В июле и августе Яндекс Еда будет платить за уязвимости по двойному тарифу

В июле и августе Яндекс Еда будет платить за уязвимости по двойному тарифу

В июле и августе Яндекс Еда будет платить за уязвимости по двойному тарифу

Сервис «Яндекс Еда» объявил новый конкурс в рамках программы bug bounty, повысив суммы выплат в два раза. С 1 июля по 31 августа за найденную уязвимость можно будет получить от 15 тыс. до 1,5 млн рублей — в зависимости от степени опасности и потенциального ущерба.

Призовые выплаты увеличены, так как обнаружить слабые места на сервисе стало труднее. Весной «Яндекс Еда» провела полный аудит и усилила защиту: свела к минимуму число сотрудников с доступом к клиентским данным, исключила обработку такой информации вручную. В июне в аккаунте «Яндекса» также появилась функция удаления информации о заказах.

Объявив новый конкурс, организаторы задали основные направления для поиска уязвимостей:

  • раскрытие пользовательских данных — возможность просмотра чужих заказов, обход механизма сокрытия телефонных номеров курьера и клиента при звонке из приложения;
  • обход правил использования промокодов — активация чужих промокодов со своего аккаунта, возможность угадывания перебором;
  • накрутка бонусных баллов «Яндекс Плюса» — любой способ получения большого количества баллов без траты денег;
  • мошенничество со стороны курьера — к примеру, возможность получить плату без выполнения доставки.

Выше всего, как и прежде, ценятся ошибки, грозящие удаленным выполнением кода; за них «Яндекс Еда» готов заплатить от 440 тыс. до 1,5 млн рублей. Потолок для уязвимостей LFR, RFI, XXE и инъекции кода составляет 890 тыс. рублей. В случае с фродом сумма вознаграждения зависит от возможности масштабирования способа мошенничества, простоты его использования и степени возможного ущерба (установленная вилка — от 23 тыс. до 230 тыс. рублей).

Мероприятия по усилению защиты «Яндекс Еды» были проведены после утечки, которую выявили в конце февраля. В открытый доступ по вине инсайдера попали персональные данные 58 тыс. покупателей; в итоге сервис доставки еды был оштрафован на 60 тыс. рублей.

Подпишитесь на новости

Не просто стойка с GPU: в России собрали ПАК для корпоративного ИИ

«Лаборатория Числитель» и «Информзащита» представили программно-аппаратный комплекс, который должен помочь крупным компаниям перейти от вечных ИИ-пилотов к нормальной промышленной эксплуатации моделей. Решение анонсировали на форуме TNF-2026.

В основе ПАК — высокопроизводительный ML-кластер и российская платформа контейнеризации «Штурвал». Но создатели подчёркивают: это не очередная дорогая стойка с GPU, на которой каждый проект приходится собирать руками.

Комплекс превращает вычислительные мощности в единый управляемый ресурс. ML-специалист запускает задачу, а платформа сама выделяет CPU и GPU, поднимает нужное окружение, подключает хранилище, запускает обучение и масштабирует нагрузку. Для автоматизации используются Kubernetes и инструменты MLOps, включая Kubeflow, MLflow и model serving.

Архитектура состоит из четырёх уровней: аппаратной инфраструктуры, платформы «Штурвал», MLOps-стека и прикладных ИИ-сервисов — от прогнозирования и аналитики до корпоративных ассистентов. Вокруг ядра работают IAM/SSO, объектное хранилище, реестр образов, CI/CD, мониторинг и аудит.

Заказчики получают единый пул вычислительных ресурсов, изоляцию проектов, централизованное управление доступами и полный жизненный цикл моделей — от эксперимента до публикации и обновления. При этом ML-инструменты не лезут напрямую в железо, а получают инфраструктуру как сервис.

Как сообщается в публикации о проекте, архитектура уже прошла промышленную эксплуатацию у крупного государственного заказчика.

RSS: Новости на портале Anti-Malware.ru