Please open Telegram to view this post
VIEW IN TELEGRAM
🥰58😁35👍21👎9❤4
🚀 Сбер выложил флагманскую модель GigaChat в открытый доступ
Модель можно развернуть внутри компании, подключить к своим данным и использовать без внешних ограничений благодаря публикации репозитория.
Что важно:
- модель изначально обучена на русском и лучше справляется с локальными задачами
- по внутренним тестам обходит ряд сильных международных решений в математике и reasoning
- совместима со стандартным open source инструментарием
- подходит и для крупных компаний, и для небольших команд
Параллельно вышла облегчённая версия — GigaChat-3.1-Lightning: она показывает уровень GPT-4o на аренах, но при этом остаётся компактной и быстрой.
Попробовать обновленную модель бесплатно можно в веб-версии ГигаЧат.
Модель можно развернуть внутри компании, подключить к своим данным и использовать без внешних ограничений благодаря публикации репозитория.
Что важно:
- модель изначально обучена на русском и лучше справляется с локальными задачами
- по внутренним тестам обходит ряд сильных международных решений в математике и reasoning
- совместима со стандартным open source инструментарием
- подходит и для крупных компаний, и для небольших команд
Параллельно вышла облегчённая версия — GigaChat-3.1-Lightning: она показывает уровень GPT-4o на аренах, но при этом остаётся компактной и быстрой.
Попробовать обновленную модель бесплатно можно в веб-версии ГигаЧат.
❤19😁11👍9👏3🤔2🥰1
Forwarded from Machinelearning
🚨 Обнаружено, что релиз LiteLLM на PyPI версии 1.82.8 содержит вредоносный код.
Стандартная команда `
SSH-ключей, учётных данных AWS/GCP/Azure, Kubernetes-конфигов, git-доступов, всех API-ключей из переменных окружения, истории команд, SSL-ключей, CI/CD-секретов и паролей к базам данных.
И это не нишевая библиотека, у LiteLLM около 97 млн скачиваний в месяц.
Даже без прямой установки
Скомпрометированную версию пакета обнаружили случайно: при установке пакета у разработчика произошёл сбой из-за утечки памяти.
Без этого сбоя атака могла оставаться незамеченной долгое время .
Supply chain атаки становятся одним из самых серьёзных рисков в современной разработке.
Подход «использовать как можно больше готовых библиотек» требует некоторого переосмысления.
Andrej Karpathy: https://x.com/karpathy/status/2036488892443140551
1. Первичный разбор (issue на GitHub): https://github.com/BerriAI/litellm/issues/24512
- подробное техническое описание вредоносного кода: что именно крадёт и как работает
2. Официальный issue от BerriAI: https://github.com/BerriAI/litellm/issues/24518
— реакция команды и обновления по ситуации
3. Блог FutureSearch (обнаружили атаку): https://futuresearch.ai/blog/litellm-pypi-supply-chain-attack/
• как баг с fork bomb в вредоносном коде уронил машину и помог выявить атаку
4. Полный таймлайн TeamPCP от ramimac: https://ramimac.me/teampcp/
— вся цепочка атаки: Trivy → Checkmarx → litellm, с точными временными метками и IOC
5. Тред на Hacker News (основной): https://news.ycombinator.com/item?id=47501729
- обсуждение в реальном времени, включая ответы от Krrish (maintainer litellm)
6. Разбор от GitGuardian:
https://blog.gitguardian.com/trivys-march-supply-chain-attack-shows-where-secret-exposure-hurts-most/
- анализ того, как утечка CI/CD-секретов запустила всю цепочку атаки
@ai_machinelearning_big_data
#llm #ml #cybersecurity
Стандартная команда `
pip install litellm` могла привести к утечке:SSH-ключей, учётных данных AWS/GCP/Azure, Kubernetes-конфигов, git-доступов, всех API-ключей из переменных окружения, истории команд, SSL-ключей, CI/CD-секретов и паролей к базам данных.
И это не нишевая библиотека, у LiteLLM около 97 млн скачиваний в месяц.
Даже без прямой установки
litellm вредоносный код мог попасть к пользователям через другие пакеты (например, `dspy`).Скомпрометированную версию пакета обнаружили случайно: при установке пакета у разработчика произошёл сбой из-за утечки памяти.
