#ии — посты и обсуждения

Искусственный интеллект научился находить потенциальные уязвимости в открытом коде с пугающей скоростью. Но у автоматизации обнаружилась обратная сторона: тысячи непроверенных отчётов обрушились на мейнтейнеров open-source проектов, многие из которых поддерживают критически важное ПО в свободное время и без оплаты. В результате ИИ не столько «закрыл дыры», сколько создал новый кризис безопасности - кризис человеческого триажа.

Главный парадокс ИИ-безопасности

За семь месяцев проект Anthropic Glasswing выявил 37 966 потенциальных уязвимостей. Звучит как фантастический прорыв: модели сканируют код, находят слабые места, формируют отчёты и предлагают исправления. Однако публично раскрытыми оказались 7 349 находок - 19,4% от общего числа, а исправленными помечены лишь 217.

Иными словами, менее 0,6% всех найденных ИИ кандидатов в уязвимости дошли до статуса «исправлено». Это не означает, что почти все отчёты бесполезны: часть проблем ещё исследуется, часть признана дубликатами, часть отозвана. Но цифры показывают главное: найти кандидата - не значит защитить систему.

| Показатель Project Glasswing | Значение |

| Найдено потенциальных уязвимостей | 37 966

| Публично раскрыто | 7 349 (19,4%) |

| Исправлено | 217 |

| Дубликаты | 1 654|

| Отозванные отчёты | 419|

| Непроверенных отчётов передано мейнтейнерам | Почти 5 000 |

Почему волонтёры оказались в эпицентре

Open source держится на людях, которые часто работают без бюджета, дедлайнов корпораций и выделенной команды безопасности. Это может быть один разработчик, поддерживающий библиотеку, которую используют тысячи компаний, или небольшая группа энтузиастов, отвечающая за компонент критической инфраструктуры.

Когда ИИ генерирует сотни и тысячи отчётов, мейнтейнер должен не просто «прочитать письмо». Ему нужно:

- проверить, существует ли уязвимость в текущей версии;

- воспроизвести сценарий атаки;

- отделить реальную проблему от ложного срабатывания;

- оценить severity и реальные условия эксплуатации;

- найти корень дефекта в коде;

- написать, протестировать и выпустить патч;

- сообщить пользователям, обновить зависимости и вести коммуникацию.

Это полноценная инженерная и security-работа. А если проект популярный, один отчёт может потребовать часов анализа. Поток в тысячи отчётов превращает добровольческий труд в невыносимую нагрузку.

Anthropic открыла «быстрый канал» без проверки

В октябре 2026 года Anthropic запустила OSS Scanner - бесплатный opt-in сервис для open-source проектов. Система периодически сканирует подключённые репозитории и отправляет мейнтейнерам отчёты, сгенерированные моделью, вместе с reproducer и предложенным патчем. Ключевая деталь: эти отчёты не проходят предварительную человеческую проверку.

Anthropic объясняет решение спросом: некоторые мейнтейнеры, способные проводить триаж в промышленных масштабах, сами попросили присылать все находки, включая непроверенные. К моменту запуска OSS Scanner компания уже передала таким командам почти 5 000 сырых отчётов.

Это не «ИИ тайно заспамил разработчиков». Проекты согласились на поток. Но проблема глубже: согласие на bulk-отчёты не отменяет того, что проверка, приоритизация и исправление остаются человеческим трудом. А человеческого ресурса в open source хронически не хватает.

Найти - не значит исправить

Самая опасная иллюзия вокруг ИИ в кибербезопасности звучит так: «модель нашла уязвимость - значит, система стала безопаснее». На практике всё наоборот, если находка не верифицирована и не устранена.

Из 37 966 находок Glasswing 7 349 попали в публичный реестр. При этом 217 исправлений - это не «217 уязвимостей из 38 тысяч исправлено», а 217 исправлений среди уже раскрытых отчётов. Тем не менее разрыв между обнаружением и remediation остаётся колоссальным.

Причины понятны:

- ИИ умеет генерировать гипотезы об уязвимостях быстрее, чем люди умеют их проверять.

