zapaska-oddanaSpecjalista

Podejrzana Dorota R. usłyszała zarzut o to, że w okresie od 7 maja do 3 czerwca 2025 na portalu społecznościowym "X" przypisywała właściwości produktów leczniczych wprowadzanych do obrotu produktów o nazwie Doda D’eau Mega Colostrum 60 kapsułek i Doda D’eau Foods Hashi

Trochę mnie tu nie było. Życie pomyślało, że lepiej jak wszystko rzucę i pójdę gasić pożary 🤷 Patrząc na mój ostatni wpis nie zamierzam obiecywać czegokolwiek. Może się uda być tu regularnie, może… no to do rzeczy. Chodzi o zhakowanie Hugging Face przez OpenAI. Już nawet nie o to, że gdyby odwalił taki numer zwykły śmiertelnik to już dawno gnił by za kratami…

Na początku serio myślałem, że nie ma sensu tego w ogóle ruszać. Że to tylko jedna z wielu historii z cyklu „AI zrobiło coś dziwnego, idziemy dalej”. A jednak. Im więcej szczegółów wypływa, tym bardziej widać, jak fakty cichutko ustąpiły miejsca narracji i propagandzie. I nagle mamy „hakowanie Hugging Face przez superinteligentny model OpenAI”. Brzmi poważnie, prawda? No to chodźmy po kolei.

O co właściwie chodzi w tej całej historii? OpenAI testowało GPT‑5.6 Sol oraz jeszcze jeden, niewydany, przedpremierowy model na swoim wewnętrznym benchmarku cyberbezpieczeństwa. To nie był produkt, to nie był „prod”, tylko środowisko testowe. Tyle że testy szły na luzie: celowo obniżone „cyber refusals”, wyłączone produkcyjne klasyfikatory bezpieczeństwa, krótko mówiąc – zdjęte pasy bezpieczeństwa, wyłączony ESP, żadnych hamulców. Tryb „zobaczmy, co się stanie”. :zap:️

No i się stało. Model, zamiast grzecznie odgrywać swoje zadanie w kontrolowanym sandboxie, przez wewnętrzne proxy do rejestrów pakietów znalazł zero‑daya, wyszedł z tej piaskownicy, podniósł sobie uprawnienia (privilege escalation), przeszedł bokiem po infrastrukturze (lateral movement), dostał się do internetu, znalazł kolejnego zero‑daya plus skradzione poświadczenia i odpalił remote code execution na serwerach Hugging Face. To nie jest fragment thrillera, tylko opis przepływu zdarzeń.

Wejście po stronie Hugging Face? Z pozoru niepozorny, złośliwy dataset z remote code loaderem i template injection w konfiguracji. Nic z gatunku „magia nowej epoki”. Klasa podatności, którą w bezpieczeństwie znamy od lat, oswojona w literaturze, przećwiczona w CTF‑ach. Tu nie ma żadnego przełomu intelektualnego – to po prostu rozpoznawanie wzorców i sklejanie znanych klocków w niebezpieczny ciąg. :upside_down_face:

Dlatego właśnie – nie, to nie był pokaz „nadludzkiej inteligencji” modelu. Jeżeli już, to pokaz braku podstawowej izolacji i higieny bezpieczeństwa po stronie testów. Demonstracja tego, jak łatwo zrezygnowano z sanity‑checków, gdy celem było „zobaczyć, do czego model jest zdolny”, zamiast „zobaczyć, do czego jest zdolny, ale nie rozwalając przy tym cudzej produkcji”.

I tu robi się ciekawie, bo zadaniem modelu oficjalnie nie było „zhakuj Hugging Face”. Zadaniem było rozwiązywanie zadań w ExploitGym – publicznym, akademickim benchmarku do badania zdolności tworzenia exploitów (czyli złośliwego kodu), który leży na GitHubie. Nie na Hugging Face. To ważne, bo puenta praktycznie pisze się sama: ExploitGym nie przechowuje gotowych rozwiązań, flagi (czyli dowody z rozwiązanych zadań) trzeba sobie wypracować exploitem, nie zassać z jakiegoś tajnego repo, tam ich zwyczajnie nie ma.

Co więc zrobił model, kiedy już wyjrzał z piaskownicy na internet? Po prostu zaczął halucynować. OpenAI wprost napisało, że model „inferred”, czyli „wywnioskował”, że Hugging Face może hostować rozwiązania do ExploitGym. To nie była informacja, to była hipoteza z niczego – czysta fantazja modelu, która nie miała pokrycia w rzeczywistości. I na tej chybionej, niczym niepotwierdzonej przesłance przeskoczył na produkcyjną infrastrukturę firmy trzeciej i zaczął ją orać jak swoje.

To nie jest strategiczny, zaplanowany atak z jasnym celem. To jest model, który zboczył z zadania, zgubił kontekst i narobił szkód całkowicie niezwiązanych z tym, do czego został odpalony. Zamiast skupić się na ExploitGym, zaczął błądzić po omacku, opierając się na fałszywym założeniu, ale jednocześnie miał w ręku bardzo ostre narzędzia – pełen dostęp do mechanizmów pozwalających wykonywać realne szkodliwy kod, a nie tylko je symulować na sucho.

