🔥 Самая масштабная атака на экосистему JavaScript

Фишингом угнали npm-аккаунт мейнтейнера qix и пушнули апдейты в 18 ключевых пакетов (chalk, debug, strip-ansi, color-convert и др.) — суммарно это ~2,6 млрд загрузок в неделю.
В обновления вставили браузерный крипто-«клиппер»: на сайтах/в приложениях с уязвимыми версиями он перехватывает трафик и подменяет адреса кошельков.

Скомпрометированные версии — удалить немедленно из всех сред (локальные машины разработчиков, CI/CD, прод):

ansi-styles@6.2.2
debug@4.4.2
chalk@5.6.1
supports-color@10.2.1
strip-ansi@7.1.1
ansi-regex@6.2.1
wrap-ansi@9.0.1
color-convert@3.1.1
color-name@2.0.1
is-arrayish@0.3.3
slice-ansi@7.1.1
color@5.0.1
color-string@2.1.1
simple-swizzle@0.2.3
supports-hyperlinks@4.1.1
has-ansi@6.0.1
chalk-template@1.1.1
backslash@0.2.1
error-ex@1.3.3

⚡️ Что стоит сделать:
▪Удалить уязвимые версии из дерева зависимостей, пересобрать и задеплоить исправления.
▪Проверить lock-файлы (package-lock.json, yarn.lock, pnpm-lock.yaml) и node_modules на присутствие перечисленных версий.
▪ Очистить кэш менеджера пакетов: npm cache clean --force, yarn cache clean, pnpm store prune.
▪ Переустановить зависимости с нуля (удалив node_modules и lock-файлы) и заново зафиксировать версии.
▪ Пересобрать фронтенд-бандлы, инвалидировать CDN/кэши, перезапустить рантаймы.
▪ Проверить логи на внешние запросы из бандла, провести аудит внесённых PR/коммитов.
▪ Ротировать ключи/токены, если могли утечь, и ужесточить 2FA/доступ к npm.

📌 Разбор атаки

#security #npm #javanoscript #supplychain #infosec #malware

✔️ Google представила AP2 — протокол для безопасных платежей через AI-агентов

Google объявила о запуске открытого протокола Agent Payments Protocol (AP2), созданного для того, чтобы AI-агенты могли безопасно совершать покупки от имени пользователей. Сегодня большинство платёжных систем рассчитаны на прямое участие человека, но с ростом автономных агентов возникает потребность в стандартах, которые обеспечат доверие, прозрачность и защиту от ошибок или мошенничества.

AP2 решает эту задачу с помощью криптографически подписанных «мандатов» — цифровых разрешений, которые фиксируют права агента на выполнение конкретных действий. Протокол поддерживает как покупки в реальном времени (например, агент собирает корзину, а пользователь подтверждает), так и делегированные задания вроде «купить билеты при появлении» с заданным бюджетом и сроками. В систему интегрированы разные способы оплаты: карты, банковские переводы в реальном времени и стабильные цифровые валюты.

К разработке AP2 присоединились более 60 компаний, среди которых American Express, Mastercard, PayPal, Revolut и Coinbase. Инициатива строится на расширении стандартов Agent2Agent и Model Context Protocol.
google

✔️ Лаборатория Tongyi Lab (Alibaba Group) представила Tongyi DeepResearch – новый открытый агент для работы в вебе.

Агент использует всего 30 B параметров (3 B активны), он показывает результаты на уровне коммерческих моделей, таких как OpenAI o3.
На бенчмарке Humanity’s Last Exam агент набрал 32.9 балла (против 24.9 у OpenAI o3). Также он набрал 45.3 в BrowseComp и 75.0 в xbench-DeepSearch.

Это говорит о его способности эффективно искать и анализировать данные. Модель обучается с помощью подкрепления в реальных и симулированных условиях. Данные создаются автоматически, без дорогих ручных аннотаций. Есть режимы ReAct и Heavy Mode, где несколько агентов работают параллельно, а итоги синтезирует финальный модуль)
https://tongyi-agent.github.io.

✔️ Unitree выпустила первый open-source world-model на Hugging Face

Компания Unitree представила свою первую открытую архитектуру world-model–action под названием UnifoLM-WMA-0, доступную на платформе Hugging Face. Это универсальная система для обучения роботов, охватывающая разные типы робототехнических тел и ориентированная на задачи общего назначения.

В основе проекта — world-model, способный понимать физические взаимодействия роботов с окружающей средой. Он выполняет две ключевые функции:

- Simulation Engine — работает как интерактивный симулятор и генерирует синтетические данные для обучения.

- Policy Enhancement — соединяется с модулем действий и, предсказывая будущие процессы взаимодействия, повышает качество принятия решений.
HF

✔️ OpenAI возвращается в робототехнику

OpenAI тихо формирует новое подразделение, сосредоточенное на «универсальной робототехнике». Компания нанимает специалистов по управлению гуманоидными роботами, телеприсутствию и быстрому прототипированию оборудования. Вакансии упоминают симуляцию Nvidia Isaac, разработку тактильных сенсоров и опыт массового производства — это может означать, что OpenAI планирует создавать или глубоко дорабатывать собственных роботов.

После сворачивания проектов в 2021 году ради фокуса на языковых моделях, OpenAI снова поворачивается к физическому миру. Теперь цель компании — обучать ИИ не только понимать текст, но и действовать в реальности, что рассматривается как необходимый шаг к созданию AGI.
Новость

@ai_machinelearning_big_data

#news #ai #ml