- Не каждая находка - эксплуатируемая уязвимость: часть может быть особенностью архитектуры, устаревшим сценарием или дубликатом.

- Патч требует тестирования, обратной совместимости и выпуска новой версии.

- Критичность зависит не только от кода, но и от того, как проект реально используют.

- Мейнтейнеры должны защищаться не только от атакующих, но и от информационного шума.

Когда ИИ становится источником шума

Проблема не ограничивается одним проектом Anthropic. Отрасль фиксирует резкий рост числа отчётов об уязвимостях, подготовленных с использованием ИИ, и рост доли отклонённых заявок в bug bounty-программах. Некоторые мейнтейнеры уже перестают принимать подобные отчёты, потому что нагрузка превышает их возможности.

Даже Linux-экосистема столкнулась с эффектом масштабирования: одинаковые ИИ-инструменты помогают разным исследователям находить и репортить одни и те же проблемы, перегружая приватные каналы координированного раскрытия уязвимостей.

Это создаёт новую атаку не на код, а на внимание защитников. Если security-команда тонет в низкокачественных отчётах, реальная критическая уязвимость может потеряться среди сотен ложных срабатываний. Для атакующего это почти идеальные условия.

Что должен содержать качественный ИИ-отчёт

ИИ может быть полезен, если отчёт не выглядит как автоматически сгенерированная простыня с общими формулировками. Хороший отчёт должен экономить время мейнтейнера, а не отнимать его.

Минимальный стандарт:

- Точная версия ПО, ветка, коммит и конфигурация.

- Понятное описание уязвимого пути: от входных данных до опасного действия.

- Воспроизводимый proof-of-concept, который не требует секретных данных.

- Чёткое объяснение влияния: что именно может получить атакующий.

- Оценка ограничений: нужны ли особые права, сеть, конкретная ОС или конфигурация.

- Предложенный патч с тестами, а не правка «на глаз».

- Проверка на дубликаты и анализ уже известных CVE.

- Уважение к политике coordinated vulnerability disclosure проекта.

Без этого ИИ-отчёт - не вклад в безопасность, а заявка на бесплатный аудит силами волонтёра.

Как open source может выжить

Решение не в том, чтобы запретить ИИ. Запретить генерацию отчётов невозможно, а сами модели действительно способны ускорить поиск дефектов. Вопрос в том, кто оплачивает стоимость проверки и как не разрушить инфраструктуру, от которой зависит весь цифровой мир.

Нужны несколько изменений одновременно:

- Фильтрация до отправки. ИИ-платформы должны проводить первичный триаж, воспроизведение и дедупликацию, прежде чем отчёт попадёт к человеку.

- Приоритизация по реальному риску. Сначала - эксплуатируемые, критичные и массово используемые уязвимости; затем - теоретические находки.

- Финансирование мейнтейнеров. Критические open-source зависимости нельзя строить на бесплатном труде нескольких человек.

- Общие стандарты отчётов. Машиночитаемый формат, обязательные поля, reproducibility, severity, affected versions и suggested fix.

- Rate limits и согласие. Проект должен сам выбирать объём, частоту и формат входящего потока.

- Бюджеты на security-триаж. Фонды, вендоры и крупные потребители open source должны вкладываться не только в сканеры, но и в людей, которые разбирают их результаты.

Главный вывод

ИИ действительно меняет кибербезопасность: он находит кандидатов в уязвимости быстрее любого человека. Но безопасность определяется не количеством найденных багов, а количеством подтверждённых, исправленных и безопасно развёрнутых дефектов.

Сегодня ИИ находит, open source разбирается. Если так продолжится, мы получим не более защищённый интернет, а выгоревших мейнтейнеров, перегруженные security-команды и критические библиотеки, которые физически не успевают закрывать поток находок. Будущее open-source безопасности зависит не от того, сколько уязвимостей найдёт модель, а от того, сможет ли индустрия построить честную систему: ИИ фильтрует шум, люди принимают решения, а компании и фонды оплачивают этот труд.

