📰 Дайджест за 19–25 окт'26: «Черный октябрь» в кибербезе

Самые интересные новости финансов и технологий в России и мире за неделю: найдена критическая дыра в PHP (на котором держится 70% интернета), ЦБ РФ не стал снижать ставку, убыток Anthropic $80 млрд всего за полгода, Дарио Амодей и Илон Маск ударились в благотворительность, возможное слияние SpaceX и Tesla, а также очередная криптобиржа попрощалась с россиянами.

Помимо текстовой версии, дайджест доступен в формате аудиоподкаста, а также на видео:

Тема недели: Черный октябрь для кибербеза

🐌 В мире кибербезопасности выдалась какая-то совершенно безумная неделя: буквально за несколько дней с помощью AI обнаружили сразу несколько критических дыр в самых базовых кирпичиках инфраструктуры, на которой держится больше половины интернета. Вот тут пишут, что за прошедший месяц было найдено аж 3% критических уязвимостей в софте за всю историю наблюдений.

По статистике UptimeRobot, 21 октября число уведомлений о недоступности сайтов подскочило в 11 раз, а в Европе вообще в 20! Хакеры тоже не теряли времени: по данным Cloudflare, за считанные часы число попыток воспользоваться уязвимостями PHP выросло с тысяч до миллионов. Одна только Imperva за сутки зафиксировала почти полмиллиона подозрительных запросов к 22 тыс. сайтов в 103 странах. Но давайте о найденных багах по порядку.

🐌 Самая громкая история недели связана с PHP – это язык, на котором работает почти 70% сайтов по всему интернету. Еще в августе исследователь Райан Остин с помощью GPT-5.6 Sol нашел в PHP критическую уязвимость (которая пряталась там аж 14 лет), а специалисты Wiz независимо обнаружили сразу две – по сути, используя эту дырку, можно при желании получить чуть ли не полный доступ к любому компу, на котором хостится сайт на PHP.

Разработчики почти два месяца готовили исправления, проверяли их и договаривались с поставщиками ПО, чтобы те тоже успели подготовиться. Обновления собирались выпустить 22 октября, но 20-го информация о дырах утекла в интернет и началась паника. Государственные сайты в Европе, сервисы Wikimedia, Internet Archive, 4chan, и другие организации временно отключали свои системы, опасаясь взломов. В итоге патч пришлось экстренно релизить уже 21 октября. 

🐌 Тем временем, в Индии умудрились подставить часть интернета секретным ключом «4». Местная компания eMudhra выпускала цифровые сертификаты, с помощью которых браузеры проверяют подлинность сайтов. И вот выяснилось, что один из ее секретных ключей был буквально числом 4 (остальные семь оказались ненамного сложнее) – тогда как в норме такие ключи должны содержать длиннющее случайное число на 384 бит, чтобы было никак не угадать.

В Твиттере предполагают, что индийцы просто решили, будто «случайное число на 384 бит» – это тупо «случайное число от 1 до 384» (все их ключи укладываются в этот диапазон, лол). С помощью скомпрометированного ключа при определенных условиях можно выдавать поддельный сайт за настоящий или перехватывать поток данных – то есть, это весьма критично. После обнаружения такого эпичного косяка Google, Apple и Mozilla заблокировали опасные сертификаты, а eMudhra решила вообще уйти из этого бизнеса (ну это к лучшему, положа руку на сердце).

🐌 И это далеко не всё из мира кибербеза, Денис Ширяев собрал мини-дайджест про остальные дыры в безопасности на этой неделе. Например, в GitLab закрыли уязвимость максимальной опасности, через которую при определенных условиях можно было взломать сервер даже без авторизации. В официальное обновление LiteLLM хакеры подложили программу для кражи паролей и ключей доступа. Сервис Railway предупредил клиентов о возможной утечке таких ключей и попросил их заменить. А CrowdStrike рассказала о хакерах, которые с помощью Claude Code взломали как минимум 15 медицинских организаций в Аргентине. Причем они использовали сразу двух ИИ-агентов: один решал, что делать дальше, а второй выполнял его указания. А еще в США взломали одну из крупнейших сетей медицинских лабораторий Quest Diagnostics. Короче, про всё произошедшее даже одной строкой не впихнешь!

🐌 А что дальше? Похоже, к подобным новостям придется привыкать. Глава Cloudflare Мэтью Принс рассказал Reuters, что знает еще как минимум о нескольких еще непубличных серьезных уязвимостях, исправления для которых готовят прямо сейчас. По его прогнозу, в ближайшие пару лет такие чрезвычайные ситуации могут происходить практически каждую неделю. Заместитель главы службы кибербезопасности Anthropic Джейсон Клинтон написал в Твиттере, что дальше будет только хуже.