Без этого сбоя атака могла оставаться незамеченной долгое время .
Supply chain атаки становятся одним из самых серьёзных рисков в современной разработке.
Подход «использовать как можно больше готовых библиотек» требует некоторого переосмысления.
Andrej Karpathy: https://x.com/karpathy/status/2036488892443140551
1. Первичный разбор (issue на GitHub): https://github.com/BerriAI/litellm/issues/24512
- подробное техническое описание вредоносного кода: что именно крадёт и как работает
2. Официальный issue от BerriAI: https://github.com/BerriAI/litellm/issues/24518
— реакция команды и обновления по ситуации
3. Блог FutureSearch (обнаружили атаку): https://futuresearch.ai/blog/litellm-pypi-supply-chain-attack/
• как баг с fork bomb в вредоносном коде уронил машину и помог выявить атаку
4. Полный таймлайн TeamPCP от ramimac: https://ramimac.me/teampcp/
— вся цепочка атаки: Trivy → Checkmarx → litellm, с точными временными метками и IOC
5. Тред на Hacker News (основной): https://news.ycombinator.com/item?id=47501729
- обсуждение в реальном времени, включая ответы от Krrish (maintainer litellm)
6. Разбор от GitGuardian:
https://blog.gitguardian.com/trivys-march-supply-chain-attack-shows-where-secret-exposure-hurts-most/
- анализ того, как утечка CI/CD-секретов запустила всю цепочку атаки
@ai_machinelearning_big_data
#llm #ml #cybersecurity
👍11🔥7😁6❤5
🧠 WiFi DensePose: Умная оценка позы без камер
WiFi DensePose — это система оценки позы человека, использующая данные о состоянии канала WiFi для обеспечения реального времени и конфиденциальности. Она позволяет отслеживать до 10 человек одновременно, обеспечивая высокую производительность и низкую задержку.
🚀 Основные моменты:
- Безопасность: отсутствие камер, только WiFi
- Реальное время: менее 50 мс задержки
- Многофункциональность: подходит для здравоохранения, фитнеса и безопасности
- Готовность к производству: API с аутентификацией и мониторингом
- Высокая производительность: тесты показывают значительное ускорение по сравнению с Python
📌 GitHub: https://github.com/ruvnet/wifi-densepose
#python
WiFi DensePose — это система оценки позы человека, использующая данные о состоянии канала WiFi для обеспечения реального времени и конфиденциальности. Она позволяет отслеживать до 10 человек одновременно, обеспечивая высокую производительность и низкую задержку.
🚀 Основные моменты:
- Безопасность: отсутствие камер, только WiFi
- Реальное время: менее 50 мс задержки
- Многофункциональность: подходит для здравоохранения, фитнеса и безопасности
- Готовность к производству: API с аутентификацией и мониторингом
- Высокая производительность: тесты показывают значительное ускорение по сравнению с Python
📌 GitHub: https://github.com/ruvnet/wifi-densepose
#python
❤21🤔10🔥8👍4
Ускорение миграции продиктовано темпами развития квантового оборудования и коррекции ошибок. Появление систем, способных взломать современные стандарты шифрования, произойдет быстрее, чем ожидалось.
Особую тревогу вызывают атаки «сохрани сейчас, расшифруй потом» и грядущая уязвимость традиционных цифровых подписей. Google скорректировала модель угроз, сделав приоритетом защиту сервисов аутентификации до появления криптографически значимых квантовых компьютеров.
Google уже интегрирует постквантовые подписи на базе ML-DSA (одобренного NIST) в Android 17, дополняя механизмы, развернутые в Chrome и Google Cloud.
blog.google
Please open Telegram to view this post
VIEW IN TELEGRAM
👍27🔥8❤3🤔1
ИИ-проекты в облаке 🤝 мощные видеокарты
Арендуйте облачный сервер с видеокартой для инференса, обучения генеративных моделей, 3D-моделирования и рендеринга — без покупки оборудования.
В облаке Selectel появились новые видеокарты для таких ресурсоемких задач — H100, H200, RTX 6000 Pro и L4.