#ИИ #AI #OpenSource #Кибербезопасность #ИнформационнаяБезопасность #Уязвимости #CVE #Anthropic #Glasswing #OSSScanner #DevSecOps #AppSec #BugBounty #SoftwareSupplyChain #Киберугрозы #Инфобез #IT #БезопасностьПО #AIsecurity #VulnerabilityManagement

┌─────────────────────────────────────────────────────────────┐

│ │

│ ИИ НАХОДИТ — OPEN SOURCE РАЗБИРАЕТСЯ │

│ │

│ ┌───────────┐ ┌───────────────────────┐ │

│ │ AI MODEL │ ─────▶ │ 37 966 ОТЧЁТОВ │ │

│ │ GLASSWING│ │ ПОТЕНЦИАЛЬНЫХ БАГОВ │ │

│ └───────────┘ └──────────┬────────────┘ │

│ │ │

│ ┌──────────────▼──────────────┐ │

│ │ ПОЧТИ 5 000 БЕЗ ПРОВЕРКИ │ │

│ └──────────────┬──────────────┘ │

│ │ │

│ ┌──────────────────────────▼───────────────────────┐ │

│ │ ВОЛОНТЁР-МАЙНТЕЙНЕР │ │

│ │ │ │

│ │ [ ПОДТВЕРДИТЬ ] [ ОТКЛОНИТЬ ] [ ДУБЛИКАТ ] │ │

│ │ │ │

│ │ ИСПРАВЛЕНО: 217 из 7 349 раскрытых │ │

│ └───────────────────────────────────────────────────┘ │

│ │

└─────────────────────────────────────────────────────────────┘

Представьте:

четырнадцатилетняя девочка из Тулы за один вечер превращает статью из научного журнала в музыкальный трек о том, как работает иммунитет. Миллионы людей слушают её трек в метро, на кухне, в лифте. Никто не догадывается, что за этим треком - три часа работы с реальными научными публикациями и проверка фактов аспирантом-медиком. Звучит как фантастика? Это «Наука.Поток» - проект, который может запуститься в России уже в этом году.

Почему наука проигрывает битву за внимание молодёжи

Вот данные, которые должны насторожить каждого родителя и учителя. По данным ВЦИОМ, 74% россиян интересуются наукой. Но у молодёжи этот интерес падает: 62% среди 18–24-летних против 74% у людей старше 60. Наука не стала скучнее - она просто перестала говорить на языке молодого поколения.

При этом подростки обожают создавать контент. Исследования медиапотребления показывают: среди школьников 12–17 лет 10% уже ведут свои блоги и каналы, а ещё 22% мечтают этим заняться. То есть почти треть подростков - это потенциальные создатели, которые уже сегодня снимают, монтируют и публикуют.

Остаётся вопрос: почему они рассказывают о моде и играх, но не о науке? Ответ прост: никто не дал им инструментов, наставников и повода. Классическая популяризация науки - лекции, музеи, телепередачи - требует, чтобы подросток сам пришёл в науку. Проект «Наука.Поток» переворачивает логику: наука приходит туда, где подросток живёт, - в его ленту, в его наушники, на экраны его города.

Что такое «Наука.Поток»: идея в одном абзаце

«Наука.Поток» - это экосистема, в которой подростки 14–18 лет создают научно-популярный контент с помощью нейросетей - и учатся при этом главному навыку XXI века: отличать проверенный факт от выдумки. Лучшие работы распространяются через всю экосистему экранов страны: от смартфонов и Smart TV до экранов в метро и школьных панелей. Зритель видит научный факт - загорается - приходит создавать свой. Цикл замыкается.

Секрет проекта: конвейер достоверности

Скептики сразу спросят: а что получится, если доверить науку подросткам и нейросетям? Ведь и те и другие склонны выдумывать. Именно поэтому в основе проекта лежит конвейер из пяти шагов, где выдумка отсекается до публикации, а не после.

Шаг 1. Вопрос и тема.

Участник выбирает тему из проверенного каталога - развенчание мифов, «наука рядом» (что исследуют в вузах его города), разборы свежих открытий в ИИ, космосе, медицине.

Шаг 2. База источников.

