Государственные инициативы.
- Выделены частоты для развития перспективных отечественных систем связи «спутник-смартфон». Государственная комиссия по радиочастотам (ГКРЧ) выделила полосы частот российским космическим компаниям «Бюро 1440» и «Спутникс», которые развивают собственные низкоорбитальные спутниковые группировки, сообщает Минцифры. Частоты выделены для создания: спутникового сегмента гибридной системы связи, которая позволит обычным пользовательским устройствам (смартфонам, планшетам, датчикам интернета вещей) напрямую подключаться к космическим аппаратам (технология «спутник-смартфон» — Direct-to-Device, D2D); комплекса оборудования для космических и земных станций персональной спутниковой связи. Частоты выделены для проведения опытных и конструкторских работ, пока без права на коммерческое использование. Какие полосы радиочастот выделены: ООО «Бюро 1440»: 2483,5–2500 МГц (космос—Земля); 1610–1626,5 МГц (Земля—космос). ООО «Спутникс»: 10700–12725 МГц (космос—Земля);14000–14495 МГц (Земля—космос); 17300–18100 МГц (Земля—космос, космос—Земля); 18100–18600 МГц, 18800-20200 МГц (космос—Земля); 27500–30000 МГц (Земля—космос); 1610–1621 МГц (Земля—космос); 2483,8–2494,8 МГц (космос—Земля). Выделенные полосы радиочастот могут использоваться до 31 марта 2029 года при условии соблюдения всех установленных требований. Основные условия использования: приоритет отечественного оборудования: применение радиоэлектронных средств, отвечающих критериям подтверждения производства российской промышленной продукции; электромагнитная совместимость обеих спутниковых сетей друг с другом, а также с военными и гражданскими системами; исключение помех для систем и средств, используемых для нужд безопасности государства; ежегодная отчётность: компании обязаны предоставлять отчёты о выполненных работах до 31 марта каждого года. Как поясняет Минцифры, Direct-to-Device — перспективная технология, которая позволит обеспечить спутниковую связь для абонентов мобильных и стационарных сетей в районах вне зоны покрытия наземных базовых станций. D2D также повышает устойчивость сетей, что важно в случаях аварий или чрезвычайных происшествий. Устройства «спутник-смартфон», например, являются частью сервиса спутникового Интернета Starlink.
- Разработан проект правил распространения официальной статистической информации. Минэкономразвития опубликовало для общественного обсуждения проект постановления правительства о порядке распространения официальной статистической информации субъектами официального статистического учёта на официальном сайте ГИС «Цифровая аналитическая платформа предоставления статистических данных». Напомним, «Цифровая аналитическая платформа предоставления статистических данных» (ГИС ЦАП, оператор – Росстат) должна объединить разрозненные статистические системы и стать одним из компонентов национальной системы управления данными (НСУД). Согласно стратегии развития системы государственной статистики и Росстата до 2030 года, 100% статистических показателей должны предоставляться в электронном виде с помощью ГИС ЦАП. Проект постановления устанавливает, что сайт ГИС ЦАП должен наполняться данными посредством миграции официальной статистической информации, размещённой в единой межведомственной информационно-статистической системе (ЕМИСС), и информации, включая базы данных, размещённой на официальном сайте Росстата. Обеспечить это поручено Росстату — после ввода в эксплуатацию соответствующих модулей ГИС ЦАП. Как говорится в пояснительной записке, анализ, миграцию, размещение соответствующей информации целесообразно осуществлять в соответствии с отдельными графиками, учитывая различия как в составе самой информации (вид сведений, структура, формат, владельцы данных), так и в технологических особенностях ресурсов-источников данных. Положения правил закрепляют использование национального стандарта РФ ГОСТ Р 72297–2025 «Государственное управление. Качество данных официального статистического учета» при размещении на официальном сайте ГИС ЦАП паспортов качества данных официального статистического учёта. Постановление вступает в силу с 1 января 2027 года. Порядок создания и ведения ГИС ЦАП был утверждён в июле 2024. Соответствующий закон вступил в силу с 1 января 2025 года, за исключением положений, вступающих в силу в другое время (вплоть до 1 января 2029 года). С 30 мая по 31 декабря 2025 года проводился эксперимент по сбору, обработке первичных статистических данных, административных и иных данных с использованием ГИС ЦАП в рамках создания и развития информационной системы на единой цифровой платформе «ГосТех».
