Безопасность ЕСУГИ, sshhole в OpenSSH и GPT-6 Cyber: российский IT-дайджест #73

Росимущество заказало систему безопасности за 1,91 млрд, в OpenSSH на musl нашли уязвимость sshhole, а OpenAI показала GPT-6 Cyber с уровнем угрозы Critical. В подборке также подключение Max к ГИС КСИМ, права для курьеров и открытые веса Kimi K3.1 Pro.

Хотите, чтобы новости вашей компании попали в следующий выпуск? Присылайте их в Telegram-канал основателя «Клерка» — Бориса Мальцева.  

Начальная цена контракта Росимущества на систему информационной безопасности ФГИАС ЕСУГИ составляла 1,94 млрд рублей, победитель аукциона предложил 1,91 млрд — снижение всего 1,5 процента. Заявок было две, вторая отличалась от победившей на 0,5 процента. Работы охватят 97 объектов: шесть в Москве, остальные — в регионах.

Договор заключается не раньше 17 ноября, срок работ — до 18 декабря. В документации запрет на иностранное ПО и конкретные вендоры: UserGate, «Континент», КриптоПро, Astra Linux и Альт.

Мессенджер Max планируют подключить к ГИС КСИМ, которая отслеживает актуальность номеров у операторов связи. В Минцифры пояснили: сервис сможет проверять статус номера, учитывать прекращение договора на услуги связи и быстрее выявлять риски неправомерного использования аккаунтов.

Речь о проверке номеров, к которым привязаны учетные записи пользователей.

Минтранс вынес на обсуждение проект, который приравнивает к мопедам средства индивидуальной мобильности со скоростью свыше 25 км/ч и мощностью от 0,25 до 4 кВт. Тогда курьерам понадобятся права категории «М», а сейчас они есть лишь у 15–20% доставщиков.

Ассоциация микромобильности просит смягчить правила: обучение и информирование готовы взять на себя операторы доставки.

Гендиректор компании объяснила реорганизацию замедлением роста впервые за десять лет и слишком большим числом согласований при разработке. Подразделения Product, Growth и Platform объединят, уровней управления станет меньше. Тем, кого сокращают, обещают минимум шесть месячных зарплат, годовую страховку, ноутбук и грант на свое дело.

С января 2027 года в офис придется приезжать 2–3 раза в неделю.

Модель соблюдала границы разрешенной зоны тестирования в 99,93% случаев без дополнительных инструкций, у предыдущей версии было 94,49%; с защитными инструкциями она не выходила за рамки ни разу. OpenAI присвоила модели уровень Critical: это значит, что она способна сама разрабатывать рабочие эксплойты для серьезных уязвимостей.

Пока модель открыта только проверенным организациям — через API и Codex по программе Daybreak Red.

Веса открыты в квантованном виде: модель обучали с учетом квантования по технологии QAT, веса хранятся в MXFP4. Репозиторий занимает около 1,56 ТБ в 96 шардах и открыт без запроса доступа, тогда как в BF16 та же модель заняла бы 5,6 ТБ.

Локальное развертывание остается задачей уровня кластера: на восьми B200 веса не помещаются даже без кэша.

Super-Agent запускается, когда задачу ставит авторизованный пользователь или она подходит под заранее заданные правила. Работа идет в отдельной сессии и папке, результат возвращается в тот же чат — например, пулл-реквестом. Автоматическое слияние доступно, если есть одобрения ревьюеров и правка не меньше 200 строк.

В DeepSeek подчеркивают: это исследовательский прототип, а не готовый продукт.

Проблема возникает из-за взаимодействия OpenSSH и функции crypt() в musl: для учетных записей, у которых аутентификация по паролю заблокирована символом «*» в /etc/shadow, подходит любая строка длиной от 257 до 1024 байт.

Это касается root и служебных пользователей в образах Alpine, включая штатные образы для AWS и Azure, и множества Docker-образов на Alpine.

С обновлением 27.3 Apple начнет проверять файлы, которыми пользователь поделился по публичной ссылке: такой контент станет доступен компании для поиска вредоносного содержимого. Одновременно эти данные лишатся сквозного шифрования. Apple вправе удалить или отклонить такой файл, заблокировать аккаунт, а в отдельных случаях — передать информацию полиции.

Бета-версии 27.3 уже вышли для разработчиков, релиз ожидается в декабре.