Никакого «я где-то прочитал». Работать можно только с научными базами: eLibrary, КиберЛенинка, PubMed, arXiv, открытые данные Росстата и ВОЗ. Инструменты поиска статей встроены прямо в платформу.

Шаг 3. Фактчек эксперта.

Работу проверяет научный наставник - аспирант или молодой учёный. Нет штампа «проверено» - работа не идёт дальше. Это железное правило проекта: нейросеть оформляет форму, но сочинять факты ей запрещено.

Шаг 4. Творческая сборка.

Только теперь в дело идут генеративные нейросети: музыка, видео, цифровой арт, интерактивный комикс. Подтверждённый факт обретает форму, которая цепляет.

Шаг 5. Модерация и обратная связь.

Выборочная повторная проверка на каналах показа. Зритель заметил ошибку - работа снимается с эфира до разбора. Наука не прощает небрежности, и проект учит этому с первого дня.

Почему это работает: три причины

Первая - порог входа падает до одного вечера.

Раньше, чтобы сделать качественный научпоп, нужны были съёмочная группа и месяцы. Сегодня нейросети позволяют превратить проверенный факт в трек или ролик за один вечер. Проект не заменяет человека - он даёт ему суперсилу.

Вторая - наставники в системе, а не на сцене.

В проекте две роли: 50+ научных экспертов отвечают за достоверность каждого факта, а 200–250 студентов-модераторов ведут группы участников через двухнедельный спринт. У каждого потока - руководитель, методички, KPI и рейтинг. Студенты получают учебную практику, сертификаты и путь в штат проекта - мотивация, которая работает лучше одного энтузиазма.

Третья - распространение встроено в сам проект.

Партнёрские сети экранов Яндекс, VK и Smart TV, DOOH-экраны в метро и лифтах, интерактивные панели школ - контент не нужно «продвигать», он появляется там, где глаза у людей и так. Три правила нативности: релевантность контексту, эстетика премиального уровня и контроль у зрителя - кнопка «Не интересно» всегда под рукой.

Цифры, за которыми стоит следить

За первый год проект ставит перед собой измеримые цели: 5 000 подростков пройдут полный цикл «вопрос → источники → проверенный факт → творческий формат»; 500+ работ выйдут в свет, каждая - с научной экспертизой; 50 млн показов и 1,5 млн переходов к полному контенту. И главная метрика качества: не более 2% работ с фактическими ошибками по выборочной проверке.

Но самая важная цифра - не в отчётах. Подросток, который один раз прошёл путь «хотел написать сенсацию → собрал источники → нашёл правду → рассказал её красиво», уже никогда не будет верить первым попавшимся заголовкам. Это и есть научное мировоззрение, сформированное не лекцией, а практикой.

Соответствие Десятилетию науки и технологий

Проект создан под задачи Десятилетия науки и технологий в России (2022–2031): повышение престижа научной деятельности, привлечение талантливой молодёжи, формирование научного мировоззрения и популяризация научных знаний. «Наука.Поток» закрывает их все - и делает это в среде, где молодёжь проводит большую часть дня.

Что дальше

Проект масштабируем: после пилотного сезона - 50 регионов России, интеграция с образовательными платформами, новые типы экранов - от электромобилей до умных городов, затем экспансия в СНГ и страны БРИКС. Пилот реализуется на базе существующей инфраструктуры - «Точки роста», «Кванториумы», IT-кубы, библиотеки нового типа - без строительства чего-либо с нуля.

Наука перестанет быть скучной лекцией в тот день, когда станет жанром, в котором подростки хотят побеждать. «Наука.Поток» - этот день может быть ближе, чем кажется.

А вы бы доверили подростку с нейросетью рассказывать стране о науке?

Поделитесь мнением в комментариях - и отправьте эту статью учителю, который ищет новый формат для своих учеников.

#НаукаПоток #ДесятилетиеНаукиИТехнологий #Наука #ПопуляризацияНауки #Научпоп #Нейросети #ИИ #Подростки #Образование #НаукаМолодёжи #ЦифроваяГрамотность #КритическоеМышление #ТехнологииБудущего #Россия #НаукаРядом

«Представь, я захожу в купе, а там три известные личности, которых ты выбрал для меня. Кто там сидит, если судить по тому, что ты обо мне знаешь?

