Hacker News Digest

За последнюю неделю сразу несколько критических уязвимостей в программном обеспечении затронули тысячи крупных сайтов и вызвали панику. Главная из них — «PHP2Shell» (CVE-2026-109618 и CVE-2026-109619), две ошибки удалённого выполнения кода в PHP. Их независимо нашли команды из калифорнийской Calif (в рамках программы OpenAI «Patch the Planet») и израильско-американской Wiz (часть Google Cloud), причём обе использовали передовые ИИ-модели — GPT-5.6 Sol и Gemini 4 Argon — для поиска уязвимостей и создания эксплойтов. Одна из ошибок ещё в 2024 году всплыла при аудите PHP Foundation, финансируемом Sovereign Tech Agency, но её проигнорировали: никто не понимал, как превратить теоретическую проблему в реальный эксплойт.

Именно в этом ИИ особенно силён: получив даже смутное описание уязвимости, модель быстро строит рабочий эксплойт. Теперь любой анонс патча безопасности фактически означает, что полный эксплойт уже может распространяться — публично или приватно. PHP2Shell, по оценкам, затрагивает до 70% интернета: от Wikimedia Foundation и DeviantArt до значительной части госсайтов Великобритании, банковских систем Японии и сайта шоу The Traitors на BBC. Уязвимости находят и раньше, но обычно они не заставляют половину интернета останавливать серверы.

Обсуждение подтверждает, что LLM ускоряют поиск уязвимостей и создание эксплойтов, сокращая время между обнаружением багов и их эксплуатацией. Мнения о будущем разделились: часть участников (например, @thomascgalvin) считает это «новым кибернормалом», другие (@ozim) видят в этом переходный период, который завершится снижением числа уязвимостей за счет AI-проверки кода. Также возник спор о качестве кода: @wasabinator полагает, что LLM-генерация снизит безопасность, а @ChrisMarshallNY отмечает, что нейросети уже помогают находить баги в «идеальном» коде. Для защиты рекомендуют упрощать архитектуру, минимизировать поверхность атаки, ускорять выпуск патчей и внедрять автоматические инструменты (Dependabot, LLM-сканеры). Отдельно критикуются задержки в раскрытии уязвимостей (@shevy-java) — предлагается публиковать детали сразу. При этом проблемой остается медленное обновление ПО пользователями.

Paper Instruments представила открытую модель Ultramarine 1 Flash, ориентированную на профессиональную работу в финансах, юриспруденции, консалтинге и операционной деятельности. Она относится к классу Fable, но стоит в 60 раз дешевле. На внутреннем бенчмарке PI Knowledge Work модель набирает 59,3 балла при цене всего $0,13 за задачу — это лучший результат на кривой «цена-качество». Для сравнения: Claude Fable 5 (max) даёт 57,8 балла за $8,19, а GPT-5.6 Sol (max) — 55,1 за $2,09. До Claude Opus 5.5 (max) и GPT-6 Sol (max) с их 61,9 и 61,4 баллами модель не дотягивает всего три пункта, но те стоят $6,96 и $1,26 соответственно.

Модель на 6,5% эффективнее по токенам, чем её база GLM-5.3 Flash, то есть приходит к лучшему результату более коротким путём. Цены на API — $0,15 за миллион входных токенов, $0,03 за кэшированные и $0,50 за выходные, как у GLM-5.3 Flash. Бенчмарк PI Knowledge Work требует от модели готовых Excel-книг, презентаций PowerPoint и документов Word, а также работы в живых бизнес-системах вроде ERP и MES; каждая задача оценивается по содержанию, точности и подаче. Ultramarine 1 Flash пишет чистым и простым языком, соблюдая правила, принятые у аналитиков профессиональных услуг.

Сообщество скептически относится к маркетинговым графикам из-за подозрений в черрипикинге, но подтверждает высокую эффективность модели по соотношению цена/качество в узких задачах. Пользователи @CobrastanJorji, @digitcatphd и @N_Lens обвиняют авторов в манипуляции статистикой и сокрытии более сильных моделей (Fable 5.1, GPT-6 Astra) в основных бенчмарках, в то время как @torginus считает оправданным тестирование только в профильных задачах. Модель базируется на GLM-5.3 Flash с применением крупномасштабного обучения с подкреплением (RL), что отличает её от простых оберток над open-source решениями. По опыту @vehemenz, заявленное соотношение цены и производительности подтверждается при сравнении с Haiku, GPT-mini и Deepseek v4 0731. Совет: По мнению @zer00eyz, из-за низкой стоимости модели следует использовать стратегию «грубой силы» (brute force), запуская задачу многократно до получения верного результата, вместо поиска идеального one-shot ответа. Для реализации функций создания офисных документов модель требует внешней «обвязки» (harness), например, через интерпретатор Python с соответствующими библиотеками или специализированные инструменты вроде Feather или Radix. Спор: Возник спор о классе модели: авторы заявляют о Fable-class, но @Kevcmk утверждает, что согласно графикам она относится к Luna-class.