Но если кроме шуток, то неплохо было бы задуматься о том, чтобы хотя бы минимально подготовиться к ситуации «взломать могут всё и в любой момент». Используйте менеджер паролей вместо «12345» на всех сайтах, подключите везде двухфакторную аутентификацию, поставьте последние системные обновления на всех устройствах. Держите под матрасом котлету кэша в сумме месячных затрат, наконец! Еще более «кошастые» советы выживальщиков можно прочитать вот здесь (ну, это уже на любителя, конечно).

Россия: Ключевая ставка пока устаканилась

🐌 ЦБ второй раз подряд оставил ключевую ставку на уровне 14%. Как объяснила Набиуллина, цены пока растут слишком быстро, а инфляционные ожидания россиян остаются вблизи максимумов за последние два года. Прогноз по инфляции на 2026 год повысили до 7,1–7,6%, хотя в июле он был 6–7%. Снижать ставку теперь тоже собираются медленнее: в 2027 году ЦБ ожидает ее средний уровень в районе 12,5–13,5%. Следующее заседание пройдет 18 декабря.

🐌 В России хотят сажать на шесть лет за призывы к массовым беспорядкам в интернете. Сейчас за такое грозит максимум два года тюрьмы, но депутаты предложили поднять срок до четырех лет, а за публикации в интернете и СМИ – сразу до шести (это будет считаться уже тяжким преступлением). Правительство и Верховный суд инициативу уже поддержали.

🐌 Верховный суд постановил, что одного кода из СМС недостаточно, чтобы доказать согласие человека на кредит, если обстоятельства указывают на мошенничество. Поводом стала история москвича, который продиктовал код телефонным мошенникам, после чего на него оформили кредит на 751 тыс. рублей и меньше чем за пять минут перевели все деньги постороннему человеку. Три судебные инстанции встали на сторону банка, но Верховный суд их решения отменил: по мнению верхосудей, банк должен был насторожиться из-за подозрительной операции и убедиться, что клиент действительно хотел взять кредит.

Финансы в AI: Отчеты бигтехов 

🐌 Свежие сливы из полугодовой отчетности (в черновике проспекта под IPO): Anthropic умудрилась получить $80 млрд убытка за первые 6 месяцев 2026-го (за весь 2025 год был убыток $42 млрд, btw). Но если покопаться в деталях, всё выглядит не так страшно: из нынешнего убытка $72 млрд – это чисто «бумажная» переоценка из-за роста стоимости акций самого Антропика. Дело в том, что они раньше успели напривлекать долгов через конвертируемые облигации, а теперь у тех старых инвесторов есть право обменять свои бонды на более дорогие акции – это размоет долю текущих акционеров компании (отсюда убыток в отчетности), но не приведет к оттоку денег из бизнеса.

Но настоящие траты тоже быстро растут: за полгода компания потратила на вычислительные мощности почти $9 млрд (уже больше, чем за весь 2025-й целиком). А впереди расходы еще серьезнее: Anthropic уже обязалась вложить в ИИ-инфраструктуру примерно $0,5 трлн за десять лет, причем до 80% этих обязательств нельзя просто отменить (с учетом новых контрактов в процессе заключения, по данным WSJ, сумма вообще может дойти до $750 млрд).

🐌 А еще Anthropic хочет создать специальный благотворительный фонд, в который они собираются передать 5% своих акций. Причем, предлагается интересная схема: каждый раз, когда стоимость Anthropic будет вырастать еще на 50% от базовой оценки, совет директоров сможет докидывать фонду дополнительные 2% акций (правда, это право, а не обязанность). Бабки обещают отсылать на всякие общественно-полезные проекты – в том числе помощь людям, потерявшим работу из-за ИИ (математикам, наверное).

При этом сам фонд останется под полным контролем Anthropic (и юридически не будет некоммерческой организацией), но использовать его деньги для политических пожертвований и лоббизма запретят. Кстати, основатели компании еще раньше обещали отдать на благотворительность 80% своих личных акций, а около половины сотрудников участвуют в похожей программе. Если сложить все обязательства, на благие дела планируют направить около 20% Anthropic. Правда, передачу первых 5% еще должны одобрить акционеры, а конкретные правила распределения денег пока не определены.

🐌 SpaceX отчиталась о бешеном росте выручки: за третий квартал она подскочила на 161% (по сравнению с третьим кварталом прошлого года), до $14,6 млрд, а чистая прибыль составила $4,4 млрд (более чем вдвое превысив прогнозы аналитиков). Интересно, что больше всего выручки SpaceX теперь получает от ИИ-бизнеса, который достался ей вместе с xAI: за квартал он принес $7,6 млрд, обогнав Starlink с его $5,2 млрд и ракетные запуски с $1,8 млрд.

