Автоматизация без тормозов — тема дня. Машина за сутки находит тысячу дыр в ядре, скрипт за ночь стирает облако целиком, а платёжная система не пускает операционку без сертификата Google. Четыре материала.
Модель OpenAI: 948 уязвимостей ядра за 30 часов
OpenAI рассказала об агентном прогоне нерелизнутой кибербезопасностной модели: за тридцать часов и 1,2 миллиона долларов пайплайн подтвердил 1724 уязвимости ядра Linux, собрал 1169 рабочих эксплойтов повышения привилегий и подготовил 948 патчей — около 1279 долларов за эксплойт, минимум десять новых техник. Все результаты перед отправкой мейнтейнерам проверяли люди, за десять дней более сотни багов уже закрыты. Вывод компании стоит повесить на стену: непривилегированная учётка на необновлённой системе почти равна root-доступу для ресурсного атакующего. Экономика взлома сломалась окончательно — и скорость патчей теперь обязана поспевать за скоростью поиска.
Beget: облако уничтожено, бэкапы — у половины
Хронология катастрофы: в ночь на 2 ноября атакующие добрались до управляющего контура и запустили обнуляющие скрипты по всем уровням инфраструктуры — облачная платформа уничтожена полностью, строят заново, бинарные бэкапы VPS утрачены, файловые сохранились примерно у половины клиентов. Виртуальный хостинг подняли на 60%, восстановление из бэкапов начинается 7 ноября, панель возвращают поэтапно от DNS к биллингу. Урок ровно тот же, что с VMmanager, только дороже: управляющий контур — самая ценная и самая недооценённая поверхность атаки, и термин «аварийное переключение» бессмыслен, если management-плоскость скомпрометирована вместе с рабочей.
Банк ASN закрыл дверь перед GrapheneOS
Голландский «идеалистский» банк ASN заблокировал GrapheneOS и все Android-системы без сертификата Google: активация платёжной системы iDEAL и Wero проверяет Play Integrity, и обходных путей нет. Ирония тройная: европейский «суверенный» платёжный проект зависит от проприетарной проверки Google; техническая аргументация оператора о недостаточности аппаратной аттестации опровергнута специалистами GrapheneOS по документации; и web-версия Wero существует — банк просто не стал её делать. Прецедент важен всем, кто думает, что приватная операционка — это только про телефон: это уже про доступ к деньгам.
Крутое пике рынка: вакансий меньше на треть
Годовой срез ИТ-рынка труда СНГ: активных вакансий на hh.ru стало на 33% меньше за год, резюме — на 15% больше, удалёнка отступила с 33% до 26% вакансий, медианная зарплата выросла на четыре процента до 191 тысячи. Дефицитными остались DevOps-инженеры, а ИИ в найме работает с обеих прилавков — hh.ru запустил помощника отбора, и компании в первую очередь пробуют заменить менеджеров и часть аналитиков, закрывая джунам один из входов в профессию. Самая любопытная строка — про обратную волну за рубежом: компании, сокращавшие людей ради ИИ, снова нанимают, потому что кому-то нужно проверять результаты и возвращать утраченные знания. Паника преждевременна, но рынку действительно не помешает глубокое понимание бизнеса — автора поддержу.