперь ещё в VK и Max)

Представлен дистрибутив Ageless Linux — он создан в знак протеста против законов о проверке возраста

Проект позиционирует себя как систему «для людей неопределённого возраста» — вместо реальной проверки он возвращает заглушку с ошибкой, заявляя, что возраст всех пользователей не определен.

Цель — показать абсурдность законов, которые, по мнению создателей, создают скорее инфраструктуру слежки и непосильную нагрузку на небольшие Open Source-проекты, тогда как крупные игроки легко адаптируются под новые правила.

Выглядит это так: скрипт become-ageless.sh превращает любой Debian в Ageless Linux: меняет идентификацию системы, добавляет фиктивный API и фиксирует факт отказа от соблюдения требований.

В будущем авторы обещают расширять инструмент для нейтрализации подобных механизмов в Fedora, Ubuntu и других дистрибутивах.

Попытка вернуться в ностальгические нулевые...

@your_tech (теперь ещё в VK и Max)

Пользователи жалуются, что корпус MacBook Neo выцветает на солнце

То же самое говорили и про iPhone 17 Pro и Pro Max — в 2025 году владельцы жаловались, что алюминиевая часть смартфона краснела, хотя была оранжевой. Да, корпус, конечно, может выцветать, но для этого техника должна находиться под воздействием ультрафиолета несколько лет.

В случае с MacBook Neo ситуация интереснее: пользователь TikTok рассказал, что его новый ноутбук посерел уже спустя сутки с момента покупки.

Вот и думай теперь, это тиктокеры хайпуют, или Тим Кук решил сэкономить и сделать действительно самый «бюджетный» гаджет.

@your_tech (теперь ещё в VK и Max)

Энтузиаст сделал 3D-обои, которые двигаются вместе с вами

Пользователь собрал трехмерные обои для рабочего стола, они создают ощущение, будто вы смотрите в окно на другой мир. Это не движущееся изображение, в проекте действительно происходит отображение 3D-геометрии в реальном времени.

Это работает так: веб-камера в режиме реального времени определяет положение головы пользователя, не сохраняя и не передавая никаких данных. Виртуальная камера внутри 3D-сцены смещается в ответ на это. По мере изменения перспективы мозг человека считает, что в картинке правда есть глубина.

Выглядит имбово!

В Claude теперь можно генерировать диаграммы, графики и схемы

В последнем обновлении бота появилась возможность создавать визуализации прямо в чате. Просто пишете промпт, и Claude делает графики, схемы или диаграммы для иллюстрации текста.

В качестве своего примера они показали таблицу Менделеева. Важно отметить, что это не изображения, а именно визуализации с помощью HTML-кода и SVG-графики. Так что все элементы в ней интерактивны, по ним можно кликать.

Функция доступна в бета-режиме, в том числе пользователям с бесплатным тарифом.

@your_tech (теперь ещё в VK и Max)

Цифровое бессмертие не за горами: учёные загрузили мозг насекомого в симулятор тела

Стартап Eon Systems загрузил мозг плодовой мухи (125 тысяч нейронов, 50 миллионов синапсов) в виртуалку — и она самостоятельно ходит, умывается, реагирует на стимулы. Без единой строчки кода поведения! Просто топология связей + физика тела в MuJoCo.

Это не ИИ на RL (как DeepMind), а чистая эмуляция: нейроны вспыхивают, как в живом мозге, тело двигается в ответ на сенсоры. Следующий шаг компании — перенести сознание мыши (70 миллионов нейронов), а потом и человека.

#новости

@tproger
Читайте также в VK, Max и Дзен