Решайте задачи разной сложности:
✅ фиксированные и произвольные конфигурации серверов с производительными процессорами и локальными дисками
Экономьте на инфраструктуре для ИИ до 70%:
✅ почасовая оплата, прерываемые ВМ и функция заморозки
👉 Разверните ваш проект на облачных серверах с видеокартами в Selectel: https://slc.tl/kig5n
Реклама. АО "Селектел". erid:2W5zFHCF25P
Арендуйте облачный сервер с видеокартой для инференса, обучения генеративных моделей, 3D-моделирования и рендеринга — без покупки оборудования.
В облаке Selectel появились новые видеокарты для таких ресурсоемких задач — H100, H200, RTX 6000 Pro и L4.
Решайте задачи разной сложности:
✅ фиксированные и произвольные конфигурации серверов с производительными процессорами и локальными дисками
Экономьте на инфраструктуре для ИИ до 70%:
✅ почасовая оплата, прерываемые ВМ и функция заморозки
👉 Разверните ваш проект на облачных серверах с видеокартами в Selectel: https://slc.tl/kig5n
Реклама. АО "Селектел". erid:2W5zFHCF25P
❤6👎5👍4🔥2
Если вы используете
grep только для простого поиска по файлам — вы теряете половину его возможностей.Разбор *grep by example* — это набор реальных сценариев, которые показывают, как использовать инструмент для повседневных задач разработчика и DevOps.
Что можно делать с grep
- Поиск по нескольким файлам и каталогам
- Фильтрация логов и больших текстов
- Поиск по шаблонам и регулярным выражениям
- Игнорирование регистра
- Подсветка совпадений
- Показ строк до и после совпадения
Полезные примеры
Поиск слова во всех файлах:
antonz.org/grep-by-example/
Please open Telegram to view this post
VIEW IN TELEGRAM
👍23❤6🔥3
Forwarded from Python/ django
🚨 PyPI снова взломали. Теперь под ударом пакет telnyx
Очередной удар по supply chain от TeamPCP. И это уже не единичный случай - это целая атака по экосистеме разработчиков.
Что произошло:
• Популярный Python-пакет telnyx на PyPI был скомпрометирован
• Вредоносный код внедрили прямо в официальные версии
• Payload срабатывает при обычном
Что делает malware:
• крадёт SSH-ключи, токены, .env, криптокошельки
• шифрует и отправляет данные на сервер злоумышленников
• закрепляется в системе (persistency)
• может распространяться дальше по инфраструктуре
Это не просто вредоносный пакет - это полноценаая атака:
1. Сначала взломали Trivy (инструмент безопасности)
2. Через него украли токены CI/CD
3. Затем заразили npm (CanisterWorm)
4. Потом PyPI (LiteLLM, telnyx и др.)
👉 Один заражённый пакет = полный доступ к инфраструктуре
Теперь правило №1:
• фиксируй версии (pin dependencies)
• проверяй хэши
• не доверяй последним релизам вслепую
Это уже не баги.
Это война за supply chain.
https://www.aikido.dev/blog/telnyx-pypi-compromised-teampcp-canisterworm
🐍 Python полезные ресурсы 🚀Max
@pythonl
Очередной удар по supply chain от TeamPCP. И это уже не единичный случай - это целая атака по экосистеме разработчиков.
Что произошло:
• Популярный Python-пакет telnyx на PyPI был скомпрометирован
• Вредоносный код внедрили прямо в официальные версии
• Payload срабатывает при обычном
import — без действий пользователя Что делает malware:
• крадёт SSH-ключи, токены, .env, криптокошельки
• шифрует и отправляет данные на сервер злоумышленников
• закрепляется в системе (persistency)
• может распространяться дальше по инфраструктуре
Это не просто вредоносный пакет - это полноценаая атака:
1. Сначала взломали Trivy (инструмент безопасности)
2. Через него украли токены CI/CD
3. Затем заразили npm (CanisterWorm)
4. Потом PyPI (LiteLLM, telnyx и др.)
👉 Один заражённый пакет = полный доступ к инфраструктуре
Теперь правило №1:
• фиксируй версии (pin dependencies)
• проверяй хэши
• не доверяй последним релизам вслепую
Это уже не баги.
