AI/Infra #124: Критические дыры в PHP, компрометация LiteLLM и DuckDB 2.0 LTS

🎧 Подкаст-версия выпуска (mp3)

🛡️ Безопасность

• Cloudflare WAF анализирует ответы сервера — Новые full transaction detections сопоставляют HTTP-запрос с ответом, а response rules позволяют реагировать на признаки эксплуатации.
• У ключей центра сертификации нашли критическую слабость — Исследователь сообщил, что ключи eMudhra удалось взломать за миллисекунды из-за крайне малой энтропии.
• PHP закрывает две критические уязвимости RCE — Релизы PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 исправляют ошибки управления памятью и устаревшего глобального состояния, допускавшие удалённое выполнение кода без авторизации.
• Релиз LiteLLM в PyPI содержал стилер и бэкдор — Версия 1.107.0 устанавливала вредоносные файлы, запускавшиеся при старте любого Python-процесса; пакет уже удалён из PyPI.
• Railway раскрыла инцидент безопасности — Railway опубликовала сообщение о безопасности, вызвавшее активное обсуждение среди разработчиков.
• OpenAI помогла координировать исправление PHP — В инициативе Patch the Planet модель GPT-5.6 Sol участвовала в поиске критических проблем PHP, а OpenAI координировала двухмесячную подготовку исправлений с мейнтейнерами, Wiz и Cloudflare.

🤖 Агенты и модели

• Modal выпустила Dojo для обучения LLM — Библиотека даёт готовые компоненты, настройки и наблюдаемость для production-обучения LLM с подкреплением.
• Commerce.com и Cloudflare готовят магазины к агентам — Интеграция WebMCP призвана дать покупательским агентам структурированный доступ к действиям сайта вместо догадок по HTML.
• CNCF советует сперва дать агенту контекст SRE — Прежде чем покупать AI SRE, стоит снабдить уже используемые Claude Code, Codex или Cursor контекстом кластера и инцидентов.
• Anthropic представила Claude Duet — Исследовательский агент на Opus 5.5 работает в фоне, подключается к более чем 6 000 коннекторов и запрашивает подтверждение для важных действий.
• Вышла локальная модель OrcaCyber Nano — 27-миллиардная vision-language модель для офлайн-задач кибербезопасности заявляет контекст 32 768 токенов и спекулятивное декодирование.
• Исследуют поиск направления отказа в LLM — Работа проверяет, можно ли без разметки выделять в активациях направление отказа методами PCA и Isomap на Llama и Qwen.
• JetBrains выпустила GGUF-варианты Mellum 2.1 — MoE-модель Thinking с контекстом 131 тысяча токенов получила квантизации для llama.cpp, Ollama и LM Studio, включая голову многотокенного предсказания.
• ML предлагают рассматривать как физику многих тел — Автор связывает динамику SGD и сингулярную теорию обучения с представлением данных как частиц, а параметров модели как связей.
• FLUX 3 Max ускорили почти до реального времени — По тестам fal, десять секунд видео 720p со звуком генерируются за 12,45 секунды, что примерно в 22 раза быстрее Seedance 2.5.

📊 Наблюдаемость и данные

• Logz.io добавила трассировку AI-агентов — AI Observability на базе OpenTelemetry связывает путь запроса от промпта до сервиса и показывает многошаговое выполнение агента.
• Grafana Workflows автоматизирует работу с инцидентами — Инструмент объединяет координацию responders, обновления для поддержки и доступ к runbook, чтобы ускорить расследование.
• DuckDB 2.0 стала LTS-версией — Крупный релиз приносит доработанный протокол Quack, асинхронный ввод-вывод, тип VARIANT, режим агентов, триггеры и расширяемый SQL-парсер; поддержка заявлена минимум до октября 2027 года.
• Cursor можно трассировать через Langfuse и ClickHouse — Плагин записывает вызовы моделей и инструментов, расход токенов и задержки, а ClickHouse помогает разбирать отдельные прогоны и командные тенденции.
• OpenReplay обрабатывает 6 ТБ событий в день на ClickHouse — Крупнейшие установки принимают миллиарды событий в сутки на одном вертикально масштабированном инстансе и отвечают на запросы менее чем за секунду.

🧰 Разработка и инфраструктура

• Cloudflare сэкономила 100 ТБ на DNS-кеше — Оптимизация структур данных Rust и устранение дублирования в кеше 1.1.1.1 одновременно снизили потребление памяти и ускорили работу.
• Firefox Local Mode упростил тестирование HTTPS — В Firefox 153 DevTools позволяют привязать локальные папки к собственным HTTPS-адресам без запуска сервера, включая раздельные origin и хранилища.
• Австралийский суд обязал Apple открыть iOS — Суд постановил разрешить в Австралии сторонние магазины приложений, sideloading и альтернативные платежи после вывода о злоупотреблении рыночной властью.
• Разбирают новый алгоритм умножения целых чисел — Дэвид Харви оценивает заявленный алгоритм со сложностью ниже O(n log n) и отмечает огромный разрыв с прежней асимптотической границей.
• Snapintosh запускает macOS на Snapdragon — Проект загружает macOS 27 на ASUS Zenbook с Snapdragon X2 Elite через монитор EL2 и собственные драйверы Adreno, но пока без аудио, камер и сна.
• Google опубликовала руководство по стилю Rust — Рекомендации охватывают организацию кода, владение и конкурентность, советуя небольшие crates, плоскую структуру файлов и осторожность с Rc, Arc и async.
• CoreWeave представила узел NVIDIA HGX Rubin NVL8 — Конфигурация объединяет восемь GPU Rubin, 2 ТБ HBM4 и NVLink для агентных, аналитических и HPC-нагрузок.

Больше заметок: @mediocreit

Собрано: OpenAI / gpt-5.6-terra
Обогащение: Tavily
TTS: ElevenLabs / eleven_multilingual_v2
Tracing: Nebius Tracing