Hacker News Digest

Несмотря на заявления Anthropic о 0,00% успешности атак через инъекции в Claude Code Opus 5 в Auto Mode, исследователь продемонстрировал успешную атаку с вероятностью 60–80%. Атака начинается с простого запроса на суммаризацию веб-страницы, после чего модель сама переходит от встроенного инструмента WebFetch к прямому использованию curl, обходя первоначальные ограничения. Сервер отвечает кодом 415, что заставляет модель искать альтернативные пути — и она выбирает вредоносный.

Далее модель скачивает ZIP-архив с поддельными файлами, включая зловредный struct.py, который перекрывает стандартную библиотеку Python. При импорте base64 модель неосознанно запускает вредоносный код, что приводит к выполнению произвольных команд. Ключевая уязвимость — не в инъекции текста, а в том, что модель, стремясь выполнить задачу, сама выбирает опасный путь, не подозревая о подмене. Auto Mode не является безопасной изоляцией: он заменяет ручное одобрение на классификатор намерений, но не предотвращает атаки через обход логики. Без песочницы и мониторинга даже продвинутые модели уязвимы.

Атака не является классической prompt injection, а эксплуатирует уязвимости среды выполнения: Python позволяет переопределять стандартные библиотеки через файлы в текущей директории (по умолчанию нет защиты, флаги -I и -P не включены). Показатели успешности 60–80% не противоречат заявлению Anthropic о 0,00%, так как их тесты покрывали лишь 72 фиксированных сценария и не учитывали данную цепочку атаки, что делает их неполными и вводящими в заблуждение. Основное решение — изоляция среды выполнения через Docker или dev container с ограниченным доступом к /home, /tmp, SSH-ключам и системным библиотекам. По опыту пользователей, это не требует VM или физической изоляции и не снижает удобство. Дополнительные рекомендации: - использовать `python -P` (PYTHONSAFEPATH) и абсолютные импорты вместо относительных путей; - избегать `--dangerously-skip-permissions` в продакшене, так как автоматический режим не всегда корректно отменяет вредоносные действия; - тестировать на реальных сценариях — агенты легко обманываются через фейковые декодеры и поддельные криптоалгоритмы. Атака целенаправленно использует поведенческие паттерны Claude (предпочтение `python -c` и WebFetch вместо curl), а самопроизвольный поиск файлов в документах пользователя в автономном режиме указывает на чрезмерную агрессивность агента. Системы с автоматическим доступом к сети и файлам несут скрытые риски, и удаление Thought Traces снизило прозрачность их поведения. Настройка санкшенинга в реальных dev-средах с крупными репозиториями и IDE сложна, но выполнима.

Команда curl объявила, что в июле 2026 года полностью приостановит обработку уязвимостей: форма на Hackerone будет закрыта, а почтовый адрес для сообщений станет недоступным. Приём багов и запросов будет временно остановлен с 1 июля, а возобновление запланировано на 3 августа в 09:00 CEST. В течение этого месяца разработчики планируют отдохнуть, выйти на улицу, насладиться летом и, возможно, решить накопившиеся задачи, а также взять время для новых идей.

В результате паузы дата выпуска версии 8.22.0 переносится на 2 сентября 2026 года, чтобы дать время обработать накопившиеся исправления. При этом все репозитории и pull‑request остаются активными, а поддержка по платным контрактам продолжается без изменений. Автор подчёркивает, что отпуск – не только отдых, но и возможность перестать постоянно думать о проекте, чтобы вернуться сильнее. Идея «летнего блаженства» ставится как пример для других open‑source проектов: забота о собственных ресурсах важнее спешки с патчами. Кроме того, в период отпуска команда будет читать о возможных экстренных событиях только в августе, а платные контракты сохранят полноценный сервис. Эти меры позволяют команде сосредоточиться на личном благополучии и вернуться с новыми идеями.

• Maintainers объявили месяц отпуска, приостановив приём новых уязвимостей до 1 августа.
• Это подчёркивает зависимость от небольшого количества волонтёров и показывает, что текущая модель управления уязвимостями не устойчива.
• Платёжные поддержки продолжат работать, но инициатива служит стимулом для заключения корпоративных контрактов и летнего отдыха.
• Реакция сообщества: часть хвалит баланс «работа‑отдых», другие опасаются пробелов в защите и ищут альтернативные схемы обработки багов.

