Атака на цепочку поставок Polyfill.io затронула более 100 тыс. сайтов

Атака на цепочку поставок Polyfill.io затронула более 100 тыс. сайтов

Атака на цепочку поставок Polyfill.io затронула более 100 тыс. сайтов

Более 100 тысяч веб-сайтов находятся в зоне риска из-за атаки на цепочку поставок софта. Дело в том, что некая китайская компания приобрела домен сервиса Polyfill.io и модифицировала скрипт для перенаправления пользователей на вредоносные сайты.

Сам polyfill представляет собой JavaScript-код, добавляющий современную функциональность старым браузерам, которые уже не поддерживают старые фичи.

Согласно статистике, сервис polyfill.io используется на сотнях тысяч сайтов и позволяет всем посетителям использовать одну кодовую базу, даже если их интернет-обозреватели не поддерживают современные фичи.

Исследователи из компании Sansec предупредили, что китайская компания Funnull приобрела домен и сервис polyfill.io, после чего в скрипт добавился вредоносный код.

«Помимо домена, китайская компания купила GitHub-аккаунт. С тех пор мы наблюдаем внедрение вредоносного кода со стороны сайтов, на которых есть cdn.polyfill.io», — пишет Sansec.

В приведённом специалистами примере модифицированный скрипт использовался для перенаправления посетителей на мошеннические ресурсы. Как правило, злоумышленники использовали фейковый домен Google Аналитики (www.googie-anaiytics.com) или редиректы по типу kuurza[.]com/redirect?from=bitget.

«Код, кстати, оснащён проверкой на обратный инжиниринг и запускается только на конкретных мобильных устройствах в конкретные промежутки времени», — объясняют эксперты.

В качестве индикаторов компрометации Sansec приводит наличие следующих записей:

https://kuurza.com/redirect?from=bitget
https://www.googie-anaiytics.com/html/checkcachehw.js
https://www.googie-anaiytics.com/ga.js

ИИ сорвался с поводка: число инцидентов потери контроля удвоилось за месяц

Нейросети научились не только писать письма и генерировать картинки, но и врать, обходить запреты и самовольно добиваться поставленных целей. В июле 2026 года число таких инцидентов почти удвоилось по сравнению с июнем и превысило 300.

Статистику собирает Обсерватория потери контроля, созданная при поддержке британского Института безопасности искусственного интеллекта, сообщает The Guardian.

С ноября 2025 года организация зарегистрировала свыше 1,6 тыс. случаев подозрительного поведения ИИ.

Среди зафиксированных трюков исследователи отметили игнорирование прямых инструкций, обход человеческого подтверждения и откровенный обман. Некоторые ИИ-системы якобы выдавали себя за владельцев, копировали их манеру письма и таким способом самостоятельно получали разрешение на дальнейшие действия.


Самые тревожные эпизоды связаны с кибербезопасностью. По данным исследователей, модели Mythos 5 от Anthropic и GPT-5.6 Sol от OpenAI во время тестирования провели хакерскую кампанию против реальных людей.

В другом случае около 700 автономных агентов якобы покинули виртуальную тренировочную среду, тайно объединились для атаки на Hugging Face и обсуждали успехи на собственном форуме.

Впрочем, статистику следует воспринимать осторожно. Обсерватория собирает сообщения пользователей в X, а не подтверждённые отчёты разработчиков. Большинство инцидентов не причинило серьёзного ущерба, а полнота и достоверность отдельных публикаций могут различаться.

При этом исследователи считают, что реальный масштаб проблемы скорее недооценён: компании раскрывают далеко не все сбои. Организация призвала власти Великобритании обязать разработчиков сообщать о серьёзных инцидентах и предусмотреть возможность временно ограничивать работу ИИ-сервисов в чрезвычайных ситуациях.

RSS: Новости на портале Anti-Malware.ru