- Новая стратегия по противодействию незаконному обороту промышленной продукции – IT-аспекты. Правительство утвердило стратегию по противодействию незаконному обороту промышленной продукции в Российской Федерации на период до 2030 года, пришедшую на смену предыдущей стратегии; документ содержит в том числе пункты о государственных информационных системах. Так, для развития ГИС прослеживаемости промышленной продукции на всех этапах жизненного цикла планируется расширить перечень отдельных видов пищевой продукции в потребительской упаковке, подлежащих обязательной маркировке, обеспечить интеграцию ФГИС в области карантина растений и ФГИС системы лесного комплекса. Также предлагается расширить перечень индикаторов риска нарушений обязательных требований на основе информации из ГИС мониторинга за оборотом товаров, подлежащих обязательной маркировке. Планируется организовать регулярные исследования по выявлению нарушений обязательных требований при дистанционном способе продажи товаров в Интернете. Будут подготовлены предложения о контроле маркетплейсами соблюдения требований ветеринарного законодательства при допуске на свои площадки участников оборота подконтрольной продукции. От Минздрава, Минцифры, Роскомнадзора, Росздравнадзора ожидается подготовка к первому кварталу 2027 года предложений о целесообразности включения в «чёрный список» сайтов, содержащих предложения о розничной торговле медицинскими изделиями (в том числе дистанционным способом), обращение которых ограничено или запрещено в соответствии с законодательством РФ.
- Утверждены особенности категорирования объектов КИИ в сфере ракетно-космической промышленности. Подписано постановление об утверждении отраслевых особенностей категорирования объектов критической информационной инфраструктуры (КИИ), функционирующих в сфере ракетно-космической промышленности. Напомним, объекты КИИ – это информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления технологическими процессами, которые обеспечивают управление важными процессами в различных сферах. Субъекты КИИ – государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат объекты КИИ. Документ определяет порядок установления соответствия объекта КИИ критериям значимости и показателям их значений в целях присвоения объекту одной из категорий значимости и порядок расчёта значений показателей критериев значимости с учётом особенностей функционирования объекта КИИ. По окончании присвоения категории значимости объектам КИИ Субъект КИИ должен направить соответствующие документы в госкорпорацию «Роскосмос». Ранее правительством были утверждены особенности категорирования объектов КИИ в сфере атомной энергии, науки, банковской сфере, сфере регистрации недвижимости и пр. Закон, наделивший правительство России полномочиями определять по каждой отрасли типы информационных систем, которые необходимо будет относить к значимым объектам КИИ, был подписан весной 2025 года. По таким объектам КИИ должны быть установлены сроки перехода на российские продукты. Эти сроки будут связаны с готовностью отечественных решений, а сам переход и соблюдение сроков будут контролироваться отраслевыми ведомствами.
- В России проводится опрос для формирования плана национальной IT-стандартизации. По поручению Росстандарта запущен опрос о том, какие стандарты уже используют или хотели бы использовать российские IT-специалисты, сообщает компания «Кодекс», проводящая опрос вместе с компанией «Индустриальные системы и технологии». Принять участие в опросе можно до 17 апреля. Цель исследования — проанализировать востребованность предприятиями РФ стандартов в сфере информационных технологий. Ответы респондентов помогут сформировать программу национальной стандартизации (ПНС) на 2027–2030 годы на основе реальных запросов IT-индустрии и напрямую определят, какие международные технологии (ISO/IEC) станут национальными стандартами в ближайшие годы и какие ГОСТ Р будут актуализированы и пересмотрены. Заполнение анкеты требует доступа к нормативной базе. Учитывая это, организаторы дают всем участникам месяц бесплатного доступа к профильной профессиональной справочной системе (доступ можно оформить по ходу прохождения анкеты, если кликнуть на любой документ в приложенных списках и зарегистрироваться). Также среди участников разыгрываются пять подарков, говорится в сообщении.
