Hacker News Digest

Эксплуатационные брокеры готовы платить до $500 000 за ноль-день уязвимость в WordPress, способную дать удалённый кодовый доступ (RCE). Автор статьи, используя модель GPT-5.6 Sol Ultra, обнаружил такую уязвимость всего за $25 — стоимость API-запросов. Уязвимость возникла из-за неожиданного взаимодействия между устаревшим плагином и новой функцией обработки шаблонов, которую ИИ смог выявить, проанализировав тысячи строк кода и паттернов ошибок, недоступных для традиционных сканеров.

Исследование демонстрирует, как современные ИИ-инструменты радикально снижают барьеры для поиска уязвимостей: ранее требовавшие месяцев работы экспертов, теперь можно найти за часы с минимальными затратами. Это ставит под угрозу безопасность десятков миллионов сайтов на WordPress, особенно тех, что используют неподдерживаемые плагины. Автор подчёркивает, что даже незначительные изменения в коде плагина могут порождать критические уязвимости, которые люди просто не замечают — но ИИ находит мгновенно.

Обсуждение сомневается в реальности выплаты $500k за уязвимость: подтверждённых случаев нет, брокеры вроде Zerodium платят по частям до устранения бага, а автор связан с компанией, продающей ИИ-сканеры, что бьёт по объективности. Заявленные «$25 на API» игнорируют годы опыта и множество неудачных попыток, лежащих за находкой; заслугу нельзя приписывать ИИ — вклад вносит человек, знающий, где искать и как формулировать промпты. Спорят, почему GPT-5.6 не заблокировал такие промпты (возможно, ослабленные guardrails) и почему брокеры платят автору, а не используют модель сами. WordPress остаётся уязвимым из-за огромной экосистемы плагинов и устаревшей архитектуры, хотя SQL-инъекции через конкатенацию давно ловят SAST и код-ревью. Часть участников подозревает, что история и запутанные идентификаторы выдуманы ради эффектного поста, без упоминания репорта или патча.

Исследование Future of the Web 2026, проведённое WordPress VIP, показывает, что бренды, использующие AI‑оптимизацию контента, получают в среднем 30 % больше упоминаний в больших языковых моделях, что напрямую повышает их видимость. Платформа предоставляет enterprise‑решения: мгновенную производительность, масштабируемость, встроенную аналитику Parse.ly и расширяемую экосистему, позволяющую маркетингу и разработке работать без постоянного привлечения разработчиков.

Кейсы подтверждают выводы: Pew Research Center, усилив видимость в LLM, выпустил крупнейший отчёт в своей истории, а Al Jazeera после перехода на headless WordPress VIP улучшил все ключевые KPI. Партнёры VIP применяют AI для автоматизации рабочих процессов, ускорения публикаций и создания персонализированных аудио‑видео‑опытов, делая контент не просто текстом, а полноценным брендовым опытом.

• Брендинг «AI» часто направлен на инвесторов, а не на конечных пользователей, которые ценят практичность, а не технологический шум.
• Большинство реализованных AI‑фич воспринимаются как ухудшение качества, лишняя сложность и «показуха», вызывающие недоверие.
• Потребители формируют мнение о продукте по собственному опыту, а не по маркетинговым обещаниям о «будущих возможностях».
• Слишком широкая и неопределённая терминология «AI» размывает её смысл, делая её маркетинговым клеймом, а не реальной ценностью.

Суд отклонил ключевые иски WP Engine и Silver Lake: антимонопольные и вымогательские претензии сняты. Дело существенно сузилось — победа для всех, кто поддерживает open-source. Остальные обвинения рассмотрим, уверены в законности своих действий.

• Matt рад «победе» в суде, но юристы и HN-утверждают: большинство исков WP Engine просто отклонены «с возможностью доработки», а не разбиты.
• Сообщество не делит радость: массово уходят с WP.com, ставят ClassicPress/Statamic, смотрят на децентрализованный форк fair.pm под Linux Foundation.
• Репутационный ущерб оценивают выше юридического: «выиграл дело, но потерял доверие», «WordPress больше не рекомендую клиентам».

Gemma 3 270M — самая маленькая модель семейства Gemma 3, всего 270 млн параметров.
Подходит для запуска на смартфонах, микроконтроллерах и в браузере без облака.

• Производительность: на MMLU и HumanEval обгоняет Gemma 2 2B и Llama 3.2 3B, уступает Gemma 3 1B.
• Скорость: на Pixel 8 Pro — 1,2 токена/с, на RTX 4090 — 200 токенов/с.
• Форматы: Keras, JAX, PyTorch, Gemma.cpp, Ollama, Transformers.
• Лицензия: Gemma Terms of Use, коммерческое применение разрешено.

Доступна в Kaggle, Hugging Face, Ollama и через gemma-3-270m-it в Vertex AI.

• Команда представила Gemma 3 270M — сверхкомпактную модель (241 МБ) для локального запуска и тонкой настройки под узкие задачи.
• Пользователи уже тестируют её на телефонах, но жалуются на холлюцинации и слабое следование инструкциям.
• Обсуждаются примеры применения: тегирование статей WordPress, NER/перевод, генерация SVG, «умные» клавиатуры, обработка 50 млн строк в день.
• Многие спрашивают туториалы по дообучению и сравнение с Qwen 0.6B, который показывает лучшее качество при схожем размере.
• Авторы подчеркивают: модель «из коробки» слаба, но после fine-tuning может стать мощным специализированным инструментом.