Это война за supply chain.
https://www.aikido.dev/blog/telnyx-pypi-compromised-teampcp-canisterworm
🐍 Python полезные ресурсы 🚀Max
@pythonl
👍18❤10🔥7
ИИ начал находить настоящие баги в ядре Linux. И никто не понимает, почему именно сейчас
Грег Кроа-Хартман, один из ключевых мейнтейнеров ядра Linux, заявил что ситуация с AI-сгенерированными баг-репортами кардинально изменилась.
Ещё недавно это был поток мусора - теперь это реальные баги с рабочими патчами.
Его слова: «Что-то произошло месяц назад, и мир переключился.
Теперь к нам приходят настоящие отчёты». И это не только Linux - по его словам, все крупные open source проекты видят то же самое. Команды безопасности общаются между собой неформально, и картина везде одинаковая.
Никто не понимает, что именно изменилось. Кроа-Хартман говорит прямо: «Мы не знаем. Никто не знает почему. То ли инструменты стали сильно лучше, то ли люди просто начали пробовать. Похоже, что это много разных групп и компаний одновременно».
Ядро Linux справляется - команда большая и распределённая.
Баги мелкие, не критические, но поток реальный и не замедляется.
А вот для маленьких open source проектов это проблема. У них просто нет людей, чтобы обработать внезапный наплыв качественных AI-репортов.
Раньше страдали от мусорных репортов, теперь страдают от настоящих.
По сути мы наблюдаем момент, когда AI-инструменты для поиска уязвимостей перешли из категории «игрушка» в категорию «инфраструктура». И open source к этому не готов.
theregister.com/2026/03/26/greg_kroahhartman_ai_kernel/
🐍 Linux полезные ресурсы 🚀Max
@linuxkalii
Грег Кроа-Хартман, один из ключевых мейнтейнеров ядра Linux, заявил что ситуация с AI-сгенерированными баг-репортами кардинально изменилась.
Ещё недавно это был поток мусора - теперь это реальные баги с рабочими патчами.
Его слова: «Что-то произошло месяц назад, и мир переключился.
Теперь к нам приходят настоящие отчёты». И это не только Linux - по его словам, все крупные open source проекты видят то же самое. Команды безопасности общаются между собой неформально, и картина везде одинаковая.
Никто не понимает, что именно изменилось. Кроа-Хартман говорит прямо: «Мы не знаем. Никто не знает почему. То ли инструменты стали сильно лучше, то ли люди просто начали пробовать. Похоже, что это много разных групп и компаний одновременно».
Ядро Linux справляется - команда большая и распределённая.
Баги мелкие, не критические, но поток реальный и не замедляется.
А вот для маленьких open source проектов это проблема. У них просто нет людей, чтобы обработать внезапный наплыв качественных AI-репортов.
Раньше страдали от мусорных репортов, теперь страдают от настоящих.
По сути мы наблюдаем момент, когда AI-инструменты для поиска уязвимостей перешли из категории «игрушка» в категорию «инфраструктура». И open source к этому не готов.
theregister.com/2026/03/26/greg_kroahhartman_ai_kernel/
🐍 Linux полезные ресурсы 🚀Max
@linuxkalii
👍43🔥11❤9😁7😢3
Уязвимость проявляется через зависимости: в одном из кейсов пакет подтянулся через googleworkspace/cli, использовавшийся для работы с Gmail и Google Calendar. При этом установленная версия оказалась безопасной — 1.13.5. Однако зависимость не была зафиксирована (unpinned), и при установке в другое время могла подтянуться уже заражённая версия.
Это ключевая проблема всей экосистемы: если версии не закреплены, сборка может в любой момент «подхватить» компрометированный релиз.
Частично защититься можно локальными мерами — например:
ограничивать минимальный «возраст» релизов, использовать контейнеры, проверять зависимости.
Но системно проблему должны решать сами пакетные менеджеры (pip, npm и др.), меняя дефолтное поведение. Иначе одна заражённая версия, даже если её быстро находят и удаляют, успевает разойтись по тысячам проектов через незакреплённые зависимости.
Подробный разбор:
https://stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan
Please open Telegram to view this post
VIEW IN TELEGRAM
👍19❤18🤔4🔥3🤯1
✔️ Anthropic устроила массовую зачистку GitHub: удалено 8100 репозиториев с Claude Code
Компания направила GitHub жалобу в рамках DMCA, потребовав заблокировать доступ к утекшему коду Claude Code.