Сделай картинку этого.»

Ответ:

«Я посадил в твоё купе троих:

Боб Дилан, Дэвид Боуи и Сергей Довлатов.

Почему именно они?

Дилан — за независимость, авторскую песню, протест и убеждение, что музыка может быть гораздо больше, чем развлечением.

Боуи — за свободу художественного самовыражения, постоянные эксперименты и способность соединять совершенно разные музыкальные миры.

Довлатов — за иронию, эмигрантский опыт, любовь к Петербургу и умение сохранять внутреннюю свободу в абсурдных обстоятельствах.

Мне кажется, у вас получился бы замечательный разговор. Причём довольно быстро он перешёл бы от музыки к политике, от политики к эмиграции, а потом — к хорошим анекдотам.

И самое интересное: ты в этом купе не просто поклонник знаменитостей, а полноценный четвёртый собеседник.»

***

Забавно, что, уважая всех троих, я не являюсь прям-таки большим знатоком и фанатом их творчества. Но объяснение интересное, в любом случае!

Скопируйте промт и скиньте ваши результаты в коммент! (с картинкой)

Больше практических способов работы с ИИ смотрите в моем курсе: https://stepik.org/a/234149

#ии #обучение #бизнес

#Базарразбор

Использование нейросетей повышает прибыль преступников в 4,5 раза по сравнению с традиционными схемами, а потери от финансового фрода в мире в 2025 году составили около $442 млрд. На киберпреступных форумах обсуждения дипфейков для подделки личности выросли на 600%, а порог входа в криминальный бизнес упал до нуля: для качественной подделки документов сегодня достаточно одного грамотно составленного промпта. Разбираю, как ИИ превратил преступность в высокотехнологичный бизнес, кто заказчик и как защититься.

Что произошло: подпольные фабрики документов

На чёрном рынке уже предлагаются комплексные услуги: подпольные фабрики генерируют паспорта, водительские удостоверения и банковские выписки за секунды. Нейросети воспроизводят водяные знаки, специфические шрифты, печати и даже метаданные файла. По данным отчёта Smart Engines и INTELLECT, 28% всех подделок в 2024 году — это паспорта РФ и СНГ, а лидером остаются водительские удостоверения (50%). Количество уголовных дел по фальсификации документов выросло на 34% с 2023 по 2024 год.

Почему это важно: на кого работает схема

Главный заказчик — организованная преступность. Europol и Chainalysis фиксируют, что ИИ делает мошенничество масштабируемым, дешёвым и практически неуловимым. Преступные синдикаты используют нейросети для полной автоматизации атак: ИИ-агенты сами собирают данные о жертвах из открытых источников, генерируют персонализированные сообщения, клонируют голоса и назначают сумму выкупа. Криптовалюты позволяют проводить анонимные транзакции и избегать возмездия.

Кто страдает: три категории жертв

Частные лица. Самый жестокий сценарий — социальная инженерия через клонирование голоса: мошенникам достаточно 3–5 секунд аудио из соцсетей, чтобы создать убедительную имитацию, и позвонить родственнику с просьбой о срочном переводе. В МВД России подтверждают: преступники генерируют ролики и голосовые сообщения, копируя общение с родственниками, руководителем или представителем банка.

Бизнес и банки. Системы идентификации (KYC) и биометрической аутентификации массово обходятся: ИИ подделывает не только лицо, но и документы для открытия счетов, получения кредитов и вывода средств. В 2023 году в США адвокат Стивен Шварц представил суду документ с решениями, сгенерированными чат-ботом.

Государство и судебная система. Нейросети используются для дискредитации неугодных через компрометирующие видео, а также для фабрикации улик.

Почему это работает и что делать

Ключевой фактор — сочетание узнаваемого голоса и искусственно созданного чувства срочности: человека не дают времени остановиться и проверить информацию. Традиционные методы защиты — обучение персонала и двухфакторная аутентификация — больше не работают, если атака выглядит как живой звонок от начальника или ребёнка. Аналитики Europol отмечают: технологии мошенников развиваются быстрее правил безопасности.

