Долго пришлось ждать, но долгожданные мои первые 3 CVE зареганы в итоге))

— authentik 26к ⭐ —
CVE-2026-94611 = GHSA-m9h4-7j9c-55x9 CVSS 8.1
CVE-2026-94609 = GHSA-h6c5-mpvq-j4jc CVSS 8.8
CVE-2026-61574 = GHSA-rv9x-92g6-9cpf CVSS 8.8

p.s. Возник вопрос почему GHSA? Потому что сейчас из РФ очень проблемно работать CNA (центры регистрации CVE), а в Гитхаб я увидел френдли путь к своим первым CVE, в чем оказался прав

Есть ещё два крита в менее популярном ПО (DocsGPT 18к ⭐):
GHSA-q463-hvr7-49m3 CVSS 9.1
GHSA-46rm-v974-c7gw CVSS 9.8

Не помню какая из них, но одна из GHSA была завышена на мой взгляд оценка критичности. Но приняли как есть

Поздравления принимаются в комментариях))

🌚 @poxek_ai / Чат канала / 📲 MAX

😄😄😄 Задачи делать надо, но Попус был высосан полностью

Но я ОЧЕНЬ поражён в хорошем смысле тем, как много лимитов сейчас даёт Anthropic. Я после отпуска буквально каждый день по 14 часов сам сидел, фул фокус вайбкодил + кучу раз оставлял задачи на ночь, и там типа Клод ещё по 8–11 часов работал подряд без остановок. Понятно, что кучу времени занимают долгие тесты, но всё равно. У OpenAI сижу на плане за 100$, но как будто можно перейти и на 20$, чтобы чисто подписку оставить. Тупо не успеваю расходовать. Я за сегодня вбухал 16%, включая Codex Security Deep Scan на GPT 6 Astra High. А остальные задачи у OpenAI делаются только в режиме Fast на моделях GPT 6.1 Sol & GPT 6 Astra, т.к. модели OpenAI стали очень медленными: у меня от 7 до 20 tps без FAST-режима. Anthropic на Opus 5.5 даёт минимум 30 tps на непрогретом кеше.

Недавно записывал подкаст с уважаемым мною человеком, и мы совместно пришли к мнению, что сейчас Opus в прайме (работает как в лучшие годы). А OpenAI стал не так привлекателен, но если у вас нет ни CVP, ни Daybreak Access, то, вероятно, OpenAI будет менее жёстким по блокировкам.

Вот мне буквально сегодня на 5 часов сняли Daybreak Access, а я хотел свой ИИ-пентестер проаппсечить. Codex Security, собственно, у меня тоже отобрали, т.к. он привязан к Daybreak Access. Я взял тот харнесс, что мне нравится под AI Appsec. Ставлю gpt-6.1-sol high и сразу получаю гардрейлом в лицо. Но в итоге, после того как я попромптил, модель спокойно отработала час и ни разу не триггернулась. Так что обойти safety-фильтры OpenAI для поиска 0day вайтбоксом точно можно. В блекбоксе тоже можно искать баги, но явно будет больше сработок, хотя из раза в раз простое убеждение или слово Continue/Продолжай помогает после 2–3 попыток. Сейчас, благо, вернули мне мой Daybreak Access)))

По z.ai тоже вот хотел сегодня поиспользовать и дать фидбек, но у них лёг коннект с их же IDE и вообще работа по API/coding plan. Я ни в opencode, ни в ZCode не смог обратиться к модели, хотя в вебе работает. Но в целом GLM 5.3 довольно хороша, а GLM 5.3 Flash — это вообще hidden gem, как по мне. По цене немного дороже DeepSeek v4.1 Flash и, естественно, медленнее (навскидку 40 tps vs 100+ tps у DS). Но есть лайфхак. Берёте подписку Z.AI Coding Plan за 18$/месяц и получаете фактически безлимитную glm-5.3-flash (*-flashX не удалось потестить, вроде как это та же модель, но гораздо быстрее). Я так много тестирую агентские сценарии за копейки, даже не считаю это.

Следующий мой инсайт за это время… узнаете в следующей серии))

У Клода на тир Red Team Access я пока не претендую, но, возможно, в будущем получится как-нибудь раздобыть))

Хотя и сейчас я встречаю гардрейл Anthropic, наверное, раз в 100 задач, что очень редко и не бесит

🌚 @poxek_ai / Чат канала / 📲 MAX