- МВД опровергло слухи о проверках телефонов на VPN. МВД России заявило, что полиция не будет проверять смартфоны граждан на наличие VPN-сервисов. В управлении по борьбе с противоправным использованием информационно-коммуникационных технологий подчеркнули, что сообщения о таких осмотрах, которые распространяются в Telegram-каналах, не соответствуют действительности. В ведомстве отдельно напомнили, что само использование VPN по-прежнему не нарушает действующее законодательство. При этом власти сохраняют ограничения на рекламу способов обхода блокировок и доступ к ресурсам, где такие сервисы продвигаются. Заявление МВД прозвучало на фоне продолжающегося давления на VPN-инфраструктуру в России. С 1 сентября действует закон об административной ответственности за рекламу VPN, а ранее глава Минцифры Максут Шадаев публично говорил, что перед ведомством поставлена задача снизить использование таких сервисов в стране, хотя прямую ответственность за сам VPN министерство поддерживать не хочет. Таким образом, силовики пытаются снять панику вокруг слухов о досмотрах устройств, но общий курс государства не меняется: речь по-прежнему идет не о легализации VPN, а о последовательном усложнении его использования.
Инциденты и угрозы.
- Алло, вас подслушивают. Появился DVRTC – легальный способ подслушивать чужие звонки. Как за один вечер разобраться в уязвимостях интернет-телефонии и не сесть в тюрьму. В сети появился новый учебный проект для тех, кто хочет разобраться, как ломают интернет-телефонию и видеосвязь. Разработчики намеренно сделали систему уязвимой, чтобы любой желающий мог «потренироваться» на реальных сценариях атак. Платформа называется DVRTC (Damn Vulnerable Real-Time Communications) и представляет собой полноценную инфраструктуру для голосовой связи и WebRTC с заранее заложенными проблемами безопасности. Пользователь разворачивает систему у себя и шаг за шагом проверяет, как работают атаки и где именно происходят сбои. В основе лежит типичный стек интернет-телефонии: Kamailio, Asterisk, rtpengine, coturn, веб-сервер и база данных. Авторы специально ослабили защиту, добавили слабые пароли, уязвимые механизмы аутентификации и открытые сервисы. В текущей версии доступен сценарий под названием pbx1 с семью практическими заданиями и двенадцатью вариантами атак. Задания охватывают перехват сигнализации SIP, утечки данных авторизации, подбор паролей, злоупотребление медиапотоками и работу через ретрансляторы TURN. Кроме того, в системе предусмотрены уязвимости на стыке с базой данных и веб-интерфейсом, включая внедрение SQL-запросов и межсайтовые атаки. Разработчики отдельно предупреждают: запускать DVRTC рядом с рабочими сервисами нельзя. Платформа изначально небезопасна и может открыть доступ к системе или данным. Использовать проект советуют только на изолированных машинах. Система распространяется бесплатно для некоммерческого использования. Развернуть её можно через Docker, после чего сразу приступить к заданиям или проверить сценарии с помощью встроенных инструментов.