Математик и его коллега Левант Альпоге объявили о достижении конечного времени взрыва с гладким принуждением для трёх систем: уравнения несжимаемой пористой среды, системы Буссинеска и трёхмерных уравнений Эйлера. Они считают, что также получили взрыв для гипо-диссипативных уравнений Навье-Стокса, но не публикуют этот результат, поскольку проверка в Lean ещё не завершена, а рукопись не готова к публикации. Работа построена на программе Диего Кордобы и Луиса Мартинеса-Зороа, которые несколько лет исследовали вынужденные взрывы с грубым принуждением; авторы использовали большие языковые модели (LLM), чтобы довести эту программу до гладкого принуждения и уравнений Эйлера. Идеи лежат в основе работ Кордобы и Мартинеса-Зороа, и автор считает, что Мартинес-Зороа заслуживает медали Филдса за этот вклад.

Сотрудничество с Левантом было личным, без институциональной поддержки. Использовались модели Anthropic’s Claude, OpenAI’s Codex (включая GPT-5.6 Sol) и recientemente Astra — последняя только для написания и аудита аргументов. Прогресс был медленным до середины августа, когда 15-го числа получены результаты для Буссинеска и Эйлера с гладким принуждением; первая LLM-доказательная версия, полученная от Леванта, была ужасна, но проверена в Lean 22-го числа. С тех пор авторы работают круглосуточно, чтобы превратить машинное доказательство в читаемое. Автор извиняется за низкое качество написания статей, называя их «AI slop», и объясняет это внешним давлением и спешкой. Он подчеркивает, что настоящая значимость результата — не в самом взрыве, а в том, что математик и LLM смогли достичь этого за месяц, что ставит под вопрос традиционные модели обучения, авторства и рецензирования в математике, сравнивая этот момент с «Deep Blue — Каспаровым».

Автор также раскрывает конфликт: после объявления результатов ему предложили через Себастьяна (представителя OpenAI) удалить Леванта из авторства под предлогом, что OpenAI якобы собирается опубликовать собственный результат по Навье-Стоксу и заявить, что они заслуживают Клейевской премии, а авторы — «ближайшие люди к проблеме». Автор отказался, заявив, что если OpenAI опубликует своё решение таким образом, он сделает публичным то, что ему сказали. Он подчеркивает, что не видел доказательства OpenAI, не обвиняет никого, но считает необходимым рассказать о предложении, чтобы предотвратить ложную narraтиву. В завершение он благодарит математическое сообщество за поддержку и выражает желание вернуться к обсуждению идей Кордобы и Мартинеса-Зороа и broader implications для математики.

Тред обсуждает спор о возможном использовании OpenAI приватных данных исследователей Buckmaster–Alpöge при работе над доказательством для уравнений Навье–Стокса: прямых доказательств копирования нет, но существует значительное недоверие. Утверждается, что OpenAI могла получить доступ к их сессиям Codex — компания это отрицает. Также упоминаются якобы имевшие место угрозы со стороны сотрудников OpenAI против соавтора, связанного с Anthropic — они отвергаются как ложные. Неясно, началась ли работа OpenAI над задачей до или после известия о прогрессе Buckmaster–Alpöge, что вызывает споры о мотивации ускорения. При этом подтверждено, что Buckmaster и Alpöge активно использовали Claude и Codex в процессе разработки. Многие считают, что инцидент приведёт к ужесточению ограничений на использование публичных LLM для конфиденциальных исследований. Рекомендуется избегать ввода черновиков доказательств в публичные интерфейсы до ясности условий использования. Предлагается разработать общепринятые нормы атрибуции и лицензирования при значительном вкладе LLM в математические доказательства.

GPT‑5.6 Sol — новая версия, адаптированная под привычный стиль общения в ChatGPT. Она даёт более лаконичные ответы, повышает точность фактов и делает диалоги последовательнее: от быстрых «одно‑два‑слов» до более глубоких, продуманных выводов. Пользователи могут регулировать «умовую глубину» мышления с помощью ползунка, выбирая, насколько тщательно модель будет рассуждать.

Бесплатным пользователям теперь доступен GPT‑5.6 Luna — модель, которая заменяет прежний GPT‑5.6 Turbo в режиме «без ограничений». При необходимости более сложных рассуждений есть кнопка Think, позволяющая переключиться на более «глубокое» рассуждение. На платных тарифах Plus и Pro улучшенный GPT‑5.6 Sol будет доступен по‑умолчанию, а бесплатные пользователи получат неограниченное количество текстовых запросов и возможность использовать Think для сложных задач. Цифра, запомнившаяся: более 1 млрд человек еженедельно используют ChatGPT.

Пользователи отмечают значительное улучшение моделей GPT-5.6 Sol и Luna по точности и последовательности ответов по сравнению с предыдущими версиями. Споры идут о ползунке регулирования уровня рассуждений: одни считают его излишне сложным, другие — ценят за повышение точности ответов. Некоторые советуют использовать ползунок для сложных задач, а простые модели — для быстрых вопросов. Также обсуждается доступ Luna для бесплатных пользователей: одни видят в этом ограниченное улучшение, другие — важную возможность получить более точные ответы.