Мнение: единственный рабочий метод защиты

В цифровой среде голос и видео больше не могут служить безусловным доказательством личности. Единственный рабочий метод, который сегодня рекомендуют в МВД России, — жёсткий протокол проверки: при любых нестандартных просьбах, особенно касающихся перевода денег или передачи кодов, необходимо самостоятельно перезвонить собеседнику по заранее известному, сохранённому номеру или связаться через альтернативный канал связи. Технологии дали преступникам масштаб, но базовый принцип защиты остался прежним: доверяй, но всегда проверяй по второму каналу.

Итог: ИИ перестал быть инструментом для картинок и текстов — сегодня это главный драйвер теневой экономики, и порог входа в криминал упал до нуля. Единственная защита — не доверять голосу и видео на слово и всегда перепроверять по второму каналу.

Вопрос к вам: сталкивались ли вы или ваши близкие с мошенничеством через клонирование голоса и проверяете ли вы теперь нестандартные просьбы по второму каналу?

Делитесь мнениями в комментариях!👇

⚠️ Важно: Данный материал носит исключительно информационный характер и не является индивидуальной инвестиционной рекомендацией. Все решения о покупке или продаже ценных бумаг принимаются вами самостоятельно с учётом вашего риск-профиля и финансовых возможностей. Автор и канал не несут ответственности за возможные убытки.

Ставьте 🚀, если пост был полезен.

#ИИ #нейросети #мошенничество #дипфейки #кибербезопасность #Интерпол #Europol #фишинг #криптовалюты #МВД #инвестиции #финансы

Вот это новость! Пока мы обсуждали переговоры в Абу-Даби и рост МосБиржи, в США случилось то, о чем предупреждали скептики. Спустя всего три дня после запуска единой ИИ-системы управления полетами гражданская авиация страны полностью остановилась.

Что произошло (по данным СМИ):

· 10 ноября нейросети доверили анализировать более 200 потоков данных: от погоды и маршрутов до загрузки аэропортов и работы диспетчеров.

· Итог: система не справилась. Гражданская авиация США встала. Отменены тысячи рейсов, аэропорты парализованы.

Почему это важно (и почему мы об этом говорили):

1. Иллюзия всемогущества ИИ. Мы привыкли думать, что нейросети могут всё. Но в реальном мире, где есть погодные аномалии, человеческий фактор и непредсказуемые ситуации, ИИ может просто «сломаться». Он не умеет импровизировать так, как живой диспетчер.

2. Цена ошибки. Когда ИИ ошибается в чате — это смешно. Когда ИИ ошибается в управлении полетами — это миллиардные убытки, парализованные аэропорты и тысячи людей, застрявших в терминалах.

3. Урок для всех. Мы слишком быстро пытаемся автоматизировать критически важные системы. Без резервных механизмов и дублирования людьми это игра в русскую рулетку.

Моё мнение:

Эта ситуация — идеальная иллюстрация того, о чём я говорил, когда рассуждал об ИИ-бумеранге и возвращении уволенных сотрудников. Компании пытаются сэкономить на людях, забывая, что есть задачи, где человеческий опыт и интуиция незаменимы. Авиация — не то место, где можно экспериментировать с «сырыми» алгоритмами.

Кстати, это отличный аргумент для тех, кто говорит, что ИИ заменит всех. Не заменит. Он может помочь, но брать на себя полную ответственность за жизни людей — увольте.

Для рынка это тоже сигнал: акции IT-компаний, которые обещают «полную автоматизацию», могут столкнуться с регуляторным давлением и недоверием. А вот компании, которые делают ставку на гибридные системы (человек + ИИ), могут выиграть.

А вы как считаете: после такого фиаско в США кто-то вообще захочет доверять ИИ управление чем-то серьёзным? Или это просто локальная ошибка, и через год все забудут? Делитесь в комментариях 👇

🚫 Не является индивидуальной инвестиционной рекомендацией.

#сша #авиация #ии #нейросети #коллапс #технологии #безопасность #рынки #экономика #инвестиции