- Иран назвал перечень IT-компаний – целей для ударов. Корпус стражей исламской революции (КСИР) назвал перечень из 18 IT-компаний, которые станут целями для ударов за участие в террористических операциях, сообщило во вторник агентство ИРНА. Поскольку ключевую роль в планировании и отслеживании целей играют американские IT- и AI-компании, отныне эти структуры считаются законными целями, пояснили в КСИР. Среди организаций значатся: Cisco; HP; Intel; Oracle; Microsoft; Apple; Google; Meta; IBM; Dell; Palantir; Nvidia; JPMorgan; Tesla; GE; Planet Labs (управляет примерно 200 спутниковыми аппаратами – ред.); G42 (ИИ-компания ОАЭ – ред.); Boeing. КСИР призвал работников этих компаний «немедленно покинуть рабочие места, а жителям в радиусе километра от таких объектов в регионе — эвакуироваться в безопасные места». «С 20:00 в среду (по тегеранскому времени) каждая операция против Ирана будет сопровождаться ответными ударами по соответствующим структурам», – отмечено в сообщении. Вооружённые силы США используют «ряд ИИ-инструментов» для быстрой обработки огромных объёмов информации при ведении боевых действий против Ирана. На этом фоне военными целями становятся ЦОДы, в частности, американской Amazon. Иран атаковал уже несколько на Ближнем Востоке – два в ОАЭ и один в Бахрейне. Атака привела к отключению от Интернета пострадавших объектов. Офис Microsoft в израильском городе Беэр-Шева в июне 2025 года стал целью удара Ирана.
- Тихий DNS-шепот. Как ChatGPT обманывал защиту и сливал данные хакерам за спиной OpenAI. Исследователи нашли способ превратить обычный диалог с ботом в канал утечки данных. OpenAI много говорит о защите данных в своих ИИ-сервисах, но исследователи Check Point обнаружили неприятную дыру: до недавнего исправления ChatGPT позволял вывести информацию через скрытый DNS-канал. Проблема выглядела особенно неудобно на фоне заявлений компании о том, что среда выполнения кода не умеет напрямую отправлять внешние сетевые запросы. В феврале OpenAI исправила уязвимость, которая позволяла вывести данные из ChatGPT всего одной вредоносной подсказкой и обходила защитные механизмы, заявленные компанией. Исследователи Check Point написали, что один такой запрос мог активировать скрытый канал утечки прямо внутри обычного разговора с ChatGPT. По описанию исследователей, уязвимость позволяла передавать информацию на внешний сервер через побочный канал, который возникал внутри контейнера, используемого ChatGPT для выполнения кода и анализа данных. Ошибка выглядела особенно опасной из-за внутренней логики модели: ChatGPT исходил из предположения, что среда не может отправлять данные наружу напрямую, поэтому не распознавал такое поведение как внешнюю передачу информации, требующую блокировки или участия пользователя. Между тем OpenAI в своей документации указывает, что среда выполнения кода ChatGPT не способна генерировать исходящие сетевые запросы напрямую. Канал утечки строился вокруг DNS, системы, которая переводит доменные имена в IP-адреса. OpenAI ограничивала несанкционированное общение ChatGPT с интернетом, но не поставила барьеры против схемы, при которой данные можно было незаметно выносить наружу через DNS-запросы.
- Мошенники подделывают «белые списки» сайтов: новая схема кражи данных через доверие пользователей. В России зафиксирована новая схема мошенничества, связанная с подделкой так называемых «белых списков» сайтов, которые якобы работают при отключениях мобильного интернета. Злоумышленники создают фишинговые ресурсы, имитирующие официальный реестр, чтобы выманивать у пользователей данные от «Госуслуг» и банковских карт. По данным специалистов, с начала марта обнаружено не менее 15 таких сайтов. При этом официального реестра в открытом виде не существует – есть лишь отдельные публикации на ресурсах Минцифры. Мошенники используют это, создавая страницы с логотипами госорганов и убедительным интерфейсом. Сценарий атаки строится на манипуляции доверием. Пользователь получает ссылку от «сотрудника банка» или «провайдера», но решает перепроверить ее через поиск. Вводит запрос вроде «белый список сайтов», переходит на один из первых результатов – и попадает на поддельный сайт. Там он сам вводит полученную ссылку или данные, считая, что проходит проверку безопасности. Эксперты отмечают, что злоумышленники активно продвигают такие страницы через поисковые системы и рекламу. Создаются целые сетки одностраничных сайтов, которые выводятся в топ по популярным запросам и визуально выглядят как официальные сервисы. Схема уже применяется в разных сценариях – от звонков «из госорганов» до псевдопроверок от компаний ЖКХ или домофонных сервисов. В некоторых случаях жертве дополнительно отправляют ссылку на «реестр», где заранее размещен фишинговый ресурс.