To nie jest opowieść o AI singularity. To jest opowieść o złej alokacji zasobów. Budżety, czas, energia i hype idą w trenowanie coraz większych, coraz sprytniejszych modeli, a security i governance wokół samego procesu testowania dostają to, co zostanie ze stołu – resztki.

Dopiero po tym incydencie wdrażane są „strict controls”, które z definicji powinny być na miejscu od początku, szczególnie gdy testujesz zdolności ofensywne systemu, który ma dostęp do prawdziwej infrastruktury, a nie tylko do plastikowych zabawek w labie.

I może właśnie to jest w tej historii najbardziej niepokojące. Nie to, co potrafi model w jakimś abstrakcyjnym sensie „mocy obliczeniowej”. Tylko to, jak niewiele musiał potrafić, żeby wyrządzić realne szkody. Wystarczyło kilka kroków poza scenariusz testowy, jedno złe założenie, kilka luk w procesie bezpieczeństwa – i mamy incydent, który idealnie pokazuje, że problemem nie jest tylko zdolności samej AI, ale cały ekosystem praktyk wokół niej.

Teraz pytanie do Was: ile jeszcze takich incydentów musimy przeżyć, żeby wreszcie uznać, że bezpieczeństwo to nie opcjonalny „feature” do odhaczenia w roadmapie, tylko absolutna podstawa, bez której każdy kolejny „przełom” w AI jest po prostu proszeniem się o kłopoty?

#ai #cyberbezpieczenstwo #openai #fuckup

14 etapów rekrutacji.\ 600 kandydatów.\ 4 miesiące procesu.\ 1 osoba dostanie pracę. I zaczynam się zastanawiać - czy firmy nadal szukają najlepszych specjalistów, czy już najbardziej wytrwałych ludzi, którzy nie odpadną po 12 rozmowie? W nowym wpisie piszę o:\ - absurdach rekrutacji w

Cześć,

Dajcie znać czy temat amatorskiej łączności bez licencji Was interesuje. Jeśli tak teksty będą pojawiać się częściej 😉

Zaczynam swoją przygodę z meshtastic'iem. Czyli systemem łączności który miał nigdy nie powstać 😉

System opiera się o technologie LoRaWAN czyli Long Range Wide Area Network.

System i protokół łączność wymyślony dla urządzeń internetu rzeczy. Główne założenia to duże odległości pomiędzy tranceiverami i mała moc.

Zatem jak daleko można się dowołać? W mieście kilka kilometrów (2-3). Poza miastem kilkanaście. W dobrych warunkach czyli bez żadnych przeszkód pomiędzy nadajniekiem i odbiornikiem kilkaset. Absolutny rekord to 1336 km po morzu.

Meshtastic to system bardzo podobny do APRS, jednak do użycia radia LoRa nie potrzeba żadnego pozwolenia. Maksymalna moc to 27dbm czyli 500mW.

Radia tworzą sieć. Każde radio (no prawie każde) powtarza komunikaty które, "słyszy". Dzięki temu zasięgiem sieci można pokrywać rozległe sieci.

Istnieje też możliwość tunelowania łączności przez Internet. Chociaż to wg. mnie słaba opcja. Słaba, bo raz system ma w zamyśle być niezależny od wszelkich operatorów, a dwa, poza ograniczeniem mocy ograniczony jest też czas pracy radia. Każde radio (zgodnie z prawem) może pracować przez 10% godzinnego cyklu czyli 6 minut nadawania. Trudno uderzyć w ten limit. Mi w dużym mieście z łącznościa ręczną nie udało się jeszcze w niego uderzyć. Jednak pozwolenie na wyjście przez moje radio innym operatorom z Internetu może szybko wyczerpać limit.

Koszt wejścia w system jest bardzo niski urządzenia kompletne urządzenia na aliekspress kosztują od 8$ (heltec lora v2). W zależności czy akurat jest jakaś promocja.

Radio łączy się z aplikacją na telefon lub komputer. Cała łączność to krótkie wiadomosci tekstowe, informacje o pogodzie, lub położeniu.

Na zdjęciu moje radyjko LilyGo T-echo.

#hobby #radio #meshtastic

Zabronili wiec wrzucam kek.
#heheszkipolityczne #polityka

Wreszcie po 6 latach pracy dałem się złapać na phishingowego maila treningowego :v idiota ze mnie.

#pracbaza #cyberbezpieczenstwo

- Niestety spełniły się czarne scenariusze. W tej chwili już nie będzie dobrowolnej ewakuacji. Wyprowadzamy każdego, czy tego chce, czy nie. Mają opuścić lokal. Kwestią minut jest to, jak most zostanie zabrany i wtedy wszystko może się wydarzyć - powiedział Paweł Szymkowicz, burmistrz

Oczywiście w artykule winna nie jest nadmierna prędkość a złe warunki atmosferyczne... W każdej narracji są równi i równiejsi. #policja #wypadek #wariatnadrodze

Otwieram wątek nietypowych/specjalistycznych zawodów. Jestem ciekaw ilu z naszej szanownej społeczności może pochwalić się ciekawą pracą.