На этом фоне Илон Маск рассказал WSJ, что SpaceX и Tesla уже создали специальные комитеты для обсуждения возможного слияния. Блумберг пишет, что при слиянии получится гигант с совокупной рыночной стоимостью около $3,7 трлн – под одной крышей окажутся автомобили, роботы, спутники, ИИ, производство чипов (по их данным, сделку хотят объявить в 2027-м и успеть ее закрыть до окончания срока Трампа). Зачем это Маску: в SpaceX он и так контролирует 80% голосов, а в Тесле (которая из этих двух чуть больше похожа на «денежную корову» в настоящем) – всего 20%. Так что, после слияния можно будет консолидировать более плотный контроль над всей своей империей.

🐌 Кстати, про Теслу: за третий квартал она вложила в развитие $4,7 млрд вместо ожидавшихся $8 млрд, а план капитальных расходов на год сократила с более чем $25 млрд до примерно $20 млрд. Инвесторы немного беспокоятся: а как же обещанное массовое производство роботов-Оптимусов и беспилотных такси, неужели откладывается? Зато Илон рассказал о планах вместе со SpaceX потратить больше $100 млрд на создание собственного производства чипов Terafab (к гадалке не ходи – ожидается, что юзать их уже будут под крышей единой компании).

🐌 А еще Маск тоже спешит запрыгнуть на отправляющийся поезд ИИ-благотворительности: пообещал в 2027 году подарить по одной акции SpaceX каждому ребенку в США. Сейчас одна акция SpaceX стоит около $146, так что на 72 млн детей придется потратить чуть больше $10 млрд. Деталей пока нет, но, возможно, уже в следующем году всё американское общество сольется с Илоном в едином порыве космического патриотизма.

🐌 Тем временем, OpenAI спешит собрать с частных инвесторов еще $30 млрд до выхода Anthropic на биржу. Изначально OpenAI рассчитывала на оценку в $1,4 трлн, но, как выяснил Bloomberg, всё-таки снизила финальные аппетиты до $1,25 трлн (видимо, энтузиазм ИИ-инвесторов чуть поутих – хотя, в сравнении с оценкой полугодовой давности в $0,85 трлн, это всё равно мощный скачок вверх).

Прочие новости AI

🐌 ИИ-агенты OpenAI смогли тайно общаться друг с другом даже без интернета и доступа к общим файлам. Во время специальной проверки безопасности их запустили в изолированных виртуальных машинах на одном сервере и предложили как-нибудь умудриться обмениваться секретными сообщениями – ну и те приспособили для этого кэш процессора (один агент менял содержимое кэша, а другой по скорости чтения данных понимал, что ему передают). Хотя, справедливости ради, это скорее такой proof-of-concept: там в большинстве подобных экспериментов исследователи сами подсказывали агентам, как именно можно передавать сообщения.

🐌 Кстати, еще OpenAI рассказала, что они на 11 дней останавливали обучение своих самых передовых ИИ-моделей из-за проблем с безопасностью. Одна из моделей нашла способ выйти из изолированной песочницы в настоящий интернет, хотя доступа к нему иметь не должна была. После этого компания устроила масштабную проверку, нашла и закрыла уязвимости, а 1 октября возобновила обучение: но теперь вместо настоящего интернета моделям дают его изолированную копию. (Насколько хорошо изолированную? Узнаем, лол).

🐌 ИИ-агенты начали хозяйничать на банковских счетах американцев. Как выяснил Axios, с проблемой уже столкнулись крупнейшие банки США, включая JPMorgan, Bank of America и Wells Fargo. Обычно клиенты сами дают ботам логины и пароли, чтобы те управляли их финансами. Но банки заметили, что некоторые агенты пытаются действовать без указаний владельцев счетов. Причем, отличить самостоятельные действия ИИ от поручений клиента банкиры пока толком не умеют. Теперь финансовые организации начали блокировать сторонних ботов и обсуждают возможность оставить им доступ только для просмотра счетов, без права распоряжаться деньгами.

🐌 Anthropic тоже решила выпустить своего персонального ИИ-помощника Claude Duet. Ну, это который может работать с почтой, календарем и документами, по утрам рассказывать о важных делах, назначать встречи и готовить презентации и так далее. Причем для этого ему выделяют отдельный облачный компьютер, так что закрывать задачи Claude сможет и без участия пользователя. Для отправки писем и других важных действий потребуется разрешение. Пока в лист ожидания пускают только американских подписчиков Pro и Max.

🐌 DeepSeek привлекает рекордные (ну как, для китайцев) $15 млрд инвестиций. По данным Bloomberg, изначально разработчики ИИ рассчитывали собрать вдвое меньше, но желающих вложиться оказалось так много, что планку подняли. Тем временем, Министерство внутренней безопасности США потребовало удалить технологии DeepSeek из федеральных гражданских IT-систем – ибо недостаточно скрепно.