- Telegram-прокси начали массово «отваливаться» с 1 апреля. Похоже, DPI научился видеть Fake-TLS. Смена портов и серверов перестала помогать пользователям Telegram в РФ. Пользователи Telegram по всей России 1 апреля снова начали сообщать о нестабильной работе мессенджера — на этот раз проблемы затронули не только VPN-сервисы, но и прокси. Эксперты, опрошенные «Фонтанкой», связывают это с применением Роскомнадзором новых методов борьбы с обходом блокировок. Один из собеседников издания рассказал, что технические средства ведомства научились распознавать запросы с фейковыми TLS — типом подключения, при котором в заголовке указывается адрес стороннего сайта. Именно с этим эксперт связывает массовые сбои у пользователей прокси. Аналогичные проблемы фиксирует и тематическое сообщество на Habr: пользователи из разных регионов сообщают о сбоях в работе MTProxy-серверов для Telegram, в том числе основанных на решении telemt. Сбои проявляются по-разному — от увеличенного времени подключения до полной недоступности прокси. Поведение отличается в зависимости от типа клиента: десктопные приложения иногда продолжают работать, тогда как мобильные чаще сталкиваются с проблемами. Смена портов и перенос серверов между провайдерами, по наблюдениям пользователей, дают лишь временный эффект или не помогают совсем. Ранее Forbes сообщал, что Роскомнадзор перестал полностью справляться с блокировками: ранее заблокированные ресурсы время от времени снова становятся доступными. Источник в магистральном операторе объяснял это нехваткой пропускной способности у оборудования, через которое проходит весь трафик российских операторов. Если система не справляется с нагрузкой, включается режим bypass — трафик идет напрямую, без фильтрации. Роскомнадзор информацию о нехватке мощностей опроверг.
- Google вскрывает слабое место крипторынка. Google Research заявила, что будущие квантовые компьютеры смогут взламывать криптографию на эллиптических кривых, которая лежит в основе защиты многих криптовалют и блокчейн-систем, с меньшими ресурсами, чем считалось ранее. Компания опубликовала whitepaper и отдельно подчеркнула, что речь идет о риске для долгосрочной устойчивости криптоиндустрии, а не о немедленной атаке. По оценке Google, для решения задачи ECDLP-256 можно использовать квантовые схемы менее чем с 1 200 логическими кубитами и 90 миллионами Toffoli-гейтов, либо менее чем с 1 450 логическими кубитами и 70 миллионами таких операций. В пересчете на физическое железо это, по оценке компании, означает возможность выполнения атаки на сверхпроводящем квантовом компьютере с менее чем 500 000 физическими кубитами за считаные минуты при стандартных предположениях о возможностях оборудования. Google отдельно отмечает, что это примерно в 20 раз снижает прежнюю оценку требуемых ресурсов. Главный вывод для рынка прост: окно до реальной квантовой угрозы может оказаться уже, чем многим казалось. Google призывает криптосообщество ускорить переход к post-quantum cryptography, а в качестве временных мер рекомендует не раскрывать и не переиспользовать уязвимые адреса кошельков, а также заранее продумывать политику в отношении заброшенных монет. Компания попыталась подать эту информацию максимально осторожно. Google сообщила, что обсуждала публикацию с правительством США и использовала zero-knowledge proof, чтобы подтвердить свои оценки без раскрытия деталей, которые могли бы стать практическим руководством для злоумышленников. По сути, Google одновременно бьет в набат и старается не спровоцировать панику на рынке.
