Саймон Уиллисон экспериментирует с обходом Content Security Policy через iframe-песочницу. Идея в том, что приложение загружается в sandboxed iframe с CSP-защитой, но через кастомный fetch() перехватывает ошибки CSP и передаёт их родительскому окну. Родительское окно может предложить пользователю добавить заблокированный домен в allow-list и перезагрузить страницу.
Это не столько атака, сколько демонстрация UX-паттерна для веб-приложений, которым нужен гибкий контроль над загрузкой внешних ресурсов. Вместо того чтобы полностью блокировать скрипты или изображения с неизвестных доменов, можно дать пользователю возможность явно разрешить конкретный источник в рантайме.
Инструмент доступен на simonwillison.net/csp-allow - можно покрутить в браузере и посмотреть, как работает механика перехвата CSP-ошибок.
#SAFETY #Web #Security #Tools
Please open Telegram to view this post
VIEW IN TELEGRAM
⚡1
Генеральный директор Cloudflare Мэттью Принс заявил, что трафик ботов в интернете впервые превысил человеческий. По его словам, он не ожидал этого рубежа раньше конца 2027 года, но стремительный рост автоматизированного трафика от AI-агентов ускорил процесс. Согласно данным Cloudflare Radar, на ботов сейчас приходится 57,4% всех HTTP-запросов в мире против 42,6% от людей.
Принс отмечает, что термины «бот», «краулер» и «агент» по сути означают одно и то же - разница лишь в том, считаете ли вы их полезными или вредными. Говоря о будущем веба, он прямо заявляет: «Очевидно, что будущее - это плата за парсинг». Cloudflare уже запустила платформу, позволяющую владельцам сайтов блокировать AI-краулеры и взимать плату за доступ, но проект пока не набрал оборотов. Компания продолжает работать над протоколами и инфраструктурой для поддержки необходимых объемов.
#Cloudflare #AI #Bots #Web #Traffic
Please open Telegram to view this post
VIEW IN TELEGRAM
⚡1💯1
☁️ Cloudflare запускает маршрутизацию публичного трафика на приватные приложения
Cloudflare объявила о запуске Application Services for Private Origins в закрытой бета-версии для корпоративных клиентов. Новая функция позволяет направлять публичный трафик на приватные серверы без необходимости открывать их в интернет, использовать VPN или устанавливать агентское ПО cloudflared.
Теперь WAF, бот-менеджмент, ограничение скорости, кеширование и Workers могут работать перед приватными источниками так же, как и перед публичными. Это решает давнюю проблему: внутренние API, бэкенды AI-агентов, MCP-серверы и корпоративные инструменты оставались без современной защиты, так как их нельзя было безопасно выставить наружу.
Решение построено на существующей инфраструктуре приватных сетей Cloudflare — Tunnel, One Client, Mesh и WAN. Новая возможность интегрирует приватный сетевой слой напрямую в стек сервисов безопасности, позволяя использовать приватные IP как цели для публичных доменов. Это даёт единую точку управления маршрутизацией через API и дашборд, без необходимости поддерживать отдельные сетевые стеки для каждого продукта.
#Cloudflare #Tech #Web #Security #Infrastructure #DevOps
Cloudflare объявила о запуске Application Services for Private Origins в закрытой бета-версии для корпоративных клиентов. Новая функция позволяет направлять публичный трафик на приватные серверы без необходимости открывать их в интернет, использовать VPN или устанавливать агентское ПО cloudflared.
Теперь WAF, бот-менеджмент, ограничение скорости, кеширование и Workers могут работать перед приватными источниками так же, как и перед публичными. Это решает давнюю проблему: внутренние API, бэкенды AI-агентов, MCP-серверы и корпоративные инструменты оставались без современной защиты, так как их нельзя было безопасно выставить наружу.
Решение построено на существующей инфраструктуре приватных сетей Cloudflare — Tunnel, One Client, Mesh и WAN. Новая возможность интегрирует приватный сетевой слой напрямую в стек сервисов безопасности, позволяя использовать приватные IP как цели для публичных доменов. Это даёт единую точку управления маршрутизацией через API и дашборд, без необходимости поддерживать отдельные сетевые стеки для каждого продукта.
#Cloudflare #Tech #Web #Security #Infrastructure #DevOps
🔥1
Cloudflare провела масштабное исследование атрибута ORIGIN протокола BGP — он указывает, как маршрут был внесён в таблицу (IGP, EGP или INCOMPLETE). Согласно RFC, изменять его после установки исходной AS не рекомендуется. Однако анализ данных с публичных коллекторов RIPE RIS и RouteViews показал, что ~70% наблюдаемых путей имеют другое значение ORIGIN, отличное от установленного источником.
Так как ORIGIN учитывается на раннем этапе выбора лучшего пути (после Local Preference и длины AS_PATH), операторы массово переписывают его на IGP, чтобы привлечь больше трафика на свои линки. Это превращает маршрутизацию в гонку за доход, а соблюдение стандарта отходит на второй план. Проблема уже обсуждалась на RIPE 91 и LACNIC 45, но пока без глобального исправления — отказ от изменения ORIGIN может привести к потере трафика в пользу недобросовестных соседей.
#Cloudflare #BGP #Safety #Internet #Web #Research
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1👏1
Исследователи Apple ML Research предложили новый взгляд на UMAP — популярный метод визуализации многомерных данных. Обычно результаты сводятся к 2D-проекции, но внутренний граф k-ближайших соседей (kNN), который UMAP строит до проецирования, остаётся почти без внимания. Этот граф точно отражает структуру многообразия в исходном пространстве, без искажений, вносимых проекцией.
Авторы применили к этому графу стандартные алгоритмы теории графов: PageRank для выявления репрезентативных точек, k-ядерную декомпозицию для поиска плотных кластеров и другие методы. Результаты показывают, что такой подход даёт более глубокое понимание данных, чем просто смотр на 2D-картинку. Например, PageRank позволяет найти «типичные» объекты, а k-core выделяет устойчивые группы.
Практическая значимость – аналитики и исследователи получают дополнительный инструмент для сенсмейкинга, не требующий сложного тюнинга UMAP. Граф kNN уже построен – остаётся применить к нему классические алгоритмы.
#AI #UMAP #Science #Web #Internet #AppleML
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1👏1