Искусственный интеллект — профессиональное освещение
Открытые модели сокращают отставание от ведущих лабораторий. Этот хаб отслеживает релизы open-weight, споры о лицензиях, доработки сообщества и инфраструктуру, которая помогает открытому ИИ оставаться конкурентоспособным.
Уровень pathsec, добавленный NLTK для устранения более ранней уязвимости, связанной с выполнением pickle, по умолчанию отключен — он предупреждает и затем продолжает работу, а для отдельной ошибки path вообще нет патча.
18 ч назад
Omnigent — open-source harness с 9 600 звёздами, который запускает кодирующих агентов в песочнице, — за один раз получил четыре CVE. Самая показательная из них — механизм политик, чей парсер по умолчанию пропускает запросы.
19 ч назад
Google открыла исходный код используемого внутри harness для поиска багов, а число, которое цитируют как его точность, — это отраслевой базовый уровень, против которого выступает пост.
20 ч назад
Код LM-SPT распространяется по Apache-2.0, а веса — по CC BY-NC 4.0. Kakao не выбирала такое разделение — ограничение унаследовано от обучающего корпуса Emilia, чья метка на Hugging Face формально более разрешительная, чем собственные условия.
1 дн назад
CVE-2026-72649 превращает артефакт обученной модели в удалённое выполнение кода с CVSS 8.8. В отличие почти от всех остальных AI-рекомендаций, опубликованных на этой неделе, Elastic называет версии, которые это исправляют.
1 дн назад
CERT/CC опубликовал VU#456290 1 сентября, через четыре недели после уведомления Hugging Face. Заявления от вендора нет, патча нет, а порядок операций не изменился в текущем релизе — на восемь версий выше указанного потолка.
1 дн назад
В релизе Broadcom о частном ИИ-облаке в числе протестированных названы Nemotron 3, Gemma 4, cotomi, Qwen 3.7-Max и GLM 5.2. Две из пяти — китайские, работающие на принадлежащем клиенту оборудовании.
2 дн назад
Мультиагентный фреймворк с 70 000 звёзд получил уведомления о command injection и path traversal. Уязвимый код по-прежнему находится в ветке по умолчанию, а степень критичности указана как неизвестная.
2 дн назад
В объявлении говорится, что модель доступна на GitHub и Hugging Face. Но в нем не сказано, что впервые в серии веса нельзя использовать в коммерческих целях.
2 дн назад
Модель была анонсирована 21 августа как доступная только через API. Веса под лицензией MIT — 48 шардов, около 167,8 ГБ — появились 31 августа.
3 дн назад
В v0.11.2 говорится, что часть предупреждений может быть отложена, чтобы дать администраторам время на патч, — а значит, и время атакующим изучить различия между релизами.
3 дн назад
Неактивные сессии теперь будут истекать через 30 минут, а серверы ограничены 10 000 сессий. В pull request есть раздел Breaking Changes и неотмеченный флажок breaking-change.
5 дн назад
Z.ai выпустила веса полной модели по лицензии, которая требует от операторов крупных model-as-a-service пройти проверку, сферу которой Z.ai определяет сама.
6 дн назад
Ling-3.0-flash-Fin вышла в западном routing-слое в 15:58 UTC 27 августа, за несколько часов до объявления на китайском. Ant говорит, что веса появятся «на следующей неделе»; в его организации на Hugging Face сейчас такого репозитория нет.
6 дн назад
Версия 1.16.0 заменяет каталог навыков с опцией отказа на allow-list — в разделе Features, между изменением закрепления боковой панели и ссылкой на файловый ящик. Проект объясняет это конфликтом в промпте, а не расширением поверхности атаки.
6 дн назад
GLM-5.3-Flash распространяется под MIT, имеет 320B общих и 18B активных параметров. Результаты агентных бенчмарков получены внутри компании с шестичасовыми тайм-аутами.
27 авг. 2026 г.
Ни одна из компаний ничего не подтвердила. Цена снизилась, а не выросла, и в репортаже говорится, что сделка всё ещё может сорваться.
27 авг. 2026 г.
Тринадцать авторов, один непрерывный блок идентификаторов и три уведомления об одной и той же ошибке с оценками 8.6, 7.3 и без оценки вовсе.
26 авг. 2026 г.
Защита была добавлена в мае, вошла в версию, указанную в уведомлении, а в июне исчезла из feature-ветки. В сегодняшнем релизе её нет.
26 авг. 2026 г.
Запись в ModelScope обещает выпуск open weights в 15:00 UTC и описывает предварительный взгляд на архитектуру. В обращении — спеки из удалённой черновой карточки.
26 авг. 2026 г.
Сопровождающие прекратили поддержку функции. Они не удалили код. Каждый сканер, читающий поле fixed-version из старой записи, считает живой sink безопасным.
25 авг. 2026 г.
RPC-сервер берет указатель на функцию прямо из сокета. Более серьезная из двух уязвимостей вообще не имеет исправления в дереве кода.
24 авг. 2026 г.
Исправление, призванное не допустить расширения доступа к моделям через fallback для команды, лишило всех администраторов доступа к панели управления. Его откатили 14 августа — за девять дней до стабильного релиза, в котором оно указано.
23 авг. 2026 г.
Внутренний gRPC-сервер в каждом экземпляре Ray Serve был привязан через add_insecure_port и доходил до pickle.loads до проверки учетных данных. Это прошло как обычный багфикс.
23 авг. 2026 г.
Запись CVE — это учетное событие, а не раскрытие. Но сканеры все равно ориентируются на нее, поэтому четырехмесячный патч превращается в критическое оповещение в понедельник.
22 авг. 2026 г.
V4-Flash-Vision-Exp — экспериментальная, доступная только через API модель, и все ее оценки относятся к агентным и кодовым тестам.
21 авг. 2026 г.
В собственном посте Google на первый план выносит не громкий показатель, а экосистему вокруг него — и именно она раздувает цифру.
21 авг. 2026 г.
В релиз-кандидате 8 появился путь передачи изображений — для сторонних vision-моделей. Китайские публикации прочитали это как намёк на V4.
20 авг. 2026 г.
API Zhipu заработал до рассвета с заявкой на лидерский бенчмарк и без изменения цен — выпуск open-weights запланирован на 28 августа.
19 авг. 2026 г.
Марк Руссинович предлагает испортить выгоду от снятия safety-механизмов: если защитные ограждения сорваны, модель отвечает на опасные вопросы неверно.
19 авг. 2026 г.