- Миллионы программистов в большой беде. Хакерами взломана одна из самых популярных библиотек JavaScript. Хакеры атаковали пакет Axios – одну из самых востребованных библиотек для языка программирования JavaScript. Сам JavaScript входит в топ-10 самых популярных в мире, а это означает, что на нем пишут десятки миллионов разработчиков по всей планете. Компрометация Axios делает каждого из них потенциальной жертвой хакеров. Хакеры против программистов. Одна из самых популярных библиотек JavaScript, пакет Axios, была атакована хакерами. Как пишет Tom’s Hardware, киберпреступники взломали личный профиль одного из мейнтейнеров этого проекта и опубликовали от его имени вредоносные версии этой библиотеки в репозитории npm. Под угрозой десятки миллионов программистов. Согласно рейтингу Tiobe за март 2026 г., JavaScript находится на шестом месте среди самых популярных языков программирования. Что касается библиотеки Axios, то в менеджере пакетов npm у нее около 100 млн загрузок в неделю. Хакеры выложили сразу два зараженных релиза это пакета – axios@1.14.1 и axios@0.30.4. В каждый их них была внедрена скрытая зависимость, которая незаметно устанавливает кроссплатформенный троян удаленного доступа на машины разработчиков под управлением macOS, Windows и Linux.
Исследования.
- За VPN пока не посадят. Просто сделают так больно, что сам откажешься. Шадаев назвал решение об ограничении VPN принятым на высшем государственном уровне. Министр цифрового развития Максут Шадаев впервые прямо обозначил официальную позицию государства по VPN. Решение снизить использование таких сервисов приняли на более высоком уровне, а задача ведомства сводится к исполнению. Поводом для заявления стала логика, которую Минцифры редко проговаривает публично. Переговоры с зарубежными платформами, отказавшимися соблюдать требования российского законодательства, власти считают исчерпанными. После такого тупика регуляторный подход начал смещаться в сторону более жестких мер. Прямую ответственность за использование VPN, по словам Шадаева, обсуждали, но сочли слишком жестким вариантом. Вместо лобового запрета власти, как утверждает министр, ищут компромиссные механизмы, которые позволят сократить применение обходных инструментов без прямого давления на граждан. На этом фоне в профессиональной среде уже обсуждают возможный набор мер: усиление DPI-фильтрации, блокировки популярных VPN-протоколов и ужесточение требований к сервисам, чья инфраструктура остается в России. Отдельно Шадаев упомянул прикладные сценарии, без которых бизнесу и специалистам часто не обойтись. Речь идет о корпоративном доступе, платежных интеграциях и рабочих процессах разработчиков, завязанных на VPN. Для таких случаев Минцифры обещает искать отдельные решения. Показателен и тон заявления. Министр не спорит с критикой и не пытается сгладить проблему, а прямо признает неудобство будущих ограничений. При этом альтернативы в рамках нынешнего курса, по словам Шадаева, выглядят еще жестче. Дискуссия вокруг VPN в России тем самым перешла в новую стадию. Регулятор уже не ограничивается намеками и рассуждениями о рисках, а открыто ставит задачу сократить само использование технологии и подбирает практические механизмы для такой кампании.
- Откройте доступ к коду из любой точки мира. Как работает новый проект rustunnel. Разработчик выпустил открытый аналог ngrok. Появился открытый инструмент rustunnel, который позволяет публиковать локальные сервисы в интернете через защищённые туннели. Проект написан на языке Rust и по своей логике близок к ngrok. rustunnel устанавливает соединение между локальной машиной и удалённым сервером через зашифрованный WebSocket с TLS. Входящие запросы сначала попадают на сервер, а затем по этому каналу передаются в локальную сеть пользователя. Такой подход избавляет от настройки проброса портов и изменений в сетевой инфраструктуре. Инструмент поддерживает два режима. В первом случае используется уже развёрнутый сервер с несколькими регионами (Европа, США и Азия), где клиент автоматически выбирает ближайший узел. Во втором варианте можно развернуть собственный сервер и управлять доменами, сертификатами и доступом самостоятельно. Через rustunnel можно публиковать HTTP-сервисы, например локальные веб-приложения, а также TCP-соединения, включая базы данных. После запуска клиент выводит публичный адрес, через который становится доступен локальный сервис.
