Hacker News Digest

Сервис pwn.watch отслеживает актуальные инциденты безопасности: сейчас в ленте 36 активных случаев, из них 15 критических, а 18 уязвимостей ещё не закрыты полностью. Самая тревожная новость — банки США (Morgan Stanley, Bank of America, JPMorgan, Wells Fargo, Citi) фиксируют сторонних ИИ-агентов внутри клиентских счетов: агенты входят под учётными данными самих клиентов, что нарушает банковские правила, а руководители признают, что не всегда отличают человека от агента и авторизованного агента от вредоносного. Потерь и захватов счетов пока не зафиксировано, но Morgan Stanley уже блокирует таких агентов, а JPMorgan, Bank of America и Citi их ограничивают.

Среди других громких случаев — критическая уязвимость GitLab CVE-2026-110264 с оценкой CVSS 10.0: переполнение целых чисел в компиляторе регулярных выражений Onigmo позволяет неаутентифицированному атакующему выполнить код на самостоятельно размещённом GitLab; уязвимы все версии CE/EE с 2014 года, и одной октябрьской заплатки недостаточно. Trend Micro случайно отправила неисправленные отчёты об уязвимостях ядра Linux в публичные списки рассылки, раскрыв детали двух RCE в ksmbd с оценкой CVSS 9.0. Также скомпрометирован релизный конвейер LiteLLM: вредоносная версия 1.107.0 провисела на PyPI около двух часов и крала учётные данные при каждом запуске Python.

Обсуждение подтверждает рост числа инцидентов: данные Identity Theft Resource Center фиксируют увеличение компрометаций в США с 1 099 в 2016 году до более 3 300 в 2025 году, с резким скачком после 2022 года. Пользователь pixl97 связывает это с «безумным» темпом обнаружения уязвимостей из-за прежнего пренебрежения безопасностью. Участники (xbar, Kevin_Flynn) предсказывают, что LLM станут драйвером крупнейшей волны инцидентов в истории. WarmWash добавляет геополитический риск: китайские модели ИИ могут быть использованы в кибератаках. Возник спор о юридической ответственности за ошибки AI-агентов в банках: mahboi и stickfigure отмечают, что клиенты сами предоставляют им доступ. В качестве альтернативы для контроля средств без посредников рекомендуют самокастоди криптовалют. По сайту и данным предложены следующие улучшения: — заменить тепловую карту линейным графиком для наглядности динамики; — уточнить классификацию инцидентов, так как статусы «Live» и «Ongoing» остаются после патчей; — исправить ошибки 404 по кнопкам RSS и JSON; — изменить темную «AI-aesthetic» тему, которая ухудшает читаемость, особенно для людей с астигматизмом.

Банки, ещё полгода назад наперегонки финансировавшие строительство дата-центров под проекты Oracle, Meta и других, теперь пытаются сбросить этот долг со своих балансов. JPMorgan, Morgan Stanley, SMBC и MUFG прорабатывают сделки по передаче риска: кредит формально остаётся на бумаге, а его рискованная часть перекладывается на сторонних инвесторов. Причина — внутренние лимиты на концентрацию рисков, связанных с ИИ, у каждого отдельного кредитора.

Показательный пример: консорциум банков во главе с JPMorgan и MUFG уже более полугода не может распределить 38 миллиардов долларов строительного долга по проекту дата-центров в Техасе и Висконсине, арендуемых Oracle. Часть бумаг готова уйти небанковским покупателям с дисконтом — лишь бы сдвинуть с места. Пятилетние кредитные дефолтные свопы Oracle в начале октября подскочили до примерно 151 базисного пункта, максимума с 2009 года, а S&P ещё в июле понизило рейтинг компании до BBB-. Книги заявок на облигации Alphabet, Amazon, Meta, Microsoft и Oracle сжались с примерно пятикратного превышения спроса в феврале до менее чем двукратного к июлю.

Инвесторы перебирают: капитал идёт к дата-центрам, арендованным надёжными гиперскейлерами вроде Microsoft и Google, и уходит от слабых заёмщиков. Бумаги под аренду CoreWeave стоят 7,00–9,875% против 5,70–7,875% у гиперскейлеров. На фоне доходности десятилетних казначейских облигаций в 5,304% — максимума с 2002 года — бум ИИ держится на допущении, что кредит останется доступным бесконечно. Полгода безуспешной продажи 38 миллиардов долларов кредитов — самое ясное свидетельство, что это допущение проверяется прямо сейчас.

Продажа банковского долга через синдикацию — стандартная практика для передачи риска и освобождения баланса. Однако текущая синдикация задерживается на шесть месяцев, тогда как обычно занимает недели, что указывает на рыночное напряжение. Ставки по облигациям CoreWeave (7,0‐9,875 %) выше, чем у гиперскейлеров (5,70‐7,875 %), отражая рост риск‐премий. Объём выпуска AI‐связанного долга в сентябре упал на 50 % до 23 млрд $ против пика в 113 млрд $ в июне. Некоторые эксперты сравнивают ситуацию с предкризисными ипотечными секьюритизациями 2008 года, отмечая потенциальные системные риски. При этом подчёркивается, что продажа долгов остаётся обычным процессом, а опасения могут быть преувеличены СМИ. Размеры сделок названы «вне масштаба прежнего опыта» (Мэттью Монит, Man Group). Уточняется, что обсуждаемый долг относится к частному кредиту, отличающемуся по риску от долгов публичных компаний. Банки передают риск из-за внутренних лимитов на концентрацию. CoreWeave выплачивает Micron и NVIDIA маржу 80 % при ставке 9 %, затем продаёт оборудование провайдерам, субсидирующим токены в 20‐кратном размере от API‐цен.

Чарли Джавис приговорена к семи годам тюрьмы за мошенничество при продаже своего стартапа JPMorgan. Её компания Frank, позиционировавшаяся как платформа для помощи студентам с финансированием образования, была куплена банком за $175 млн в 2021 году, но оказалось, что данные о пользователях были сфальсифицированы.

Суд установил, что Джавис создала миллионы фиктивных аккаунтов, чтобы искусственно завысить метрики и обмануть покупателя. Это дело подчёркивает риски due diligence при сделках и жёсткую позицию регуляторов в отношении стартап-афер.

• Осуждается мошенничество основательницы стартапа, подделавшей данные пользователей для продажи компании JPMorgan за $175 млн, что привело к её тюремному заключению.
• Поднимаются вопросы о недостаточной проверке (due diligence) со стороны JPMorgan, despite явные признаки фальсификации данных и уловки продавца.
• Обсуждается феномен «30 до 30» от Forbes как потенциального маркера для мошенников и общая культура приукрашивания в стартап-среде.
• Отмечается избирательность правосудия: мошенничество против банков наказывается, while аналогичные действия банков часто остаются безнаказанными.
• Сравнивается данный случай с другими громкими делами (Theranos, SBF) и обсуждаются возможные сроки и условия заключения в «тюремном лагере».