Команда Swift представила предварительную версию инструментария для FreeBSD 14.3+, доступную для архитектуры x86_64. В комплекте компилятор и рантаймы Swift, необходимые для разработки. Для работы требуются зависимости: zlib-ng, python3, sqlite3, libuuid и curl. Разработчики предупреждают, что компилятор всё ещё находится в разработке и не является частью официального релиза.

Существует несколько известных проблем: некорректные отчёты Thread Sanitizer, неспособность LLDB выполнять Swift-выражения, зависание плагинов в SwiftPM, проблемы с C++ interop. Для FreeBSD 15 требуется временный workaround через установку пакета compat14x-amd64. Команда работает над добавлением поддержки aarch64 и распространением пакета для всех минорных версий FreeBSD 14. Пользователям рекомендуется сообщать о найденных ошибках на GitHub.

• Swift на FreeBSD — давно ожидаемое событие, но вопросы остаются: кто будет поддерживать порт, какие зависимости потребуются и какие части стека (например, SwiftUI) останутся проприетарными.
• Появление Swift на FreeBSD подчеркивает, что язык выходит за пределы экосистемы Apple, но при этом неясно, насколько он может быть полезен вне iOS/macOS-разработки.
• Обсуждение также затрагивает, что Swift в отличие от .NET или JVM не имеет полноценной кроссплатформенной стратегии, что ограничивает его применимость.
• Участники обсуждения отмечают, что язык не предоставляет официальной поддержки для серверной разработки, что делает его менее привлекательным для бэкенда.
• Наконец, обсуждение поднимает вопрос о том, что Swift в отличие от .NET или JVM не имеет полноценной кроссплатформенной стратегии, что ограничивает его применимость.

Даниель Стенберг получил от Джошуа Роджерса огромный список потенциальных уязвимостей в curl, включая более 100 потенциальных проблем. Это привело к интенсивному анализу и исправлению кода, что подчеркивает важность краудсорсинга в безопасности ПО. Команда curl оперативно реагирует на такие отчеты, укрепляя стабильность и надежность библиотеки.

Данный инцидент демонстрирует, как открытое сообщество способно эффективно выявлять и устранять риски, даже в хорошо проверенных проектах. Это также напоминает о необходимости постоянного аудита кода, особенно в критически важных инструментах, используемых повсеместно.

• Успешное применение набора AI-инструментов для поиска уязвимостей в проекте curl, что привело к множеству реальных исправлений
• Подчёркивается ценность AI не для генерации кода, а для анализа и указания на потенциально проблемные места, требующие внимания разработчика
• Обсуждение конкретных инструментов (ZeroPath, Claude Code, Cursor BugBot) и методик работы с LLM для эффективного поиска багов
• Отмечается проблема ложных срабатываний и спама от AI в прошлом, но в данном случае подход оказался эффективным
• Размышления о том, как интегрировать подобные AI-инструменты в рабочий процесс для аудита безопасности и повышения качества кода

Ollama представила новый API для веб-поиска, который позволяет моделям получать актуальную информацию из интернета, снижая риск галлюцинаций и повышая точность ответов. Бесплатный тариф доступен для индивидуального использования, а повышенные лимиты — через Ollama Cloud. API интегрирован с Python и JavaScript библиотеками, что упрощает создание инструментов для длительных исследовательских задач, включая работу с моделями вроде OpenAI gpt-oss.

Примеры кода демонстрируют использование через cURL, Python и JavaScript, возвращая структурированные результаты поиска с заголовками, URL и содержанием. Также показано, как построить поискового агента с помощью модели Qwen 3 от Alibaba, используя инструменты web_search и web_fetch для автоматизации запросов и обработки данных. Это расширяет возможности моделей, позволяя им активно взаимодействовать с веб-источниками в реальном времени.