- Миллион кубитов? Не нужно. Хватит 20 тысяч — и квантовая эра начнётся раньше. Новая архитектура с подвижными атомами снижает требования к масштабам в 50 раз. Разработчики квантовых компьютеров давно борются с одной и той же проблемой: чтобы получить один надёжный логический кубит, приходится собирать сотни или тысячи физических. Теперь у физиков появился способ резко сократить этот разрыв. Команда из Калифорнийского технологического института вместе со стартапом Oratomic предложила архитектуру, которая может снизить требования к масштабам квантовых машин на порядок. Расчёты показывают, что полноценный квантовый компьютер с коррекцией ошибок может обойтись 10-20 тысячами кубитов. Ранее оценки доходили до миллионов. Разница не косметическая. При старых подходах сама инфраструктура становилась главным барьером: слишком много элементов, слишком много ошибок, слишком сложная сборка. Кубиты нестабильны по своей природе, поэтому вычисления постоянно приходится защищать от сбоев. Классическая схема строится вокруг избыточности: на один логический кубит уходит примерно тысяча физических. Новый подход меняет логику работы с избыточностью и позволяет использовать одни и те же ресурсы эффективнее. Авторы опираются на платформу с нейтральными атомами. В такой системе отдельные атомы играют роль кубитов, а лазерные пучки, так называемые оптические пинцеты, удерживают и перемещают их в пространстве. В отличие от многих других архитектур, здесь можно не ограничиваться ближайшими соседями. Атомы можно перемещать на значительные расстояния внутри массива и напрямую связывать друг с другом.
- МВД опровергло сообщения о проверке телефонов на наличие VPN. Управление по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) опровергло информацию о том, что сотрудники полиции проводят осмотры личных смартфонов граждан на предмет наличия VPN-приложений. Официальное опровержение опубликовано в телеграм-канале профильного подразделения МВД «Вестник киберполиции России»: «Указанная информация не соответствует действительности и транслируется с целью повышения социальной напряжённости. Подобные мероприятия не проводятся, проверка телефонов граждан на предмет наличия VPN или иных приложений не осуществляется». Такие сообщения распространялись через мессенджеры и социальные сети в течение последнего месяца. В ряде регионов также публиковались «памятки», якобы предназначенные для сотрудников полиции. В них говорилось о проверках устройств на наличие «запрещённых приложений» и контактов с иностранными гражданами. В частности, подобная кампания была развёрнута в Брянской области.
- Считаем до 50 и взламываем. Как Anthropic переоценила внимательность программистов. В коде ИИ-агента нашли нелепую ошибку, которая позволяет обходить правила безопасности. Исследователи безопасности из тель-авивской компании Adversa обнаружили уязвимость в Claude Code — ИИ-агенте для программирования от Anthropic. Если подсунуть агенту достаточно длинную цепочку подкоманд, защитные правила блокировки перестают работать, и злоумышленник получает возможность провести атаку через внедрение вредоносных инструкций. Claude Code умеет ограничивать доступ к потенциально опасным инструментам. Например, администратор может запретить агенту использовать curl — утилиту для сетевых запросов — добавив соответствующее правило в файл настроек ~/.claude/settings.json. Казалось бы, надёжная защита. Но в исходном коде агента, который недавно утёк в открытый доступ, Adversa нашла любопытный комментарий. В файле bashPermissions.ts обнаружилась константа MAX_SUBCOMMANDS_FOR_ SECURITY_CHECK = 50. Она задаёт жёсткий лимит: агент проверяет на соответствие правилам безопасности не более 50 подкоманд в одной строке. Если подкоманд больше, Claude Code вместо автоматической блокировки просто спрашивает у пользователя разрешения. Комментарий в коде поясняет, что 50 — щедрый лимит для нормальной работы. Для команд, написанных человеком, это действительно так. Но создатели агента не учли сценарий, при котором вредоносный файл CLAUDE.md заставляет ИИ самостоятельно сгенерировать конвейер из 50 и более подкоманд, замаскированных под легитимный процесс сборки.