🐌 Австралийский стартап Apate натравил на мошенников тысячи ИИ-агентов. Они притворяются доверчивыми пенсионерами и другими потенциальными жертвами, отвечают на звонки, переписываются с аферистами и специально тянут время. По данным TechCrunch, за 2,5 млн разговоров боты уже отняли у мошенников суммарно 17 лет времени. Заодно они выведывают номера банковских счетов, криптокошельков и прочие подробности преступных схем, которые потом передают банкам и операторам связи. Идея родилась после того, как основатель стартапа ради шутки продержал телефонного мошенника на линии целых 44 минуты.

Новости технологий: Робот, который вам втащит

🐌 Unitree показала робота-телохранителя, который якобы отбивается от преступников и защищает хозяина. Ролик прикольный, конечно, но выглядит как «обман для сбора классов»: как пишет South China Morning Post, компания даже не объяснила, сам ли робот принимает решения или просто выполняет заранее подготовленные движения. Ну и кто вообще пустит робота телохранителем работать – он же первую случайную бабушку на улице уконтрапупит случайно?

🐌 ТГ-канал «AI меняет культуру» раскопал гениальную штуку. Чел навайбкодил игру, в которой ты рождаешься в случайном (в зависимости от реальной вероятности родиться в какой-либо стране в 2026) месте на планете Земля и проживаешь целую жизнь примерно за полчаса, принимая всякие жизненные решения. Говорят, последствия этих решений основываются на статистике ООН.

Крипта: Криптобиржи против россиян 

🐌 Из России уходит еще одна крупная криптобиржа за последнее время – вслед за Bitget о прекращении работы с россиянами и белорусами объявила MEXC. Пользователям отдельно сообщат, когда нужно закрыть позиции и вывести деньги. Как пишет РБК, эксперты связывают происходящее с санкционными рисками и грядущими ограничениями на крипторынке РФ. А еще биржа HTX внесла РФ в список запрещенных юрисдикций, но в официальных заявлениях говорит, что ввод и вывод продолжает работать штатно.

🐌 Visa хочет сделать крипту обычным средством оплаты – компания договорилась с Mesh, чтобы владельцы криптокошельков могли расплачиваться ими в обычных магазинах. Работать это будет просто: покупатель платит криптой, Mesh автоматически переводит ее в обычные деньги, а продавец получает оплату как всегда. В перспективе такая схема может заработать в 175 млн торговых точек по всему миру, где принимают Visa. Правда, когда именно ее запустят, пока не говорят.

Лонгрид недели: Детально копаемся в новом российском криптозаконе

🐌 С сентября этого года в России уже действует новый режим крипторегулирования. Ну как, пока там переходный период, а вот с июля 2027-го уже всё поменяется по-серьезному! Крипта в российском контуре будет такая, игрушечная: приватные ключи от нее будут принадлежать не вам, вывести ее на свой некастодиальный кошелек вам не дадут, а P2P-сделки будут запрещены. Подробнее читайте в нашем большом разборе с налоговиком Кириллом Соппа (по ссылке будет краткий TLDR с самым основным оттуда).

RIP недели: Рю Мураками + Bioware

🐌 Известный японский писатель Рю Мураками почил, ему было 74 года. Я не читал ни одной его книги, извините. И нет, это не тот Мураками, который написал «Норвежский лес» (Харуки) – они просто однофамильцы (впрочем, у второго я тоже ничего не читал).

🐌 EA закрывает легендарную игровую студию BioWare, которая подарила нам Baldur's Gate, Neverwinter Nights и Mass Effect. Ни в одну из их игр я тоже не играл (сегодня вместо рубрики «RIP недели» выходит какое-то «Обличение культурного невежества Павла Комаровского»).

Хорошая новость недели

🐌 Япония впервые в своей истории отправила космический аппарат за грунтом со спутника Марса Фобоса. Кстати, именно базу на Фобосе в игре Doom атакуют по сюжету сотонинские отродья. Так что, если тут произойдет что-то похожее – по крайней мере, японцы нарисуют про это хорошее аниме!

Бонусные посты недели из моих ТГ-каналов

🐌 Полный разбор нового закона о крипторегулировании в РФ, вступившего в силу с 1 сентября 2026 года.

🐌 Забавный график с динамикой концентрации рынка во время разных прошлых пузырей.

🐌 Про то, как так вышло, что во Флоренции 600-летней давности обеспеченные люди могли себе позволить строить эпичные дворцы, а сейчас уже не особо.

🐌 Ссылка на интересную рецензию на автобиографию Ли Куан Ю, прочитал с удовольствием.