• Вопросы о поисковом провайдере и лицензии на результаты поиска, включая возможность их хранения и перепубликации.
• Сомнения в бизнес-модели Ollama, её переходе от локального хостинга к облачным услугам и планам монетизации.
• Обсуждение технических альтернатив для локального поиска и индексации, а также интеграции с Ollama.
• Критика запуска функции веб-поиска без четкой документации по тарифам, лимитам и политике конфиденциальности.
• Предложения и опыт использования сторонних инструментов для поиска (SearXNG, Tavily, SERP API) и локальных решений.

HackerOne — это платформа для координации программ bug bounty, где компании платят исследователям за обнаружение уязвимостей в их системах. Для полноценной работы сайта требуется включенный JavaScript в браузере, так как многие интерактивные функции, включая отправку отчетов и взаимодействие с интерфейсом, зависят от него.

Без JavaScript пользователь не сможет получить доступ к основному функционалу, включая просмотр программ, отправку отчетов об уязвимостях и управление профилем. Это стандартная практика для современных веб-приложений, обеспечивающая безопасность и удобство использования.

• Пользователи обсуждают волну бесполезных AI-генерируемых отчетов об уязвимостях (например, для cURL), которые тратят время разработчиков.
• Высказываются опасения, что в будущем AI сможет генерировать более правдоподобные, но все же ложные доказательства концепций (PoC).
• Предлагаются решения для борьбы со спамом: платный депозит за отправку отчета, баны, фильтрация по эмодзи и другим признакам AI-текста.
• Обсуждается негативное влияние AI на качество кода, ревью и общую культуру разработки, а также возможные скрытые мотивы таких атак.
• Отмечается профессиональная реакция мейнтейнера (badger) на некорректный отчет и ссылки на соответствующие доклады Дэниела Стенберга о проблеме.

Anubis — «весы душ» для HTTP-запросов, защищают сайты от ИИ-ботов. Вместо CAPTCHA требует перебора nonce, чтобы SHA-256(challenge+nonce) начиналась с 4 нулей (16 бит). Это Proof-of-Work, как в биткоине, но не майнинг.

Проблема: задача легка для дата-центра ИИ, но трудна для обычных пользователей без мощного железа.
Сайты ядра Linux (git.kernel.org, lore.kernel.org) теперь требуют этот PoW, что ломает скрипты и консольные клиенты.

Цифры

• Сложность 4 → 2¹⁶ ≈ 65 536 SHA-256 на токен.
• Токен живёт 7 дней.
• 11 508 «звёзд» GitHub ≈ столько сайтов с Anubis.
• На бесплатной e2-micro GCP: 3688 кБ/с SHA-256 → ≈ 230 000 хэшей/с.
• Для обхода всех сайтов за неделю: 11 508 × 65 536 ≈ 754 млн хэшей → 54 минуты CPU на одном ядре.
  Цена: копейки, даже в облаке. ИИ-вендору это ничто, а владельцу VPS-128 МБ — проблема.

Альтернативы

• Rate-limit, WAF, robots.txt, API-ключи, CDN, client-cert.
• Использовать Tor Browser (JS включён) или Selenium.
• Патчить curl/wget, добавляя JS-движок или готовый PoW-скрипт.
• Прокси-браузер (Puppeteer, Playwright) в headless-режиме.

Workarounds

• anubis-pass — консольный майнер на Go, решает задачу и выдаёт cookie.
• Пользовательские скрипты, которые запрашивают страницу, вычисляют PoW и продолжают сессию.

• Anubis — это PoW-заглушка, которая заставляет клиента выполнить небольшой вычислительный «тест» и получить токен на неделю; таким образом сервер получает идентификатор для рейт-лимита и борется с массовым «распылением» запросов ботами.
• Многие участники считают, что PoW легко обходится при наличии вычислительных ресурсов, но пока большинство AI-краулеров просто не стали заморачиваться, поэтому Anubis «работает» в реальности, хоть и не идеален.
• Критика: задержки 10–20 с на слабых устройствах, проблемы с доступом без JS, «аниме-девочка» вызывает у кого-то раздражение, а у кого-то ностальгию.
• Часть комментаторов предлагает альтернативы: микроплатежи, «человеческие» вопросы, лабиринты-ловушки, VPN-сети или просто блокировки по ASN.
• Самое главное: Anubis не решает проблему окончательно, но добавляет достаточно трения, чтобы заставить владельцев краулеров пересмотреть объёмы сканирования.