Инновации.
- Пять атомов в кремнии победили квантовый хаос. Ошибки теперь не приговор — а решаемая задача. Логический квантовый процессор перестал быть экзотикой. Кремний, на котором держится почти вся современная электроника, сделал еще один шаг в сторону квантовых компьютеров. Исследователи впервые показали логический квантовый процессор на кремниевой платформе. Для отрасли это важный рубеж: речь идет уже не просто об отдельных кубитах, а о системе, где квантовая информация кодируется так, чтобы устройство могло отслеживать ошибки и лучше переносить помехи. Именно такой подход считается основой для отказоустойчивых вычислений, без которых полноценные практические квантовые машины вряд ли появятся. Главная трудность в квантовых вычислениях давно известна. Квантовые состояния очень легко разрушаются под действием внешнего шума, неточностей управления и паразитных взаимодействий между элементами схемы. Из-за этого даже удачно подготовленный кубит может быстро потерять информацию. Чтобы бороться с такой нестабильностью, инженеры и физики используют логическое кодирование: данные не хранят в одном физическом кубите, а распределяют между несколькими. Тогда система получает шанс замечать ошибки и не разваливаться сразу после первых же сбоев. На других платформах подобные схемы уже показывали. Логические кубиты и операции с ними ранее демонстрировали в сверхпроводниковых системах, на нейтральных атомах, в центрах окраски азот-вакансия в алмазе и в ионных ловушках. Но для кремниевых спиновых кубитов задача оставалась заметно сложнее. У кремния есть сильные стороны: он совместим с привычными технологиями производства микросхем, а спиновые кубиты на его основе могут долго сохранять квантовое состояние. Именно поэтому кремниевую платформу давно считают одним из самых реальных кандидатов на масштабируемый квантовый компьютер. Проблема в том, что по мере роста схемы начинают сильнее мешать скученность частот и перекрестные помехи. Управляющие сигналы все хуже разделяются, а воздействие на один кубит начинает задевать соседние.
- Ускоритель частиц размером с карандаш. Мощность — как у километрового. И это работает. Лазерная плазма сжала физику в тысячу раз. Лазерные ускорители частиц давно привлекают физиков простой и заманчивой идеей: заменить огромные установки куда более компактными системами. На практике путь к этой цели долго тормозили две проблемы – нестабильная плазма и электронный пучок, параметры которого трудно удержать в нужных пределах. Теперь исследователи показали, что усиление в лазере на свободных электронах можно получить в диапазоне экстремального ультрафиолета при длинах волн от 27 до 50 нанометров, причем участок ускорения занял всего несколько миллиметров. В основе эксперимента лежит лазерно-плазменное ускорение. Мощный лазерный импульс проходит через плазму и формирует в ней волну, которая движется почти со скоростью света. Внутри волны возникают очень сильные электрические поля. Такие поля разгоняют электроны намного эффективнее, чем поля в обычных ускорителях. Авторы работы пишут, что по напряженности они более чем в 1 000 раз превосходят поля традиционных систем. Главное достоинство этой схемы связано с размерами установки. Обычные электронные ускорители для сходных задач могут занимать сотни метров. Здесь разгон произошел на участке длиной в несколько миллиметров. Именно поэтому интерес к лазерно-плазменным схемам не спадает уже много лет: если добиться устойчивой работы, хотя бы часть громоздких комплексов удастся заменить гораздо более компактными системами. Главная трудность связана с качеством электронного пучка. Для лазера на свободных электронах недостаточно просто разогнать электроны до высокой энергии. Нужен пучок, в котором частицы имеют почти одинаковую энергию и движутся достаточно согласованно. Такой пучок называют моноэнергетическим. Без этого лазерное усиление либо вообще не появляется, либо остается слишком слабым и нестабильным для практического применения.
Обзор по ИБ подготовил Дмитрий Рожков.
