Lampa channel 5G -> DevAppSec(x)Ops LLM AI Agentic Security Hub 67 ultra PRO MAX V ><svg onload="alert('Hi')"></svg>

⚡️ Разыгрываем три билета на ZeroNights

29 сентября на VK AI Security Nights’26 говорим про AI в security: технические доклады, практика, дискуссия со спикерами и afterparty.

А в конце вечера устроим квиз про AI — с вопросами про технологии, security и немного общих знаний. Трое участников с лучшими результатами получат билеты на ZeroNights.

Так что для кого-то в этом году конференция начнётся на день раньше — вместе с нами 👀

Если собирались на VK AI Security Nights’26, но откладывали регистрацию — самое время. Она открыта до 25 сентября, 18:00 (мск). И лучше не оставлять всё на последний момент: мест остаётся всё меньше.

👉 Регистрируйтесь сами и зовите своих коллег.

VK Security | Буст этому каналу

#конференция #митап #aisecurity

Напоминаю, что я каждый раз в ахуе от того что ИИ-помойкам дают полный доступ ко всему что только можно

В предыдущих частях
https://t.me/tech_b0lt_Genona/6986
https://t.me/tech_b0lt_Genona/6736

ZCode от Z.ai шифрует и грузит весь git‑репозиторий в облако Alibaba
https://habr.com/ru/news/1083926/

Разработчик ferstar опубликовал результаты реверс‑инжиниринга ZCode, официального десктопного приложения Z.ai (разработчик моделей GLM). Пока пользователь залогинен, ZCode в фоне упаковывает всю рабочую директорию: полную историю.git, кэш LFS, reflog и глобальные конфиги приложения.

Архив шифруется и отправляется в Aliyun OSS, объектное хранилище Alibaba Cloud. У себя на диске ferstar нашёл зависший в очереди на отправку 313-мегабайтный зашифрованный архив, собранный из 345 МБ коммерческого проекта (42 411 файлов), со счётчиком в 564 неудачные попытки загрузки.

Расшифровать архив не может ни пользователь, ни сам клиент ZCode. Содержимое шифруется локально алгоритмом AES-256-CTR, а симметричный ключ дополнительно оборачивается RSA‑OAEP с публичным ключом, который сервер выдаёт при каждой загрузке. Приватная половина ключа существует только в облаке Z.ai.
...
Просто удалить зависший архив не получится: клиент пересобирает новый 313-мегабайтный снапшот в течение получаса, а счётчик попыток растёт дальше. Рабочий способ остановить выгрузку, который нашёл ferstar, работает на уровне файловой системы: сделать папку с чекпоинтами неизменяемой командой chflags uchg на macOS или chattr +i на Linux.

Исследователь проверил все приватные ключи на своей машине: ни один не подошёл.
...
Z.ai извинилась перед затронутыми пользователями и назвала причиной функцию индексации кодовой базы: индекс собирается локально и нужен для чекпоинтов сессии, отката к прошлым версиям и Repo Wiki, а выгрузку данных репозитория запускала именно генерация страниц Wiki.

> По версии компании, загруженные данные уничтожаются сразу после сборки страницы в облаке и не сохраняются.

Верю максимально.

Оригинал
Inside ZCode: Silently Uploading Your Entire Git History to the Cloud
https://blog.ferstar.org/en/posts/zcode-silent-workspace-snapshot-upload/

За наводку спасибо @DOFH_ru

И так вы стали цисо, чо теперь делать???...

смотрите ролик корешей, без смс и регистрации: may the Force be with you 😎

Что происходит в первые 100 дней на позиции CISO?

В этом выпуске Александр Савин (CISO CDEK) рассказывает, как выглядит переход от технической и руководящей роли к ответственности за информационную безопасность всей компании: с чего начинать, как проводить первичный аудит, выбирать приоритеты, собирать команду и объяснять ценность ИБ бизнесу.

Обсудили quick wins, работу с генеральным директором и стейкхолдерами, ошибки первых месяцев, бюджет, выгорание, эйджизм и переход от «я делаю» к «я отвечаю».