Платформа полностью удовлетворила запрос и зачистила репозитории с нелегальным контентом.
Под блокировку попал родительский репозиторий nirholas/claude-code и все его форки - в общей сложности 8100 проектов.
Представитель Anthropic заявил, что содержимое этих репозиториев целиком нарушает авторские права компании.
https://github.com/github/dmca/blob/master/2026/03/2026-03-31-anthropic.md
Компания направила GitHub жалобу в рамках DMCA, потребовав заблокировать доступ к утекшему коду Claude Code.
Платформа полностью удовлетворила запрос и зачистила репозитории с нелегальным контентом.
Под блокировку попал родительский репозиторий nirholas/claude-code и все его форки - в общей сложности 8100 проектов.
Представитель Anthropic заявил, что содержимое этих репозиториев целиком нарушает авторские права компании.
https://github.com/github/dmca/blob/master/2026/03/2026-03-31-anthropic.md
😁49😱17❤9👎5👍3
🛰️ Shadowbroker: Реальное геопространственное разведывательное решение
Shadowbroker — это платформа для анализа открытых источников, которая в реальном времени агрегирует данные о глобальных событиях, таких как авиаперелеты, морское движение, спутники и конфликты. Идеально подходит для аналитиков и исследователей, желающих получить целостный обзор мировых событий на едином интерфейсе.
🚀Основные моменты:
- Отслеживание частных и коммерческих авиарейсов
- Мониторинг морского трафика и военных кораблей
- Геолокация спутников и анализ их миссий
- Информация о глобальных конфликтах и событиях
- Доступ к CCTV и сигналам GPS в реальном времени
📌 GitHub: https://github.com/BigBodyCobain/Shadowbroker
#javascript
Shadowbroker — это платформа для анализа открытых источников, которая в реальном времени агрегирует данные о глобальных событиях, таких как авиаперелеты, морское движение, спутники и конфликты. Идеально подходит для аналитиков и исследователей, желающих получить целостный обзор мировых событий на едином интерфейсе.
🚀Основные моменты:
- Отслеживание частных и коммерческих авиарейсов
- Мониторинг морского трафика и военных кораблей
- Геолокация спутников и анализ их миссий
- Информация о глобальных конфликтах и событиях
- Доступ к CCTV и сигналам GPS в реальном времени
📌 GitHub: https://github.com/BigBodyCobain/Shadowbroker
#javascript
👍27❤9🔥6🤯2
🚨 Дуров: блокировки не работают, они только усиливают Telegram
В России попытались ограничить Telegram - итог обратный:
- 65 млн человек продолжают пользоваться им через VPN
- более 50 млн отправляют сообщения каждый день
Он приводит пример Ирана: там тоже пытались заблокировать мессенджер, но получили только массовый переход на VPN вместо контроля
По его словам, Россию ждёт тот же сценарий
Команда Telegram уже готовится отвечать на давление и будет усложнять обнаружение и блокировку трафика
https://t.me/durov/477
В России попытались ограничить Telegram - итог обратный:
- 65 млн человек продолжают пользоваться им через VPN
- более 50 млн отправляют сообщения каждый день
Он приводит пример Ирана: там тоже пытались заблокировать мессенджер, но получили только массовый переход на VPN вместо контроля
По его словам, Россию ждёт тот же сценарий
Команда Telegram уже готовится отвечать на давление и будет усложнять обнаружение и блокировку трафика
https://t.me/durov/477
🔥110❤29👍29👎7🤬2
Проект предназначен для специалистов по информационной безопасности, исследователей и энтузиастов, которым нужен мощный и гибкий инструмент для проведения тестов на проникновение.
Чем полезен:
- анализирует инфраструктуру и веб-сервисы
- ищет уязвимости
- запускает инструменты пентеста
- интерпретирует результаты
- планирует следующие шаги атаки
github.com/vxcontrol/pentagi
#AI #CyberSecurity #Agents #LLM #GitHub
Please open Telegram to view this post
VIEW IN TELEGRAM
❤19👍11🔥4👎1