Что в итоге мы знаем из этой заметки в Ъ

В реальности, ничего нового. Мы это знали и так: министерство цифровой деградации предлагало с помощью ИИ поднять эффективность блокировки VPN до 95%.

Мера была в проекте национального плана внедрения ИИ до 2030 года: долю блокируемых VPN, чьи признаки анализирует ИИ, хотели довести до 70%. Теперь Минцифры говорит, что в актуальной версии плана этой меры нет.

По словам источника издания, ведомства предлагали в нацплан много такого, что может и не дойти до реализации. Трафик сейчас анализируют интеллектуальные алгоритмы, но формально это не ИИ. Роскомнадзор на запрос не ответил.

Связанные цифры из прошлых публикаций:

— пропускную способность ТСПУ планируют к 2030 году увеличить в 2,5 раза, до 954 Тбит/с;

— большая часть из 89,9 млрд руб. по федпроекту "Инфраструктура кибербезопасности" на 2026–2029 годы пойдет ГРЧЦ на систему АСБИ, то есть на ТСПУ;

— по данным Forbes, на фильтрацию трафика с машинным обучением в 2026 году заложено 2,27 млрд руб.

Какие вокруг этого есть мнения:

1. ИИ анализирует размер и ритм пакетов, длительность сессий, соотношение входящего и исходящего трафика, а также поведение узла, хостинг и соседние адреса. Это ускоряет реакцию на новые серверы. Но при больших объемах трафика даже малый процент ошибок означает много заблокированного легитимного трафика. Сейчас ошибок, по оценкам, 5–6%. Точнее будет схема, в которой ИИ только помечает подозрительный узел, затем к нему подключаются как клиент (активный пробинг), подтверждают, что это VPN, и только после этого блокируют.

2. Есть мнение, что доля заблокированных VPN вырастет, но на этапе обучения будет много ложных срабатываний.

3. Например, некто Сергей Кудряшов (Strategy Partners) заявляет: модель собирает десятки слабых признаков и находит сервисы, которых еще нет в правилах. Однако корпоративный VPN, облачный доступ и голосовой трафик статистически похожи на обходной, а ошибка для бизнеса стоит дороже, чем пропущенный домашний VPN.

4. В исследованиях маскировка одного поля в TLS-заголовке снижала точность распознавания примерно до 38%. Одних DPI на узлах операторов мало: нужна отдельная платформа поверх ТСПУ из трех слоев — хранилище телеметрии петабайтного масштаба, кластер для обучения моделей и доставка обновленных моделей на узлы фильтрации.


ВЫВОД: то, что для блокировок используют машинное обучение — мы знали это давно.

Главный показатель это то, что мы не можем поймать какой-то паттерн поведения блокировок и их стабильность — система постоянно отваливается (многие уже, наверное, сталкивались или лично, или видели сообщения) с тем, что внезапно блокировки переставали работать и Телеграм или Ютюб становились доступны без VPN. В разных регионах, у разных операторов жесткость блокировок различная. Так это именно оно: блокировки имеют по сути вероятностный характер, что и следует из использования машинного обучения.

О том, что в РФ ведутся реальные научные работы по "классификации IP-трафика методами машинного обучения" — мы знали давно. Я даже был на одной конференции по этой теме, еще до войны.

Тогда, правда, речь шла про всякий зловредный трафик типа DDoS или системы обнаружения вторжений, но, как мы знаем, если изменилась прикладная задача, то никто не запрещает использовать наработанные методы решения.

Вот я даже привез с собой пару книжек — я как раз тогда увлекался идеей детектирования шатдаунов и изучал все доступное, что попадалось в поле зрения.

Автор книжки - Шелухин Олег Иванович, правда, тот еще перец, не гнушающийся тырить диссертации у собственных аспирантов, но работы реальные, конференции были, работа велась. И детекция VPN там тоже упоминается.

🔁🌐 TRANSLATED REPOST
➖➖➖
Рекламные сети превратились в системы доставки шпионского ПО
Surveillance control · 16.10.2026

Обычная таргетированная реклама теперь может заразить ваш телефон без единого клика. Просто показать баннер — и всё. Citizen Lab обнаружила технику AdFection и доказала: рекламные сети превратились в каналы доставки шпионского ПО.

Жертва — международная телесеть Al Jazeera. В период с 2024 по 2025 год были заражены как минимум 45 устройств внутри редакции. Шпионское ПО — продукт Candiru (ребрендированный как «Integrity Labs»). Цепочка проста: устройство получает рекламу от израильской компании Discover-Tech, которая направляет жертву через проверочный сервер Candiru, и в итоге вредоносная программа связывается с командным сервером. Всё было подтверждено через сетевые логи с точной хронологией.

При этом Discover-Tech годами числилась «сертифицированным» поставщиком у Google и отраслевой ассоциации IAB Europe. Иными словами, сама рекламная индустрия проверила и поставила печать одобрения на систему, которая распространяла шпионское ПО через рекламу. Лишь в октябре 2026 года, после расследования, Google и IAB Europe наконец удалили компанию из своих списков.

Это не единичный случай. Анализ четырёх миллиардов записей торгов за четыре месяца показал, что реклама Discover-Tech появлялась почти на 200 000 уникальных сайтов и в приложениях в десятках стран. Их платформа Controlium позволяла деанонимизировать и заражать пользователей буквально одним щелчком мыши в панели управления — выбрал ID устройства, и вперёд.

Компания связана не только с Candiru, но и с другими игроками рынка шпионского ПО — Bindecy и ADINT-фирмой Intelos. Среди акционеров Discover-Tech в разные моменты была структура, связанная с человеком, управлявшим корпоративной сетью Intellexa.

Отдельно всплыл ещё один участник — DARK CARTOGRAPHER, который эксплуатирует уязвимости у телеком-операторов через инфраструктуру Discover-Tech, чтобы массово сопоставлять рекламные идентификаторы с номерами телефонов. Citizen Lab обещает отдельный отчёт по этому случаю.

Вывод прост: онлайн-реклама — это не просто баннер с милыми котиками, это целая система передачи ваших данных кому угодно. И пока регуляторы раздают сертификаты «доверенности», кто-то тихо устанавливает шпионское ПО именно через эти сертификаты.

Источник: https://citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/

➖➖➖
🔁🌐 Repost & Translated from: Brandmauer Report