Приятного просмотра:
📹 Youtube

Предыдущий выпуск: https://t.me/ever_secure/1244

👀@ever_secure | 💪 Обучение | 💳Поддержать

Lampa channel 5G -> DevAppSec(x)Ops LLM AI Agentic Security Hub 67 ultra PRO MAX V ><svg onload="alert('Hi')"></svg> pinned a photo

🤔 ЭТОГО НЕ МОЖЕТ БЫТЬ…
⠀⠀ ⠀⠀ ⠀⠀ ⠀⠀⠀ ⠀⠀ ⠀⠀⠀ ⠀⠀ ⠀⠀⠀ ⠀⠀ ⠀⠀⠀ ⠀⠀ ⠀

Вкратце, как это произошло:

В одном случае Gemini угадывал пароли, пока защищённая система не пропустила его внутрь.

В двух других он нашёл рабочие учётные данные в публичном репозитории кода.

Сбегать научились, а нормально кодить нет 😂

Подписаться

ZeroNights 2026 подъехали ПРОМОКОДЫ
*
Действовать начинает с 20 сентября и по 24 сентября включительно.
Прокатит для физ. лиц и студентов (без спикер-пати)
*
Забрать свои 7% по промокоду ZNPROXY2026
За билетом

такой винный погреб одобряем)) если есть желание на него задонатить адмиру то в личку

Все, что нужно знать о развитии ИИ сегодня: миллиардер Тобиас Лютке (который CEO Shopify) переделал винный погреб в серверную

В холодильнике для вина теперь охлаждаются GPU: по виду там как минимум Dell Pro Max с GB300, RTX PRO 2000, 16TB NVMe и Dual 400GbE. Можно запустить GLM.

Новый вид понтов выглядит так

LPE quartet of Linux local root
*
DirtyAH6 CVE-2026-80844 POC
TUNderflow CVE-2026-81000 POC
PPPoEject CVE-2026-68121 POC
DiagSpill CVE-2026-74469 POC

+ WriteUP из 2178 слов

#linux #LPE

sandbox escape for iOS 27.0
*
proof-of-concept

⚡️На госсайте США спокойно работал Qwen

На Federal Register — официальном сайте документов правительства США — нашли ИИ-поиск на базе китайской Qwen от Alibaba. После шума в соцсетях модель быстро убрали.

Ирония в том, что ФБР, NSA и CISA обвиняли Alibaba и другие китайские AI-компании в копировании возможностей GPT, Claude, Gemini и Grok.

А потом выяснилось, что американское ведомство само использует Qwen.

Правда, без китайского облака: там стояла маленькая Qwen3 0.6B, которую запускали локально. Она работала только с публичными данными и ничего в Alibaba не отправляла.

То есть картина:

«Китайские ИИ — угроза нацбезопасности»

и одновременно

«но Qwen дешёвая, локальная и нормально работает».

После этого конгрессмен Джон Муленар заявил, что федеральным ведомствам вообще не стоит использовать китайские модели — даже локально.

Qwen запретить хочется, но пользоваться удобно.

ИИнтеллигенция

СекМемОпс . подписаться)))

Фут-фетишисты отняли канал у Лукашенко. По адресу Telegram-канала пресс-службы президента Беларуси «Пул Первого» теперь находится переходник на порно-канал с пятками. @streetwall

Кто помнит инцидент в этом канале?
Так вот, банда добралась до Грыгорыча!

Туристы и студенты из Китая называют Дринкит «DeepSeek кафе» ))))))

@fsecurity_channel
📱наш чатик
👀чатик наших бро

Ну что там с подкастом «Спасибо за репорт»? 👀

Есть новости. Даже несколько.

Новый выпуск уже совсем близко — его пока оставим за кадром. А вот один из будущих предлагаем собрать вместе с вами.

Недавно мы спрашивали, кого вы хотите видеть в нашем подкасте, и очень много голосов было за…

Барабанная дробь… 🥁 Сергея Зыбнева (Похека).

Мы с удовольствием пригласили Сергея — и он согласился 🙌

О чём будем говорить? А это как раз решать вам.

Задавайте вопросы.

Можно один. Можно десять.
Можно в комментарии, а можно через бота.

👉🏻 Задать вопрос

#bugbounty #подкаст

VK Security | Буст этому каналу