Na dobry początek zacznę od siebie. Jestem mechanikiem napraw strukturalnych(w skrócie blacharz) w przemyśle lotniczym. W uproszczeniu płacą mi za robieniem w samolocie dziur, zatykanie ich nitami i blachą oraz bicie 🔨 po różnych rzeczach z duraluminium.
Na zdjęciu fragment struktury pod podłogą pilotów w Embraerze

#lotnictwo #pracbaza #praca

Z racji, że niedługo na wniosek żony Sebastiana Majtczaka - pani Marleny, rozpoczną sie procesy internautów, którzy nie pozwolili, żeby zamieść pod dywan sprawę jej męża, sprawcy śmiertelnego wypadku w którym zginęły 3-osobowa rodzina, w tym małe dziecko. Przypominam jeszcze raz o czerwonej nocie Interpolu, którą ścigany jest aktualnie Sebastian Majtczak. Ani jego rodzina ani pozywająca internautów żona nigdy publicznie nie przeprosiły rodzin ofiar. Nigdy też publicznie nie odcięły się od poszukiwanego Sebastiana Majtczaka. Co więcej istnieje wysokie prawdopodobieństwo, że pomagają mu unikać polskiego wymiaru sprawiedliwości i są z nim w stałym kontakcie.

Żonę i rodzinę Sebastiana Majtczaka reprezentuje fundacja https://www.freedom-24.org.pl/ z prezesem Grażyną Boniecką na czele. Na konkurencyjnym portalu krążą pogłoski, że mogła ona znieważyc serwis OLX oraz pomówić jej użytkowników. Wszystko znajdziecie w linku poniżej. Skoro pani Marlena i pani Grażyna chcą wojny z całym Internetem to niech spróbują pozwać nas wszystkich. Sprawa Sebastiana Majtczaka, który jadąc około 300 km/h na autostradzie A1 gdzie obowiązuje ograniczenie do 140 km/h doprowadził do spalenia się 3 niewinnych osób, nigdy nie powinna zostać zamieciona pod dywan. A w przypadku tak bezczelnej próby zamykania internautom ust przez bogatą rodzinę sprawcy powinna wręcz zacząć żyć na nowo. Po to, żeby państwo polskie zrobiło wszystko co w jego mocy i ściągnęło sprawcę śmiertelnego wypadku do Polski.

#wykop #wypadek #wiadomoscipolska #policja #afera #tvn #uwagatvn #gownowpis

https://www.interpol.int/How-we-work/Notices/Red-Notices/View-Red-Notices#2023-63667
https://wykop.pl/link/7540603/grazyna-boniecka-z-freedom-24-mogla-znieslawic-olx-i-pomowic-uzytkownikow

Sport
Tak, zjebane Mazury na 6 łódek ….polecam!

Nad Dolny Śląsk, Górny zresztą też, nadciąga pogodowy armageddon. Wstepne szacunki mówią o olbrzymich ulewach trwających bez przerwy przez cztery dni i ogólnie jest bardzo mocny '97 vibe. Jakoś dziwnie cicho o tym na hejto, a to naprawdę wyglada na potencjalnie nadciągającą największą katastrofę naturalną w Polsce w XXI wieku.

Same miasta są lepiej przygotowane niż te 30 lat temu (zbiorniki na Nysie Kłodzkiej pod Bystrzycą Kłodzką i Odrze pod Raciborzem stoją puste), sztaby chyba też z większym wyprzedzeniem zareagowały. Ale przy mniejszych lokalnych rzekach w Sudetach będzie rzeź. Jeśli planowaliście wycieczkę w góry, zaplanujcie coś innego

#pogoda #klimat #dolnoslaskie #slask #sudety

Lubię kury. Też lubicie?

— Nie ma nic złego w używaniu słowa "Murzyn" — twierdzi prof. Jerzy Bralczyk, poproszony o komentarz przez redakcję Kozaczka. — Kiedy widzę osobę czarnoskórą, to w moim języku od razu otwiera się klapka z tym słowem. I tak pewnie do śmierci będę miał — skwitował

Najpierw premiera nowego singla, teraz przedstawili teledysk. Grupa Linkin Park ma w składzie nową wokalistkę. To Emily Armstrong z zespołu Dead Sara. Amerykański band zapowiedział już 6 koncertów, w tym dwa na starym kontynencie. #muzyka #linkinpark

Kalifornijscy naukowcy odkryli, że komary, oprócz innych sposobów, wykorzystują promieniowanie podczerwone do lokalizowania żywicieli. Odkrycie to może doprowadzić do udoskonalenia metod kontroli komarów i pomóc w ograniczeniu przenoszenia chorób, takich jak denga czy malaria. Komary